Комиссии по СКЗИ: автогенерация приказа и учёт составов

Комиссия по СКЗИ — это коллегиальный орган организации, назначаемый приказом руководителя для контроля жизненного цикла криптосредств. Требование создавать комиссию установлено Инструкцией ФАПСИ №152 от 13.06.2001 и Положением ПКЗ-2005 (Приказ ФСБ №66). Без оформленной комиссии организация не может законно ввести СКЗИ в эксплуатацию, уничтожить выведенное из эксплуатации средство или расследовать инцидент компрометации ключа.

Комиссия фиксируется в документах по правилам работы со СКЗИ (ФАПСИ-152) и проверяется инспектором ФСБ. На практике это три типа комиссий: выдача, уничтожение, расследование компрометации. Модуль «Комиссии» входит в модуль учёта СКЗИ платформы КиберОснова — там же, где ведётся журнал по форме ФАПСИ №152 и учёт сертифицированных СКЗИ.

Инструкция ФАПСИ №152 не устанавливает жёсткое число членов — состав определяется во внутреннем Положении о работе со СКЗИ. Рекомендуемая практика для большинства организаций — председатель и минимум два члена. Для крупных компаний добавляют юриста и представителя службы безопасности.

• Председатель — руководитель подразделения ИБ или лицо, назначенное приказом. Несёт персональную ответственность за решения комиссии.
• Ответственный за СКЗИ — сотрудник, которому поручен учёт криптосредств в организации (обязательный член).
• Представитель ИТ-подразделения — отвечает за техническую установку и настройку СКЗИ.
• Представитель подразделения-пользователя — сотрудник, который фактически работает со СКЗИ или его ключами.
• Юрист / представитель службы безопасности — при необходимости, особенно в комиссиях по расследованию компрометации.

В КиберОснова валидация модуля заложена на уровне интерфейса: обязательный председатель и не менее двух членов. Система не даст сохранить неполный состав — требование Положения выполняется автоматически.

Создаётся при вводе экземпляра СКЗИ в эксплуатацию. Комиссия проверяет комплектность поставки, наличие действующего сертификата ФСБ, готовность рабочего места и формирует акт ввода в эксплуатацию. Передаёт криптосредство пользователю под роспись.

• Акт приёма-передачи СКЗИ — фиксирует передачу конкретного экземпляра (с серийным номером) уполномоченному пользователю.
• Запись в журнале поэкземплярного учёта — см. материал про поэкземплярный учёт СКЗИ.
• Расписка пользователя о получении — обязательна для ключевых носителей (Рутокен, eToken, JaCarta).

В КиберОснова комиссия по выдаче привязывается к карточке экземпляра в журнале учёта СКЗИ. Данные о составе комиссии автоматически подставляются в акт приёма-передачи при его формировании.

Самая ответственная комиссия: уничтожение должно быть документально подтверждено, иначе инспектор ФСБ зафиксирует нарушение. Основания для уничтожения — истечение срока действия сертификата ФСБ, вывод СКЗИ из эксплуатации, компрометация ключа, замена криптосредства на новое.

• Приказ о назначении комиссии — формируется в КиберОснова автоматически.
• Акт уничтожения СКЗИ — подписывается всеми членами комиссии; шаблон есть в разделе «Акты уничтожения и передачи».
• Запись в журнале поэкземплярного учёта с номером и датой акта — обязательна.
• Физическое уничтожение носителей ключевой информации с отметкой о способе (механическое, термическое, химическое).

Подробный разбор документов — в статье про акты уничтожения и передачи СКЗИ. Комиссия по уничтожению в модуле КиберОснова связывается с конкретной карточкой СКЗИ — при формировании акта данные о составе подставляются одним кликом.

Создаётся при подозрении на компрометацию ключевой информации: утрата носителя, несанкционированный доступ к ключу, подозрение на копирование. В состав обязательно включаются юрист и представитель службы безопасности — решение комиссии может повлечь расторжение договоров, смену ключевых носителей у контрагентов, обращение в правоохранительные органы.

Комиссия расследует обстоятельства, фиксирует факт компрометации, принимает решение о дальнейших действиях (замена ключей, блокировка сертификата, уведомление удостоверяющего центра) и оформляет акт расследования. В КиберОснова тип «Расследование компрометации» выбирается в форме создания комиссии наравне с выдачей и уничтожением.

Переход с бумажного процесса на модуль «Комиссии» в КиберОснова занимает до 1 рабочего дня для организации с реестром до 100 СКЗИ. Текущие приказы загружаются сканами в карточки комиссий, справочник пользователей импортируется из Excel или Active Directory.

• Создаётся справочник сотрудников-членов комиссий (председатели, ответственные, ИТ).
• Загружаются действующие приказы о комиссиях как сканы в карточки с назначением.
• Новые комиссии создаются в модуле — приказ генерируется в Word за 2 минуты.
• Закрывается бумажный процесс записью «Данные перенесены в автоматизированный учёт».