Файл: Федеральное агентство морского и речного транспорта Федеральное государственное бюджетное образовательное учреждение высшего образования.docx

2.4.2. Правовые аспекты создания и применения шифровальных (криптографических) средств защиты информации
Шифровальные (криптографические) средства создаются и применяются для защиты информации различных уровней конфиденциальности.

При этом, если такие средства предназначены для защиты государственной тайны, указанные вопросы находятся в полном ведении ФСБ и государственным организациям и предприятиям запрещается использовать в информационно-телекоммуникационных системах шифровальные средства, включая криптографические средства обеспечения подлинности информации (электронная подпись), не имеющие соответствующего сертификата.

В отношении информации ограниченного доступа, не содержащей сведений, составляющих ГТ (конфиденциальной информации), эти вопросы регулируются утвержденным директором ФСБ России Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации.

В Положении определен состав шифровальных (криптографических) средств защиты информации, именуемых средствами криптографической защиты информации (СКЗИ).
К СКЗИ относятся:

• 
  средства шифрования - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации при передаче по каналам связи и (или) для защиты информации от несанкционированного доступа при ее обработке и хранении;
  
• 
  средства имитозащиты - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;
  
• 
  средства электронной цифровой подписи - аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи;
  
• 
  средства кодирования - средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;
  
• 
  средства изготовления ключевых документов (независимо от вида носителя ключевой информации);
  
• 
  ключевые документы (независимо от вида носителя ключевой информации).
  

---

Положением необходимо руководствоваться при разработке, производстве, реализации и эксплуатации средств криптографической защиты информации конфиденциального характера в следующих случаях:

• 
  если информация конфиденциального характера подлежит защите в соответствии с законодательством Российской Федерации;
  

• 
  при организации криптографической защиты информации конфиденциального характера в федеральных органах исполнительной власти, органах исполнительной власти субъектов Российской Федерации;
  

• 
  при организации криптографической защиты информации конфиденциального характера в организациях независимо от их организационно-правовой формы и формы собственности при выполнении ими заказов на поставку товаров, выполнение работ или оказание услуг для государственных нужд;
  

• 
  если обязательность защиты информации конфиденциального характера возлагается законодательством Российской Федерации на лиц, имеющих доступ к этой информации или наделенных полномочиями по распоряжению сведениями, содержащимися в данной информации;
  

• 
  при обрабатывании информации конфиденциального характера, обладателем которой являются государственные органы или организации, выполняющие государственные заказы, в случае принятия ими мер по охране ее конфиденциальности путем использования средств криптографической защиты;
  

• 
  при обрабатывании информации конфиденциального характера в государственных органах и в организациях, выполняющих государственные заказы, обладатель которой принимает меры к охране ее конфиденциальности путем установления необходимости криптографической защиты данной информации.
  

Требования Положения носят рекомендательный характер при разработке, производстве, реализации и эксплуатации:

• 
  средств криптографической защиты информации, доступ к которой ограничивается по решению обладателя, пользователя (потребителя) данной информации, собственника (владельца) информационных ресурсов (информационных систем) или уполномоченных ими лицами, не являющихся государственными органами или организациями, выполняющими государственные заказы;
  

• 
  средств криптографической защиты информации открытых и общедоступных государственных информационных ресурсов Российской Федерации;
  

---

• 
  средств электронной цифровой подписи, предназначаемых для использования в электронном документообороте, информация которого не относится к информации конфиденциального характера;
  

• 
  информационно-телекоммуникационных систем, реализующих функции криптографической защиты информации, не относящейся к информации конфиденциального характера.
  

Положение не регулирует отношения, связанные с экспортом и импортом СКЗИ, и не распространяется на использование шифровальных (криптографических) средств иностранного производства.
Режим защиты информации путем использования СКЗИ устанавливается обладателем информации конфиденциального характера, собственником (владельцем) информационных ресурсов (информационных систем) или уполномоченными ими лицами на основании законодательства Российской Федерации.

СКЗИ должны удовлетворять требованиям технических регламентов, оценка выполнения которых осуществляется в порядке, определяемом #M12291 901836556Федеральным законом "О техническом регулировании".
Основными механизмами регулирования применения СКЗИ в государстве является лицензирование деятельности по их разработке, использованию и распространению, и сертификации продукции.
2.4.3. Правовые аспекты применения электронной подписи
Электронная подпись (ЭП) - информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию.

По своему существу электронная подпись представляет собой реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП.

Использование электронной подписи позволяет осуществить:

• 
  контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему;
  
• 
  защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев;
  
• 
  невозможность отказа от авторства. Так как создать корректную подпись можно, лишь зная закрытый ключ, а он известен только владельцу, он не может отказаться от своей подписи под документом;
  
• 
  доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он известен только владельцу, он может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и др.
  

---

Основным правовым документом, регламентирующим отношения в области применения ЭП является Федеральный закон РФ «Об электронной подписи».
Закон устанавливает виды электронных подписей.
К ним относятся:

• 
  Простая электронная подпись (ПЭП);
  

ПЭП создается с помощью кодов, паролей и других инструментов. Эти средства защиты позволяют идентифицировать автора подписанного документа. Важным свойством простой электронной подписи является отсутствие возможности проверить документ на предмет наличия изменений с момента подписания.

Примером простой электронной подписи является комбинация логина и пароля.

• 
  Усиленная неквалифицированная электронная подпись (НЭП);
  

НЭП создается с использованием криптографических средств и позволяет определить не только автора документа, но проверить его на наличие изменений. Простые и усиленные неквалифицированные подписи заменяют подписанный бумажный документ в случаях, оговоренных законом или по согласию сторон.

Например, простые подписи могут использовать граждане для отправки сообщений органам власти.

Усиленная подпись также может рассматриваться как аналог документа с печатью.

• 
  Усиленная квалифицированная электронная подпись (КЭП).
  

Квалифицированной электронной подписью является электронная подпись, которая соответствует всем признакам неквалифицированной электронной подписи и следующим дополнительным признакам:

1) ключ проверки электронной подписи указан в квалифицированном сертификате;

2) для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с Федеральным законом.

Усиленная подпись должна обязательно иметь сертификат аккредитованного Удостоверяющего центра. Эта подпись заменяет бумажные документы во всех случаях, за исключением тех, когда закон требует наличия исключительно документа на бумаге.

С помощью таких подписей можно организовать юридически значимый электронный документооборот с партнерскими компаниями, органами государственной власти и внебюджетными фондами.
Подписи обладают разной степенью защиты и неравнозначны.
Особенности видов электронных подписей показаны в таблице:

Особенности видов электронных подписей

---

Характеристики подписи	Простая подпись	Усиленная подпись
		неквалифици- рованная	квалифици- рованная
Создается с помощью кодов, паролей и других инструментов	+
создается в результате криптографического преобразования информации документа с использованием ключа ЭП		+	+
Позволяет определить автора документа, т.е. факт его подписания определенным лицом	+	+	+
Позволяет установить факт отсутствия изменений в документ после того, как он был подписан		+	+
Самая высокая степень защиты – создается и проверяется в соответствии с требованиями Закона «Об электронной подписи». Ключ проверки ЭП содержится в квалифицированном сертификате			+

---