Как хранить токены электронной подписи (Рутокен ЭЦП 3.0, JaCarta): правила ФСБ, учёт и формуляр

Запрос «Рутокен ЭЦПЭлектронная цифровая подпись — Устаревшее название электронной подписи (термин 1-ФЗ); сейчас используется «электронная подпись» по 63-ФЗ. 3.0, правила хранения, согласованные с ФАПСИ» отражает реальную путаницу: токен воспринимают то как простую флешку, то как секретный объект под грифом. Истина посередине. Токен электронной подписи — это носитель ключа подписи, а во многих исполнениях ещё и средство криптографической защиты информации (СКЗИСредство криптографической защиты информации — Шифровальное (криптографическое) средство; применение и учёт регулируют приказы ФСБ.). И если это СКЗИ, к его хранению применяются конкретные правила. Разберём, откуда они берутся и что делать на практике.

Токен ЭП и СКЗИ — в чём связь

Токен (USB-устройство или смарт-карта) хранит закрытый ключ электронной подписи. В защищённых исполнениях ключ генерируется и используется прямо на токене и не покидает его (неизвлекаемый ключ); в других сценариях токен служит лишь защищённым хранилищем ключевого контейнера, а криптооперации выполняет программное СКЗИ. Отдельные исполнения — например, Рутокен ЭЦП 3.0 или JaCarta-2 ГОСТ — сертифицированы ФСБФедеральная служба безопасности — Регулятор криптографической защиты информации и взаимодействия с ГосСОПКА. России как СКЗИ (по конкретному сертификату и классу, например КС1 или КС2). Как только вы используете сертифицированное СКЗИ, организация попадает под правила учёта и хранения криптосредств, а не под обычный режим обращения с флешками.

Как понять, что ваш токен — именно СКЗИ, а не просто носитель: посмотрите точную модель и исполнение, найдите действующий сертификат соответствия ФСБ (с номером и сроком) и формуляр с правилами пользования. Если сертификата ФСБ на это исполнение нет, перед вами обычный защищённый носитель и режим СКЗИ к нему не применяется. Вывод «Рутокен — это СКЗИ» нельзя переносить на любую модель: значение имеет конкретное сертифицированное исполнение.

Уточнение по терминологии: ФАПСИ (Федеральное агентство правительственной связи и информации) упразднено в 2003 году, его функции по криптографии перешли к ФСБ России (8 Центр — Центр защиты информации и специальной связи). Поэтому «согласованные с ФАПСИ» сегодня означает «согласованные с ФСБ»; исторические документы и формуляры могут по-прежнему упоминать ФАПСИ.

Откуда берутся правила хранения

Правила складываются из нескольких источников, и их нужно соблюдать вместе:

• Правила пользования СКЗИ (формуляр). К каждому сертифицированному СКЗИ прилагается формуляр и правила пользования, согласованные с ФСБ. Это первоисточник: там написано, в каком классе защиты можно применять средство, как его хранить, учитывать и уничтожать. Их соблюдение обязательно — именно эти «согласованные правила» и ищут по запросу.
• ПКЗ-2005 (приказ ФСБ №66 от 09.02.2005). Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации. Именно оно обязывает эксплуатировать СКЗИ строго по согласованным с ФСБ правилам пользования и задаёт общий режим обращения с криптосредствами — это и есть основание для «согласованных правил».
• Инструкция ФАПСИ №152 от 13.06.2001. Порядок организации и обеспечения безопасности хранения, обработки и передачи информации с использованием СКЗИ: поэкземплярный учёт, орган криптографической защиты, хранение в опечатываемых хранилищах, уничтожение по актам.
• Приказ ФСБ №378 от 10.07.2014. Меры по защите персональных данных при их обработке с использованием СКЗИ — если токен применяется в ИСПДн.

Сами тексты — в библиотеке НПА: Инструкция ФАПСИ №152 и Приказ ФСБ №378.

Как хранить токен на практике

• Поэкземплярный учёт. Каждый токен (как ключевой носитель) и сертифицированное СКЗИ заносят в журнал поэкземплярного учёта с регистрационным номером, отметками о выдаче, возврате и уничтожении. Это первое, что проверяют при контроле.
• Хранилище. В нерабочее время токен держат в опечатываемом сейфе или металлическом шкафу, обеспечивающем сохранность и исключающем несанкционированный доступ. Не в ящике стола и не воткнутым в системный блок постоянно.
• Отдельно от PIN. PIN-код (пароль доступа к контейнеру) нельзя хранить вместе с токеном и тем более наклеивать на него. Знать PIN должен только владелец.
• Ответственный за СКЗИ. Приказом назначается ответственный (орган криптографической защиты или ответственный пользователь), который ведёт учёт, выдаёт и принимает носители под роспись.
• Доступ под роспись. Выдача и возврат токена фиксируются; доступ к хранилищу имеют только уполномоченные лица из утверждённого списка.
• Увольнение и смена владельца. При увольнении или прекращении полномочий токен сдаётся, ключ отзывается (сертификат — в удостоверяющем центре), при необходимости носитель очищается или уничтожается по акту.
• Вывод из эксплуатации. При выводе СКЗИ или ключа из эксплуатации оформляется акт. Уничтожают прежде всего ключевую информацию (способом, исключающим восстановление) и отзывают сертификат; сам токен при этом не обязательно ломают физически — его могут очистить, перевыпустить или списать по правилам производителя и организации.

Кто хранит токен и можно ли передавать

Токен закреплён за конкретным владельцем сертификата. Хранить его может сам владелец или назначенный ответственный — но только по процедуре выдачи и возврата под роспись и без знания PIN, чтобы никто не мог подписать за владельца. Передавать токен вместе с PIN другому человеку нельзя: законно право подписи это не передаёт, а создаёт риск неправомерного использования ЭПЭлектронная подпись — Информация в электронной форме, присоединённая к документу и подтверждающая подписанта (63-ФЗ). и последующего спора о том, кто на самом деле подписал документ. Особенно это критично для подписи руководителя — вместо передачи токена сотрудникам оформляется машиночитаемая доверенность (МЧДМашиночитаемая доверенность — Электронная доверенность в формате XML, подтверждающая полномочия сотрудника при подписании документов своей ЭП.). Подробно — в статьях «Почему руководитель не должен передавать свою ЭЦП» и «МЧД и минимизация УКЭП руководителя».

Какие документы оформить

• Приказ о назначении ответственного за СКЗИ (органа криптографической защиты).
• Журнал поэкземплярного учёта СКЗИ и ключевых документов (носителей).
• Инструкция (правила) пользователя СКЗИ и порядок обращения с ключевыми носителями.
• Перечень помещений и список лиц, допущенных к работе с СКЗИ.
• Акты установки, ввода в эксплуатацию и уничтожения СКЗИ и ключей.

Полный порядок учёта и хранения криптосредств — в статье «Учёт и хранение СКЗИ в организации», а как определить нужный класс средства — в материале «Класс СКЗИ по приказу ФСБ №378».

Типичные ошибки

• Токен как флешка. Хранят в ящике стола, передают коллегам, не ведут учёт — притом что это сертифицированное СКЗИ.
• PIN на бумажке. Код приклеен к токену или лежит рядом в сейфе.
• Нет поэкземплярного учёта. Журнала нет, неизвестно, сколько токенов, у кого и где.
• Передача подписи руководителя. Токен директора отдан бухгалтеру вместо оформления МЧД.
• Игнорируют формуляр. Не читают правила пользования конкретного СКЗИ, хотя именно они согласованы с ФСБ и обязательны.

Главное

Токен ЭП в исполнении СКЗИ — это не флешка, а криптосредство с правилами учёта и хранения. Опирайтесь на правила пользования (формуляр), согласованные с ФСБ, ПКЗ-2005 (приказ ФСБ №66) и Инструкцию ФАПСИ №152; приказ ФСБ №378 добавляется, когда токен защищает персональные данные в ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств.. На практике это поэкземплярный учёт, опечатываемый сейф, отдельное хранение PIN, назначенный ответственный и запрет передачи токена. ГрамотаИБ помогает вести поэкземплярный учёт СКЗИ, список допущенных лиц и формировать нужные приказы, журналы и акты — попробовать можно в сервисе.