Приказ Министерства связи и массовых коммуникаций от 23.03.2009 № 41

Приказ Министерства связи и массовых коммуникаций Российской Федерации от 23.03.2009 г. № 41 (Бюллетень нормативных актов федеральных органов исполнительной власти от 2009 г., № 24)

П Р И К А З

Министерства связи и массовых коммуникаций
Российской Федерации
от 23 марта 2009 г. N 41

Об утверждении Требований к технологиям, форматам,
протоколам информационного взаимодействия,
унифицированным программно-техническим средствам
подсистемы удостоверяющих центров общероссийского
государственного информационного центра

Зарегистрирован Минюстом России 24 апреля 2009 г.
Регистрационный N 13831

Во исполнение постановления Правительства Российской Федерации
от 25 декабря 2007 г. N 931 "О некоторых мерах по обеспечению
информационного взаимодействия государственных органов и органов
местного самоуправления при оказании государственных услуг
гражданам и организациям" (Собрание законодательства Российской
Федерации, 2007, N 53, ст. 6627) и приказа Министерства
информационных технологий и связи Российской Федерации от 11 марта
2008 г. N 32 "Об утверждении Положения об общероссийском
государственном информационном центре" (зарегистрирован в
Министерстве юстиции Российской Федерации 21 марта 2008 г.,
регистрационный N 11394) приказываю:
1. Утвердить прилагаемые Требования к технологиям, форматам,
протоколам информационного взаимодействия, унифицированным
программно-техническим средствам подсистемы удостоверяющих центров
общероссийского государственного информационного центра.
2. Направить настоящий приказ на государственную регистрацию в
Министерство юстиции Российской Федерации.
3. Контроль за исполнением настоящего приказа оставляю за
собой.

____________

Приложение

Т Р Е Б О В А Н И Я
к технологиям, форматам, протоколам информационного
взаимодействия, унифицированным программно-техническим
средствам подсистемы удостоверяющих центров общероссийского
государственного информационного центра

I. Общие положения

1. Требования к технологиям, форматам, протоколам
информационного взаимодействия, унифицированным
программно-техническим средствам (далее - требования) устанавливают
принципы и необходимые условия функционирования подсистемы
удостоверяющих центров общероссийского государственного
информационного центра (далее - подсистема УЦ ОГИЦ).
Подсистема УЦ ОГИЦ предназначена для оказания государственных
услуг гражданам и организациям в электронном виде с использованием
электронной цифровой подписи, позволяющей однозначно определить
(идентифицировать) правомочность уполномоченных должностных лиц
органов государственной власти и местного самоуправления,
осуществляющих информационное взаимодействие, дату и время
осуществления информационного взаимодействия, а также гарантировать
целостность, неизменность и идентичность информации, отправленной
одним участником информационного взаимодействия и полученной другим
участником информационного взаимодействия.
2. Регламент подсистемы УЦ ОГИЦ (далее - Регламент)
разрабатывается и утверждается Федеральным агентством по
информационным технологиям.
3. Обеспечение защиты информации в подсистеме УЦ ОГИЦ должно
осуществляться в соответствии с законодательством Российской
Федерации.
4. Порядок взаимодействия подсистемы УЦ ОГИЦ с информационными
системами федеральных органов исполнительной власти в целях
оказания государственных и муниципальных услуг устанавливается
совместными регламентами, утверждаемыми Министерством связи и
массовых коммуникаций Российской Федерации и федеральными органами
исполнительной власти, участвующими в информационном
взаимодействии, с целью предоставления соответствующих
государственных услуг.
5. Условия взаимодействия подсистемы УЦ ОГИЦ с иными
информационными системами в целях оказания государственных услуг
устанавливаются соглашением, заключаемым Федеральным агентством по
информационным технологиям и оператором соответствующей
информационной системы.
6. Подсистема УЦ ОГИЦ должна создаваться и функционировать в
соответствии с положениями, определенными Федеральным законом от 10
января 2002 г. N 1-ФЗ "Об электронной цифровой подписи" (Собрание
законодательства Российской Федерации, 2002, N 2, ст. 127; 2007,
N 46, ст. 5554), Федеральным законом от 27 июля 2006 г. N 149-ФЗ
"Об информации, информационных технологиях и о защите информации"
(Собрание законодательства Российской Федерации, 2006, N 31,
ст. 3448), постановлением Правительства Российской Федерации от
25 декабря 2007 г. N 931 "О некоторых мерах по обеспечению
информационного взаимодействия государственных органов и органов
местного самоуправления при оказании государственных услуг
гражданам и организациям" (Собрание законодательства Российской
Федерации, 2007, N 53, ст. 6627) и приказом Министерства связи и
массовых коммуникаций Российской Федерации от 11 марта 2008 г. N 32
"Об утверждении Положения об общероссийском государственном
информационном центре" (зарегистрирован в Министерстве юстиции
Российской Федерации 21 марта 2008 г., регистрационный N 11394).

II. Требования к составу и программно-техническим средствам

7. В состав подсистемы УЦ ОГИЦ должны быть включены следующие
компоненты:
УЦ ОГИЦ ПУ;
УЦ ОГИЦ ВУ (один или несколько);
подсистема ведения реестра (реестров);
подсистема, используемая для оказания государственных услуг в
электронном виде при трансграничном международном взаимодействии;
подсистема, используемая для реализации сервисов УЦ ОГИЦ в
соответствии с перечнем сервисов подсистемы ведения реестров;
подсистема защиты информации УЦ ОГИЦ;
подсистема информирования;
автоматизированные рабочие места УЦ ОГИЦ;
идентификационные элементы на электронных носителях (далее -
электронные идентификационные элементы);
носители ключевой информации (закрытого/открытого ключей и
сертификата) электронной цифровой подписи.
8. Компоненты подсистемы УЦ ОГИЦ должны обеспечивать
реализацию следующих функций (информационных технологий):
1) УЦ ОГИЦ ПУ должен обеспечивать:
формирование сертификатов ключей подписи уполномоченных лиц УЦ
ОГИЦ ПУ;
формирование сертификатов ключей подписей (далее - СКП)
уполномоченных лиц УЦ ОГИЦ ВУ (далее - СКП УЦ ОГИЦ ВУ), включая
изготовление ключей ЭЦП;
временное приостановление действия СКП УЦ ОГИЦ ВУ;
возобновление действия СКП УЦ ОГИЦ ВУ;
аннулирование (отзыв) СКП УЦ ОГИЦ ВУ;
формирование и распространение списков аннулированных
(отозванных) и приостановленных СКП УЦ ОГИЦ ВУ;
ведение архива СКП УЦ ОГИЦ ВУ;
ведение реестра СКП УЦ ОГИЦ ВУ;
2) УЦ ОГИЦ ВУ должен обеспечивать:
формирование СКП уполномоченных лиц удостоверяющих центров в
федеральных округах и уполномоченных лиц информационных систем,
включая изготовление ключей ЭЦП;
временное приостановление действия СКП;
возобновление действия СКП;
аннулирование (отзыв) СКП;
формирование и распространение списков аннулированных
(отозванных) и приостановленных СКП;
ведение архива СКП;
ведение реестра СКП;
3) подсистема ведения реестров должна обеспечивать:
а) размещение следующей информации в реестре (реестрах):
о сертификатах ключей подписей (единый государственный реестр
СКП);
о СКП уполномоченных лиц федеральных органов государственной
власти;
о СКП уполномоченных лиц информационных систем ОГИЦ;
о сервисах и услугах, предоставляемых УЦ ОГИЦ и
взаимодействующими с ним удостоверяющими центрами и информационными
системами;
об объектных идентификаторах, используемых в ОГИЦ;
об удостоверяющих центрах, взаимодействующих с подсистемой УЦ
ОГИЦ на основе Соглашения о взаимодействии между Федеральным
агентством по информационным технологиям и удостоверяющим центром в
рамках подсистемы УЦ ОГИЦ;
б) регистрацию пользователей, включая уполномоченных лиц
удостоверяющих центров, федеральных органов государственной
власти, информационных систем;
в) идентификацию пользователей, зарегистрированных в
подсистеме реестров;
г) права пользователей в отношении получения и направления в
их адрес информации;
д) возможность поддержания в актуальном состоянии информации,
хранящейся в реестрах;
е) возможность свободного доступа заинтересованных лиц к
информации из реестра, размещенной в
информационно-телекоммуникационной сети Интернет на официальном
сайте ОГИЦ;
ж) предоставление по запросам заинтересованным лицам
информации (выписки) из реестров, в том числе для целей
осуществления правосудия;
з) возможность архивного хранения информации, содержащейся в
реестрах;
и) возможность использования ЭЦП и сертификата ключа подписи,
выданного УЦ ОГИЦ ПУ для обеспечения целостности информации в
реестре и заверения электронных документов, содержащих информацию
из реестров и размещаемых в информационно-телекоммуникационной сети
Интернет на официальном сайте ОГИЦ;
к) возможность использования ЭЦП уполномоченного лица УЦ ОГИЦ
ПУ при информационном обмене между реестрами;
4) подсистема, используемая для оказания государственных услуг
в электронном виде при трансграничном международном взаимодействии,
должна обеспечивать реализации следующих функций (информационных
технологий):
проверку действительности (подлинности) ЭЦП в электронном
документе при трансграничном электронном документообороте и
формирование квитанции от текущей даты проверки (метки времени);
проверку действительности (подлинности) ЭЦП в документе при
электронном документообороте внутри Российской Федерации;
проверку действительности (подлинности) сертификата открытого
ключа, изготовленного иным удостоверяющим центром;
5) подсистема, используемая для реализации сервисов УЦ ОГИЦ,
должна обеспечивать реализацию сервисов при оказании
государственных услуг в электронном виде, включая предоставление
услуги по определению актуального статуса сертификата, по фиксации
времени, разбору конфликтных ситуаций, подтверждению подлинности
ЭЦП уполномоченных лиц в выданных СКП;
6) автоматизированные рабочие места УЦ ОГИЦ, оборудованные
современными средствами идентификации участников информационного
взаимодействия, должны обеспечивать доступ (локальный и удаленный)
к компонентам подсистемы УЦ ОГИЦ и обеспечивать процедуру
изготовления и хранения сертификатов и ключей ЭЦП для
уполномоченных лиц, административного персонала и пользователей
(далее - пользователи) на носителях ключевой информации,
применяемых в подсистеме УЦ ОГИЦ;
7) электронные идентификационные элементы и носители ключевой
информации должны обеспечивать:
механизмы аутентификации пользователя и приложений,
базирующиеся на использовании российских сертифицированных
криптографических алгоритмов, сертификатов, ключей подписей,
совместимые с подсистемой регламентированного доступа ОГИЦ;
конфиденциальность и целостность идентификационной и ключевой
информации, передаваемой при взаимодействии с прикладным
программным обеспечением;
8) программно-аппаратный комплекс средств защиты информации
должен обеспечить:
управление доступом к ресурсам подсистемы УЦ ОГИЦ, включая
использование электронных идентификационных элементов и носителей
ключевой информации;
регистрацию и учет действий пользователей подсистемы УЦ ОГИЦ;
защищенный обмен пользователей подсистемы УЦ ОГИЦ;
сохранение целостности ресурсов подсистемы УЦ ОГИЦ;
защиту оборудования подсистемы УЦ ОГИЦ от утечки информации по
техническим и побочным каналам.

III. Требования к форматам и протоколам
информационного взаимодействия

9. Требования к программной и информационной совместимости
компонентов:
1) в части программной совместимости должна быть обеспечена
совместимость компонентов, реализованных на платформе базовой
операционной системы, с основными производителями аппаратного
обеспечения, сетевых плат;
2) операционная система, в рамках которой должны
функционировать УЦ ОГИЦ ПУ и УЦ ОГИЦ ВУ, должна обеспечивать
возможность поддержки RAID-массивов;
3) в части информационной совместимости должны использоваться
стандартные протоколы сетевого и информационного взаимодействия.
10. Требования к алгоритмам и стандартам, используемым для
обеспечения информационной безопасности в подсистеме УЦ ОГИЦ.
Для выполнения криптографических преобразований должны
использоваться алгоритмы, устанавливаемые государственными
стандартами Российской Федерации:
алгоритм формирования и проверки ЭЦП, реализованный в
соответствии с требованиями ГОСТ Р 34.10-2001 "Информационная
технология. Криптографическая защита информации. Процессы
формирования и проверки электронной цифровой подписи";
алгоритм выработки значения хэш-функции, реализованный в
соответствии с требованиями ГОСТ Р 34.11-94 "Информационная
технология. Криптографическая защита информации. Функция
хэширования";
алгоритм зашифрования/расшифрования данных и вычисления
имитовставки, реализованный в соответствии с требованиями
ГОСТ 28147-89 "Системы обработки информации. Защита
криптографическая. Алгоритм криптографического преобразования".
11. Требования к структуре сертификатов ключа подписи, списку
отозванных сертификатов и используемым протоколам:
1) структура и состав сертификата ключа подписи должны
соответствовать требованиям Федерального закона от 10 января
2002 г. N 1-ФЗ "Об электронной цифровой подписи";
2) сертификаты ключей подписей должны содержать следующие
базовые поля:

+-----------------------------------------------------------------+
|Signature |Электронная цифровая подпись |
| |уполномоченного лица УЦ |
+---------------------------+-------------------------------------|
|Issuer |Идентифицирующие данные |
| |уполномоченного лица УЦ |
+---------------------------+-------------------------------------|
|Validity |Даты начала и окончания срока |
| |действия сертификата |
+---------------------------+-------------------------------------|
|Subject |Идентифицирующие данные владельца |
| |сертификата открытого ключа |
+---------------------------+-------------------------------------|
|SubjectPublicKeyInformation|Идентификатор алгоритма средства |
| |электронной цифровой подписи, с |
| |которыми используется данный открытый|
| |ключ, значение открытого ключа |
+---------------------------+-------------------------------------|
|Version |Версия сертификата формата Х.509 - |
| |версия 3 |
+---------------------------+-------------------------------------|
|SerialNumber |Уникальный серийный (регистрационный)|
| |номер сертификата в Реестре |
| |сертификатов открытых ключей УЦ |
+-----------------------------------------------------------------+

3) сертификаты ключей подписей должны содержать следующие
дополнительные поля:

+-----------------------------------------------------------------+
|AuthorityKeyIdentifier |Идентификатор ключа уполномоченного лица |
| |УЦ |
+-----------------------+-----------------------------------------|
|SubjectKeyIdentifier |Идентификатор ключа владельца сертификата|
+-----------------------+-----------------------------------------|
|ExtendedKeyUsage |Допустимая (легитимная) область (области)|
| |использования ключа техническими |
| |протоколами и алгоритмами |
+-----------------------+-----------------------------------------|
|CertiflcatePolicies |Сведения об отношениях, при осуществлении|
| |которых электронный документ с |
| |электронной цифровой подписью будет иметь|
| |юридическое значение |
+-----------------------+-----------------------------------------|
|CRLDistributionPoint |Точка распространения списка |
| |аннулированных (отозванных) сертификатов |
| |открытых ключей, изданных УЦ |
+-----------------------+-----------------------------------------|
|KeyUsage |Назначение ключа |
+-----------------------+-----------------------------------------|
|FreshestCRL |Точка распространения обновлений к |
| |регулярному списку аннулированных |
| |(отозванных) сертификатов открытых |
| |ключей, изданных УЦ (в соответствии с |
| |RFC 5280 используется для прикладных |
| |систем, в которых оперативная реакция на |
| |изменения статуса сертификата является |
| |ключевым требованием) |
+-----------------------------------------------------------------+

4) обязательными атрибутами поля идентификационных данных
уполномоченного лица удостоверяющего центра должны являться:

+-----------------------------------------------------------------+
|Common Name или pseudonym|Фамилия, имя, отчество или псевдоним |
+-------------------------+---------------------------------------|
|SerialNumber |Серийный номер (в соответствии с RFC|
| |5280 указывается для обеспечения|
| |уникальности различимых имен владельцев|
| |сертификатов ключа подписи) |
+-------------------------+---------------------------------------|
|Organization Unit |Наименование подразделения, сотрудником|
| |которого является уполномоченное лицо|
| |удостоверяющего центра |
+-------------------------+---------------------------------------|
|Email |Адрес электронной почты (в соответствии|
| |с RFC 5280 возможна запись в|
| |SubjectAltName) |
+-------------------------+---------------------------------------|
|Country |RU (Российская Федерация) |
+-------------------------+---------------------------------------|
|Location |Место регистрации организации,|
| |являющейся владельцем УЦ |
+-----------------------------------------------------------------+

5) обязательными атрибутами поля идентификационных данных
сертификата пользователя должны являться:

+-----------------------------------------------------------------+
|Common Name или pseudonym|Фамилия, имя, отчество или псевдоним |
+-------------------------+---------------------------------------|
|SerialNumber |Серийный номер имени (в соответствии с|
| |RFC 5280 указывается для обеспечения|
| |уникальности различимых имен владельцев|
| |сертификатов ключа подписи) |
+-------------------------+---------------------------------------|
|Organization Unit |Наименование подразделения |
+-------------------------+---------------------------------------|
|Email |Адрес электронной почты (в соответствии|
| |с RFC 5280 возможна запись в|
| |SubjectAltName) |
+-------------------------+---------------------------------------|
|Country |RU (Российская Федерация) |
+-----------------------------------------------------------------+

6) список отозванных сертификатов ключей подписи, который
издает удостоверяющий центр, должен соответствовать формату Х.509
версии 2 с возможным использованием следующих дополнительных полей:

+-----------------------------------------------------------------+
|Authority Key Identifier |Идентификатор ключа уполномоченного|
| |лица удостоверяющего центра |
+-------------------------+---------------------------------------|
|Reason Code |Код причины отзыва сертификата|
| |открытого ключа |
+-------------------------+---------------------------------------|
|SzOID_CERTSRV_CA_VERSION |Объектный идентификатор MS Certificate|
| |Server, определяющий версию службы|
| |сертификации MS CA только для УЦ,|
| |построенных на базе MS Certificate|
| |Server |
+-----------------------------------------------------------------+

12. Требования к объектным идентификаторам:
в целях обеспечения унификации определения сведений об
отношениях, при осуществлении которых электронный документ с
электронной цифровой подписью будет иметь юридическое значение,
удостоверяющие центры подсистемы УЦ ОГИЦ должны обеспечивать
возможность формирования единых объектных идентификаторов в
издаваемых ими сертификатах ключей подписи, учитывая ГОСТ Р ИСО/МЭК
8824-4-2003 "Информационная технология. Абстрактная синтаксическая
нотация версии один (АСН.1)" и следующие рекомендации:
для общероссийского государственного информационного центра
корневым идентификатором является 1.2.643.7.2;
для удостоверяющего центра УЦ ОГИЦ ПУ общероссийского
государственного информационного центра корневым идентификатором
является 1.2.643.7.2.1;
для идентификации базовых политик, используемых в сертификатах
удостоверяющих центров, корневым идентификатором является
1.2.643.7.2.1.1;
для идентификации удостоверяющих центров второго уровня
общероссийского государственного информационного центра (УЦ ОГИЦ
ВУ) корневым идентификатором является 1.2.643.7.2.1.2;
для идентификации сведений (политик применения) об отношениях,
при осуществлении которых электронный документ с электронной
цифровой подписью будет иметь юридическое значение, корневым
идентификатором является 1.2.643.7.2.1.3.

IV. Требования к унифицированным
программно-техническим средствам

13. Требования к техническим средствам и помещениям:
1) требования к техническим средствам:
а) размещение технических средств подсистемы УЦ ОГИЦ должно
быть выполнено с учетом требований нормативных документов,
определяющих порядок использования средств защиты информации в
составе компонентов подсистемы УЦ ОГИЦ;
б) технические средства УЦ ОГИЦ должны быть размещены в
контролируемой зоне с выделением отдельных изолированных помещений;
в) программно-аппаратные комплексы подсистемы УЦ ОГИЦ должны
быть подключены к источникам бесперебойного питания;
2) требования к помещениям:
а) входные двери помещений должны быть оборудованы электронной
системой контроля доступа;
б) помещения должны быть оборудованы охранно-пожарной и
тревожной сигнализацией, средствами вентиляции и кондиционирования
воздуха;
в) в качестве оконечных устройств сигнализации должны
использоваться датчики, не обладающие эффектом электроакустических
преобразований.
14. Требования к электронным идентификационным элементам:
1) в качестве электронного идентификационного элемента
пользователя подсистемы УЦ ОГИЦ должны использоваться электронные
носители, реализующие функции персонального электронного
идентификатора ОГИЦ;
2) в электронном идентификационном элементе должны быть
реализованы:
а) механизм выполнения арифметических операций в группе точек
на эллиптических кривых;
б) хранение и использование закрытого ключа ЭЦП, исключающие
факт доступа посторонних лиц к нему или подозрение на такой доступ
в принятой модели нарушителя, путем применения принципа разделения
ключа на отдельные доли.
15. Требования к носителям ключевой информации:
1) в качестве носителя ключевой информации для пользователя
подсистемы УЦ ОГИЦ должны использоваться носители, защищенные с
использованием средств криптографической защиты информации;
2) в носителе ключевой информации должны быть реализованы:
а) механизм выполнения операций в группе точек на
эллиптических кривых;
б) хранение и использование закрытого ключа ЭЦП, исключающие
факт доступа посторонних лиц к нему или подозрение на такой доступ
в принятой модели нарушителя, путем применения принципа разделения
ключа на отдельные доли.
16. Требования к основным техническим характеристикам.
Заданные функции подсистемы УЦ ОГИЦ должны быть реализованы ее
техническими средствами с следующими количественными
характеристиками по работоспособности, производительности и
надежности:
1) подсистема УЦ ОГИЦ должна обеспечивать выполнение целевых
функций круглосуточно в течение всего года, используя необходимые
организационно-технические мероприятия, в частности, резервирование
и внеплановую замену аппаратных компонентов, резервирование баз
данных подсистемы;
2) производительность подсистемы УЦ ОГИЦ должна
характеризоваться следующими данными:
а) программно-аппаратный комплекс, реализующий функции УЦ ОГИЦ
ПУ, должен обеспечивать возможность:
формирования до 360 сертификатов ключей подписей в сутки;
ведения архива сертификатов не менее чем на 2 000 000 СКП;
б) программно-аппаратный комплекс, реализующий функции УЦ ОГИЦ
ВУ, должен обеспечивать возможность:
формирования до 360 СКП пользователей УЦ на каждом
автоматизированном рабочем месте в сутки;
ведения архива сертификатов не менее чем на 2 000 000 СКП;
в) программно-аппаратный комплекс, реализующий функции
подсистемы ведения реестра(ов), должен обеспечивать возможность:
размещения информации не менее чем на 20 000 СКП
уполномоченных лиц удостоверяющих центров;
ведения архива не менее чем на 150 000 аннулированных СКП
уполномоченных лиц удостоверяющих центров;
размещения информации не менее чем на 20 000 СКП
уполномоченных лиц федеральных органов исполнительной власти;
ведения архива не менее чем на 150 000 аннулированных СКП
уполномоченных лиц федеральных органов исполнительной власти;
размещения информации не менее чем на 5000 СКП уполномоченных
лиц информационных систем, взаимодействующих с ОГИЦ;
ведения архива не менее чем на 10 000 аннулированных СКП
уполномоченных лиц информационных систем, взаимодействующих с ОГИЦ;
размещения информации не менее чем на 10 000 записей об
удостоверяющих центрах, взаимодействующих с УЦ ОГИЦ, включая записи
о текущем статусе взаимодействия с подсистемой УЦ ОГИЦ;
размещения информации не менее чем на 10 000 записей о
сервисах и услугах, предоставляемых подсистемой УЦ ОГИЦ и
взаимодействующими с ней удостоверяющими центрами и информационными
системами, включая текущий статус;
размещения информации не менее чем на 10 000 записей об
объектных идентификаторах, используемых в ОГИЦ;
3) программно-аппаратный комплекс, реализующий функции узла,
используемого для оказания государственных услуг в электронном виде
при трансграничном (междоменном и международном) взаимодействии,
должен обеспечивать возможность:
проверки действительности (подлинности) ЭЦП в электронном
документе при трансграничном электронном документообороте и
формирования квитанции от текущей даты проверки (метки времени) не
менее чем на 1000 документах в сутки;
проверки действительности (подлинности) ЭЦП в документе при
электронном документообороте между различными доменами внутри
Российской Федерации не менее чем на 10 000 документах в сутки;
проверки действительности (подлинности) СКП, изготовленного
иным удостоверяющим центром, не менее чем на 10 000 документах в
сутки;
4) программно-аппаратный комплекс, реализующий функции узла,
используемого для реализации сервисов в соответствии с перечнем
сервисов, содержащихся в подсистеме ведения реестров, должен
обеспечивать возможность:
определения актуального статуса сертификата ключа подписи в
режиме реального времени - не менее 50 000 сертификатов в сутки
(цифра должна определяться для конкретной системы);
формирования штампов времени для не менее 50 000 сертификатов
в сутки (цифра должна определяться для конкретной системы);
разбора не менее 10 ситуаций в сутки по подтверждению
подлинности ЭЦП уполномоченных лиц в выданных СКП;
5) программно-аппаратный комплекс, реализующий функции
автоматизированного рабочего места УЦ ОГИЦ, должен обеспечивать
возможность регистрации пользователя и выдачи сертификатов для не
менее 100 сертификатов в сутки;
6) носители ключевой информации и электронные
идентификационные элементы должны обеспечивать:
устойчивость к воздействию отказов и сбоев, в том числе
инициированных внешними воздействиями (облучениями);
эргономические и технические характеристики, пригодные для
массового производства и использования.
17. Требования по информационной безопасности:
1) средства криптографической защиты информации (включая
средства ЭЦП), используемые в подсистеме УЦ ОГИЦ, должны быть
сертифицированы и эксплуатироваться в полном соответствии с
требованиями эксплуатационной и нормативной документации;
2) уровень защиты используемых средств криптографической
информации должен быть указан в эксплуатационной документации УЦ;
3) требования по полномочиям:
для выполнения функций УЦ ОГИЦ должно использоваться
разграничение членов группы администраторов по полномочиям;
4) требования к управлению доступом:
при выполнении функций в подсистеме УЦ ОГИЦ должно
использоваться управление доступом к таким объектам, как базы
данных, ключи;
5) требования к идентификации и аутентификации:
идентификация и аутентификация должны включать в себя
распознавание пользователя, члена группы администраторов или
процесса и проверку их подлинности;
для аутентификации членов группы администраторов при их
обращении к средствам вычислительной техники, входящим в состав
подсистемы УЦ ОГИЦ, должны использоваться персональные
идентификационные элементы и/или периодически изменяющийся пароль;
регистрация владельца сертификата должна осуществляться только
при предъявлении им документов, удостоверяющих личность;
в подсистеме УЦ ОГИЦ должен быть реализован механизм
аутентификации удаленных пользователей, а также процессов при их
обращении к техническим средствам подсистемы УЦ ОГИЦ;
в подсистеме УЦ ОГИЦ должен быть реализован механизм
аутентификации локальных пользователей, имеющих доступ к
техническим средствам, входящим в состав подсистемы УЦ ОГИЦ, но не
входящих в состав группы администраторов.
18. Требования к программному обеспечению подсистемы УЦ ОГИЦ:
программное обеспечение вычислительных средств, на котором
функционирует подсистема УЦ ОГИЦ, не должно содержать средств
отладки программ, позволяющих модифицировать или искажать штатные
алгоритмы работы технических средств подсистемы УЦ ОГИЦ.
19. Требования к аппаратным компонентам подсистемы УЦ ОГИЦ:
аппаратные средства, на которых реализуются компоненты
подсистемы УЦ ОГИЦ, должны иметь соответствующие сертификаты
качества.
20. Требования к надежности:
надежность подсистемы УЦ ОГИЦ должна обеспечиваться:
наличием в УЦ ОГИЦ механизмов резервного копирования баз
данных (включая все реестры);
использованием источников бесперебойного питания,
обеспечивающих поддержание работоспособности в течение 1 часа;
использованием комплектующих, которые имеют повышенную
наработку на отказ;
восстановлением работоспособности в течение времени, не
превышающего одного часа после отказа.
21. Требования к целостности технических средств:
в подсистеме УЦ ОГИЦ должны быть реализованы механизм контроля
несанкционированного случайного и/или преднамеренного искажения
(изменения, модификации) и/или разрушения информации, программных и
аппаратных компонентов подсистемы УЦ ОГИЦ, механизм контроля
целостности и восстановления целостности технических средств
подсистемы УЦ ОГИЦ.
22. Требования к ключевой информации:
закрытый ключ, используемый для подписи СКП и списка
отозванных сертификатов, должен использоваться только для этих
целей и храниться на отчуждаемом носителе;
должны быть определены порядок формирования ключевой
информации, порядок ее уничтожения, сроки действия всех ключей,
описание формируемой и/или хранимой в подсистеме УЦ ОГИЦ ключевой
информации.
23. Требования к регистрации событий:
в подсистеме УЦ ОГИЦ должен быть реализован механизм,
производящий регистрацию событий в журнале, связанных с выполнением
подсистемой УЦ ОГИЦ своих целевых функций.
24. Требования к резервному копированию и восстановлению:
в подсистеме УЦ ОГИЦ должен быть реализован механизм
резервного копирования и восстановления УЦ ОГИЦ;
должна быть исключена возможность резервного копирования
закрытых ключей.
25. Требования по реализации организационно-технических мер
обеспечения информационной безопасности:
необходимость наличия лицензий на деятельность по техническому
обслуживанию шифровальных (криптографических) средств, а также их
распространению в соответствии с законодательством Российской
Федерации;
необходимость применения сертифицированных технических и
программных средств защиты информации;
необходимость ограничения прав доступа к техническим
средствам;
необходимость опечатывания системных блоков и дверей
защищенных шкафов, исключающего возможность несанкционированного
изменения аппаратной части (целостность технических средств);
необходимость контроля целостности технических средств и
легальности установленных копий программного обеспечения на всех
компонентах подсистемы УЦ ОГИЦ.
26. Требования к порядку эксплуатации:
в процессе эксплуатации подсистемы УЦ ОГИЦ необходимо
обеспечивать поддержание штатного режима работы ее
программно-технических средств (далее - ПТС) при условии
обязательного выполнения мероприятий, направленных на обеспечение
информационной безопасности подсистемы УЦ ОГИЦ;
ответственность за проведение эксплуатационных мероприятий
возлагается на обслуживающий персонал и администраторов подсистемы
УЦ ОГИЦ.
27. Требования к проведению профилактических работ:
профилактические мероприятия, выполняемые в процессе
эксплуатации подсистемы УЦ ОГИЦ, должны охватывать общесистемное
программное обеспечение, аппаратные средства, межсетевые экраны.
28. Требования к резервному копированию данных:
при определении данных для архивного хранения и процедур
ведения архивов должна быть учтена возможность восстановления
рабочего состояния подсистемы ОГИЦ в целом и в отдельности УЦ ПУ
ОГИЦ и УЦ ВУ ОГИЦ;
порядок проведения работ по архивированию данных, их
периодичность и состав должны определяться регламентом УЦ;
администратор аудита должен регулярно осуществлять архивное
копирование журналов аудита на внешние носители информации;
данные архивные копии должны храниться в подсистеме УЦ ОГИЦ не
менее срока действия закрытого ключа УЦ ПУ ОГИЦ.
29. Требования к документированию:
в подсистеме УЦ ОГИЦ должны применяться унифицированные
порядок и правила документирования информации, операций и процессов
в соответствии с ГОСТ Р ИСО 15489-1 - 2007 "Управление документами.
Общие требования".
30. Требования к обеспечению безопасности при модернизации
программно-технических средств:
модернизация, а также изменение настроек программно-аппаратных
средств подсистемы УЦ ОГИЦ должны осуществляться в соответствии с
процедурой, определенной регламентом и внутренними инструкциями
подсистемы УЦ ОГИЦ;
все работы по модернизации и изменению настроек компонентов
подсистемы УЦ ОГИЦ должны согласовываться с уполномоченным органом
в области использования ЭЦП в соответствии с определенным им
порядком.
31. Требования к обеспечению качества услуг, предоставляемых
подсистемой УЦ ОГИЦ:
для обеспечения качества услуг, предоставляемых подсистемой УЦ
ОГИЦ, должен проводиться постоянный контроль качества в
соответствии с правилами и процедурами, определенными
ГОСТ Р ИСО 9001-2000 "Сист ема менеджмента качества" и внутренними
инструкциями подсистемы УЦ ОГИЦ.

V. Требования к информационному взаимодействию

32. Взаимодействие удостоверяющих центров или информационных
систем (далее - присоединение) с подсистемой УЦ ОГИЦ при создании
единого пространства ЭЦП для унифицированного оказания
государственных услуг в электронном виде и обеспечения
межведомственного информационного взаимодействия на территории
Российской Федерации в рамках подсистемы УЦ ОГИЦ должно
осуществляться на добровольных началах.
33. Техническая реализация присоединения удостоверяющих
центров или информационных систем к подсистеме УЦ ОГИЦ должна
осуществляться путем включения сертификата ключа подписи
уполномоченного лица в подсистему ведения реестров, в реестр
доверенных УЦ или в реестр доверенных информационных систем.
34. При присоединении УЦ должно быть обеспечено выполнение
следующих требований:
1) УЦ должен иметь действительные на протяжении всего срока
взаимодействия с подсистемой УЦ ОГИЦ лицензии на следующие виды
деятельности:
распространение шифровальных (криптографических) средств;
техническое обслуживание шифровальных (криптографических)
средств;
предоставление услуг в области шифрования информации;
2) УЦ должен:
на протяжении всего срока взаимодействия с подсистемой УЦ ОГИЦ
следовать единой технологической политике в рамках подсистемы УЦ
ОГИЦ;
использовать сертифицированные средства криптографической
защиты информации (средства ЭЦП);
использовать источник фиксированного времени от источника
времени ОГИЦ для синхронизации функционирования служб и
автоматизированных процессов;
применять критерии оценки качества предоставляемых услуг,
используемые в подсистеме УЦ ОГИЦ;
использовать электронные идентификационные элементы, принятые
к использованию в подсистеме УЦ ОГИЦ;
выдавать СКП для унифицированного оказания государственных
услуг в электронном виде, структура которых должна соответствовать
структуре сертификатов ключа подписи УЦ ОГИЦ;
в части условий и порядка оказания услуг пользователям в
рамках унифицированного оказания государственных услуг в
электронном виде должен нести обязательства и ответственность перед
пользователями, не противоречащие принятым в подсистеме УЦ ОГИЦ;
представить до начала использования ЭЦП уполномоченного лица
УЦ в уполномоченный федеральный орган исполнительной власти СКП
уполномоченного лица УЦ в форме электронного документа, а также
этот сертификат в форме документа на бумажном носителе с
собственноручной подписью указанного уполномоченного лица,
заверенный подписью руководителя и печатью УЦ;
обеспечить проведение мероприятий, гарантирующих, соответствие
установленным требованиям.

____________