О ФОРМЕ ДОГОВОРА МЕЖДУ КРЕДИТНОЙ ОРГАНИЗАЦИЕЙ И БАНКОМ РОССИИ О ПЕРЕДАЧЕ-ПРИЕМЕ ОТЧЕТНОСТИ В ВИДЕ ЭЛЕКТРОННЫХ СООБЩЕНИЙ. Письмо. Центральный банк РФ (ЦБР). 04.12.07 191-Т

ПОРЯДОК
               ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
                      ПРИ ПЕРЕДАЧЕ-ПРИЕМЕ ЭС <*>

--------------------------------
     <*>  Разрабатывается  структурным  подразделением  Банка России с
учетом изложенных требований.

     1.  Передача-прием  ЭС между кредитной организацией и структурным
подразделением  Банка  России  осуществляются  с  применением  средств
криптографической   защиты   информации   (далее   -   СКЗИ):  средств
аутентификации   и   шифрования.   Конкретные   СКЗИ   и   порядок  их
использования определяются структурным подразделением Банка России.
     2.  Установка  и  настройка  СКЗИ  на  АРМ  передачи ЭС кредитной
организации  выполняются в присутствии администратора АРМ передачи ЭС,
назначаемого  кредитной  организацией.  При  каждом запуске АРМ должен
быть   обеспечен   контроль  целостности  установленного  программного
обеспечения СКЗИ.
     3.  Технологический  процесс  передачи-приема  и  обработки  ЭС с
использованием    СКЗИ   должен   быть   регламентирован   структурным
подразделением Банка России и обеспечен инструктивными и методическими
материалами.
     4.  Каждой  из  Сторон  должен быть определен и утвержден порядок
учета,   хранения   и   использования  носителей  ключевой  информации
(ключевых  дискет,  ключевых  идентификаторов  Touch  Memory, ключевых
Smart-карточек  и  т.п.) с секретными ключами КА и ключами шифрования,
который  должен  полностью  исключать возможность несанкционированного
доступа к ним.
     5. Кредитная организация приобретает средство формирования ключей
КА  (по  рекомендации  структурного  подразделения  Банка России) либо
получает   его   от   структурного   подразделения   Банка   России  и
изготавливает  ключи  КА  самостоятельно.  Открытые ключи КА кредитная
организация должна направить на регистрацию в регистрационный центр.
     6.  В  соответствии  с  разработанным  структурным подразделением
Банка России порядком управления ключами КА и ключами шифрования ключи
шифрования,  предназначенные  для  обеспечения  защиты  информации при
передаче   ЭС   по   каналам  связи,  либо  предоставляются  кредитной
организации структурным подразделением Банка России с оформлением акта
их  приема-передачи  по форме, определенной структурным подразделением
Банка    России,    либо    изготавливаются   кредитной   организацией
самостоятельно   и  регистрируются  структурным  подразделением  Банка
России  с  оформлением  документов  по форме, определенной структурным
подразделением Банка России.
     7.  Каждая  из  Сторон  утверждает  список  лиц, имеющих доступ к
секретным  ключам  КА  и  ключам  шифрования  (с указанием для каждого
конкретного  лица,  к  каким  ключам  это  лицо  имеет доступ). Доступ
неуполномоченных  лиц  к  носителям  ключевой  информации  должен быть
исключен.
     8.  Для  хранения  носителей  ключевой  информации  с  секретными
ключами  КА  и  ключами  шифрования  должны  использоваться  хранилища
(металлические шкафы, сейфы), оборудованные внутренними замками (далее
-  хранилище).  Хранение  носителей  ключевой  информации с секретными
ключами КА допускается в одном хранилище с другими документами, но при
этом   отдельно   от   них   в   отдельном  контейнере,  опечатываемом
пользователем ключа КА.
     9.  По  окончании рабочего дня, а также вне времени составления и
передачи-приема  ЭС  носители ключевой информации с секретными ключами
КА или ключами шифрования должны помещаться в хранилище.
     10. Не допускается:
     снимать    несанкционированные   копии   с   носителей   ключевой
информации;
     знакомить   с   содержанием  носителей  ключевой  информации  или
передавать носители ключевой информации лицам, к ним не допущенным;
     выводить  секретные  ключи  КА  или  ключи  шифрования на дисплей
(монитор) ПЭВМ или принтер;
     устанавливать  носитель секретных ключей КА или ключей шифрования
в  считывающее  устройство  (дисковод)  ПЭВМ,  на  которой программные
средства   передачи-приема   ОЭС   функционируют  в  непредусмотренных
(нештатных) режимах, а также на другие ПЭВМ;
     записывать    на   носители   ключевой   информации   постороннюю
информацию.
     11.  При  компрометации  секретного ключа КА или ключа шифрования
Сторона,  допустившая  компрометацию, обязана предпринять все меры для
прекращения  любых  операций  с  ЭС  с  использованием  этого  ключа и
немедленно    проинформировать    о   факте   компрометации   (утраты)
регистрационный  центр, который организует внеплановую смену ключей КА
или ключей шифрования.
     12. По факту компрометации ключа КА или ключа шифрования Сторона,
допустившая     компрометацию,     должна    организовать    служебное
расследование,  результаты  которого должны быть отражены в акте <*> о
служебном расследовании.
--------------------------------
     <*>   Форма   акта   о  служебном  расследовании  разрабатывается
структурным подразделением Банка России самостоятельно.

     13.  В  случае увольнения или перевода в другое подразделение (на
другую  должность),  изменения  функциональных обязанностей сотрудника
соответствующей  Стороны,  имевшего  доступ  к секретным ключам КА или
ключам  шифрования,  должна  быть  проведена  смена  ключей, к которым
указанный сотрудник имел доступ.


                                                          Приложение 5

                                                            к Договору
                                          о передаче-приеме отчетности
                                         в виде электронных сообщений,
                                       снабженных кодом аутентификации
                                               от ------------ N -----