СКЗИ в ГИС. Проект приказа ФСБ. Итог обсуждения.

 

Завершился этап общественных обсуждений проекта Приказа ФСБ "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, с использованием средств криптографической защиты информации". Проект разбирал  - https://valerykomarov.blogspot.com/2020/11/blog-post_26.htm

Позиция ФСБ озвучена емко и кратко - "ФСБ России и ФСТЭК России в пределах своих полномочий предъявлены самостоятельные требования о защите информации, содержащейся в государственных информационных системах. В этой связи полагаем, что наличие схожих положений в указанных документах допускается для целей регулирования соответствующих правоотношений.". 

Учтенных замечаний нет.

Проект Требований согласован со ФСТЭК России. Предложений и замечаний от ФСТЭК России в ходе согласования не поступило.

"КИБЕРБЕЗОПАСНОСТЬ - НАШИ ДНИ. ПРОМЫШЛЕННЫЕ ТЕХНОЛОГИИ" 2021

 

Пандемия повлияла на традиционный банковский форум по безопасности банков. Февральский форум в Магнитогорске прошел для промышленности.

Так и бывает, если сразу не подумать

   

    Ведомство предложило приостановить действие правил установки аппаратуры навигации ГЛОНАСС или ГЛОНАСС/GPS до 31 мая 2020 года на автобусы и грузовики, которые перевозят опасные грузы. 
    Действие правил уже "ставили на паузу" до 1 июля 2019 года. Объясняли это тем, что на рынке не было навигационных систем, которые отвечали бы данным правилам.
    Теперь выявилась другая проблема: в законодательстве нет требований о том, что информация, передаваемая по навигационной системе, не должна корректироваться. Не указано также, что данная аппаратура является средством измерения. Получается, что передаваемые сведения не могут быть юридически значимыми и их нельзя использовать для наказания нарушителей. Нужно время для принятия поправок.

Вывоз СКЗИ

       Опубликовал в журнале «Информационная безопасность» статью «Организация использования криптографических средств защиты информации за пределами России». http://www.itsec.ru/imag/insec-2-2017/

       Статья написана на материалах работ, проведенных в 2016 году. Тема озвучивалась в моей докладе на РусКрипто #РусКрипто 2017 . К сегодняшнему моменту есть следующие уточнения (вся информация получена при неофициальном общении):

1. 8 центр ФСБ выпустил требования для разработчиков СКЗИ по исполнению, допускающим использование СКЗИ за рубежом.

2. У производителей СКЗИ уже есть сертифицированные СКЗИ, с зарубежным исполнением.

3. Сбербанк сумел получить временное разрешение ФСБ на вывоз СКЗИ, но возникли проблемы с дальнейшей процедурой оформления (ФСТЭК и СВР).

4. ФСТЭК подтвердила, что к ГИС можно подключаться из-за рубежа и классификация подобных систем с зарубежными сегментами проводиться как «федеральная».

         Актуальность проблемы легализации вывоза СКЗИ для госкорпораций, банков только увеличилась (Чемпионат Европы по футболу и т.д.), пока еще есть надежда на появление межведомственного регламента по временному вывозу СКЗИ за рубеж.

«Проблематика ввоза - вывоза шифровальных средств»

     Прослушал вебинар от АИС, Академия Информационных Систем на тему «Проблематика ввоза - вывоза шифровальных средств».             Ведущий вебинара – Андрей Николаевич Ковалев, независимый эксперт АИС, до 2017 года – заместитель начальника ЦЛСЗ ФСБ России."
    АИС, Академия Информационных Систем больших плюсов в карму за тематику и за привлечение представителя регулятора данной области такого ранга. Прояснил для себя несколько моментов:
1. ПКЗ-2005 сознательно написан исключительно под отечественные СКЗИ, а регулировать использование иностранного СКЗИ так и не надумали.
2. использование в документации по ввозу/вывозу СКЗИ формулировок "принтер с функцией шифрование" и подобное, вызван нежеланием таможни присваивать отдельные коды средствам СКЗИ. По этому для ФТС все ввозимое оборудование одинаково и приходится ФСБ постоянно разъяснения им направлять. Больная тема оказалась для Андрей Николаевича.
3. Озвучена интересная позиция, что сертифицированные СКЗИ обязательны только для гостайны (это не ново), но и для ГИС, потому что в ГИС владельцем информации является государство и так будет правильно. Но юридически это не закреплено.
4. Сертификации иностранных СКЗИ не будет никогда, мельком упомянута роль Cisco в этом (специально для Alexey Lukatsky).
5. Существуют "черные списки" ЦЛСЗ, при попадании в которые, производителям иностранного СКЗИ не грозит получение нотификации на ввоз в РФ. Одним из основанием для включения названо - "фиктивное" отключение функции шифрований на устройстве (производитель информирует покупателя в РФ как снять заводскую блокировку шифрования после ввоза).

    Специально поднял вопрос вывоза отечественного сертифицированного СКЗИ для собственных нужд. Получил следующие ответы:
1. Для временного вывоза ноутбука с СКЗИ необходимо получать разрешение ЦЛСЗ. Вопрос был про командировку сотрудника за рубеж.Причем разрешение будет выдаваться разово, с привязкой конкретному человеку,организации и условий поездки. Все будет решаться индивидуально.
2. Необходимо получать разрешение на вывоз ноутбука с установленными СЗИ у ФСТЭК, если эти СЗИ имеют сертификаты ФСТЭК и обязательны для использования СКЗИ. Конкретно озвучивалось защита от НСД.
3. СКЗИ должны иметь исполнение, допускающее эксплуатацию за рубежом.
4.Если зарубежное представительство/филиал оформлено как отдельное юрлицо, то никакой речи об "использовании для собственных нужд" уже не идет.                  Вперед на получение внешнеторговых лицензий.
5. Любое использование СКЗИ между филиалами в РФ и заграницей решается индивидуально. Касается как использования российской дочки иностранного СКЗИ (оформление ввоза), так и иностранного филиала российской компании (вывоз СКЗИ).

    Общий вывод: проблема ввоза/вывоза СКЗИ стоит остро, но ни неформальные обращение, ни мои официальные публикации в СМИ и доклады на профильных выставках ни к чему не привели в части регламентации действий заявителя         Единственная реакция регулятора - появились требования к СКЗИ для эксплуатации за рубежом и отечественные производители насытили коммерческий рынок подобными предложениями.

Ввоз/вывоз СКЗИ через границу

      Под конец 2017 года появились подвижки с ввозом/вывозом СКЗИ через границу.
КОЛЛЕГИЯ ЕВРАЗИЙСКОЙ ЭКОНОМИЧЕСКОЙ КОМИССИИ
РЕШЕНИЕ
от 13 декабря 2017 г. N 172
О ВНЕСЕНИИ ИЗМЕНЕНИЙ
В ПОЛОЖЕНИЕ О ВВОЗЕ НА ТАМОЖЕННУЮ ТЕРРИТОРИЮ
ЕВРАЗИЙСКОГО ЭКОНОМИЧЕСКОГО СОЮЗА И ВЫВОЗЕ С ТАМОЖЕННОЙ
ТЕРРИТОРИИ ЕВРАЗИЙСКОГО ЭКОНОМИЧЕСКОГО СОЮЗА
ШИФРОВАЛЬНЫХ (КРИПТОГРАФИЧЕСКИХ) СРЕДСТВ

     Выглядит красиво: физическим лицам для личного использования разрешили провозить без нотификации широкий перечень ПО и техники.
     Но есть нюансы:
     1. Неизвестно когда этот решение вступит в силу. Очень важная деталь в тексте "но не ранее даты вступления в силу Договора о Таможенном кодексе Евразийского экономического союза от 11 апреля 2017 года".
     2. Часть пунктов Перечня по технике осталась на усмотрение таможенного инспектора ("..в котором функция шифрования является вспомогательной и не может быть изменена пользователем" или "..предназначенные для общедоступного применения, криптографические возможности которых недоступны пользователю".
     3. Остался отсыл к техническим условиям Производителя в п.7: "Товары, в том числе принтеры, мультифункциональные устройства (принтер, сканер, копировальный аппарат и др.), копировальные аппараты и их электронные модули, содержащие оборудование, осуществляющее шифрование информации, с максимальной дальностью действия без усиления и ретрансляции менее 400 м в соответствии с техническими условиями производителя, в том числе маршрутизаторы (роутеры) и беспроводные модемы для информационно-телекоммуникационной сети "Интернет" и локальных сетей."

     По этому, если  будете испытывать острые приступу шопомании модных гаджетов, все таки проверяйте их наличие в нотификациях ФСБ. Проблемы на таможне возможны.