Про затвердження Примірного регламенту роботи центрів сертифікації ключів банків України

Відповідно до пункту 7 статті 7 Закону України "Про Національний банк України", частини сьомої статті 5 та частини другої статті 10 Закону України "Про електронний цифровий підпис", з метою формування інфраструктури відкритих ключів банківської системи України і забезпечення умов для функціонування електронного цифрового підпису в банківській системі України Правління Національного банку України

1. Затвердити Примірний регламент роботи центрів сертифікації ключів банків України, що додається.

2. Департаменту інформатизації (А.С.Савченко) довести до відома центрів сертифікації ключів банків України зміст Примірного регламенту роботи центрів сертифікації ключів банків України.

3. Контроль за виконанням цієї постанови покласти на заступника Голови Національного банку України П.М.Сенища.

4. Ця постанова набирає чинності з моменту набрання чинності постановою Правління Національного банку України від 17.06.2010 N 284 "Про затвердження нормативно-правових актів з питань функціонування електронного цифрового підпису в банківській системі України".

1.1. Цей Примірний регламент (далі - Регламент) розроблено відповідно до нормативно-правових актів Національного банку України щодо центрів сертифікації ключів банків України, правил реєстрації, засвідчення чинності відкритого ключа та акредитації центрів сертифікації ключів банків України в Засвідчувальному центрі Національного банку України , правил розроблення Регламенту роботи центрів сертифікації ключів банків України.

1.2. У Регламенті скорочення вживаються в такому значенні:

БД - база даних;

заявник - заявник підписувача, який є клієнтом банку;

ЕЦП - електронний цифровий підпис;

НКІ - носій ключової інформації;

ЗЦ НБУ - Засвідчувальний центр Національного банку України;

ПЗ - програмне забезпечення;

ПТК - програмно-технічний комплекс;

СВС - список відкликаних сертифікатів ключів;

СЗІ - система захисту інформації;

ЦСК - центр сертифікації ключів;

DNS - доменна система іменування;

HTTP - протокол прикладного рівня, що використовується для передавання гіпертексту;

IMAP4 - протокол інтерактивного доступу до електронної пошти;

LDAP - полегшений (спрощений) протокол доступу до каталогів;

NTP - протокол мережного часу;

OCSP - протокол визначення статусу сертифіката ключа;

POP3 - поштовий протокол версії 3;

SMTP - простий протокол передавання електронної пошти;

TCP - протокол керування передаванням;

TSP - протокол фіксування часу.

Інші скорочення в цьому Регламенті застосовуються в значеннях, наведених у документах, зазначених у пункті 1.1 цього Регламенту.

1.3. У цьому Регламенті терміни вживаються в такому значенні:

БД - база даних ЦСК, у якій зберігаються реєстр ЦСК, інформаційно-довідкова, технологічна та інша службова інформація, потрібна для функціонування ПТК ЦСК;

договір, відповідно до якого підписувачу надаються послуги ЕЦП, - окремий договір про надання послуг ЕЦП або договір про обслуговування клієнта банку, що має містити договір про надання послуг ЕЦП підписувачу. Підписувачі, які є працівниками банку, не укладають з ЦСК договір про надання послуг ЕЦП;

заявник - уповноважений представник підписувача, який є клієнтом банку, у ЦСК, який на законних підставах звертається до ЦСК з метою організації та проведення реєстрації підписувача - клієнта банку формування та зміни статусу його сертифіката ключа, а також зміни його даних (реквізитів) у встановленому порядку. Якщо в основних даних (реквізитах) сертифіката ключа підписувача, який є клієнтом банку, сформованого за зверненням заявника, зазначаються реквізити заявника, то заявник і підписувач, який є клієнтом банку, є одним суб'єктом;

зміна ідентифікаційних даних підписувача - зміна даних підписувача, що внесені до сертифіката ключа підписувача, які попередньо надавалися заявником до ЦСК;

зміна статусу сертифіката ключа - виконання однієї з процедур блокування/скасування/поновлення сертифіката ключа;

інформаційний ресурс ЦСК - загальнодоступна частина БД. Доступ до інформаційного ресурсу ЦСК є вільним і забезпечується через телекомунікаційні мережі загального користування;

СЗІ ПТК ЦСК - сукупність інженерно-технічних, організаційних заходів і програмно-апаратних засобів, що забезпечують технічний та криптографічний захист інформації в ПТК ЦСК;

підписувач, який є клієнтом банку, - клієнт банку, якому ЦСК надає послуги ЕЦП. Банк укладає з підписувачем - клієнтом банку договір, відповідно до якого підписувачу надаються послуги ЕЦП;

підписувач, який є працівником банку, - працівник банку, який для виконання своїх службових обов'язків користується послугами ЕЦП власного ЦСК. Банк призначає підписувача - працівника банку наказом;

поновлення сертифіката ключа - процедура управління статусом сертифіката ключа, що поновлює чинність сертифіката ключа (якій передувала відповідна процедура блокування сертифіката ключа);

ПТК ЦСК - сукупність технічного обладнання, ПЗ та організаційних заходів, що використовується банком, у якому функціонує ЦСК, для забезпечення виконання функцій ЦСК;

процедура реєстрації підписувача, який є клієнтом банку, - установлена процедура подання заявником до ЦСК необхідного пакета документів, опрацювання цих документів і формування сертифіката ключа підписувача - клієнта банку;

процедура реєстрації підписувача, який є працівником банку, - установлена процедура подання ним до ЦСК необхідного пакета документів, опрацювання цих документів і формування сертифіката ключа підписувача - працівника банку;

сертифікат ключа відповідальної особи ЦСК - сертифікат ключа відповідальної особи ЦСК, чинність якого засвідчується особистими ключами ЦСК;

скасування сертифіката ключа - процедура управління статусом сертифіката ключа, яка зупиняє чинність сертифіката ключа;

строк чинності сертифіката ключа - проміжок часу між датою і часом початку та датою і часом закінчення чинності сертифіката ключа, що встановлюються під час формування сертифіката ключа;

строк чинності особистого ключа - строк, протягом якого використання особистого ключа є чинним.

Інші терміни в цьому Регламенті застосовуються в значеннях, наведених у Законі України "Про електронний цифровий підпис" і документах, зазначених у пункті 1.1 цього Регламенту.

1.4. Цей Регламент є внутрішнім документом банку, що визначає організаційно-методологічні та технологічні умови діяльності ЦСК під час реєстрації, зміни ідентифікаційних даних підписувачів і надання підписувачам послуг ЕЦП.

1.5. Положення цього Регламенту поширюються в електронній формі:

шляхом розміщення на інформаційному ресурсі ЦСК;

засобами електронної пошти (e-mail), що надсилаються відповідальною особою ЦСК.

1.6. Суб'єктами правових відносин у сфері ЕЦП, що обумовлюються цим Регламентом, є ЗЦ НБУ, ЦСК і підписувачі.

1.7. Вимоги цього Регламенту поширюються на всі причетні сторони, а також є засобом офіційного повідомлення та інформування всіх сторін у взаєминах, що виникають у процесі надання і використання послуг ЕЦП від ЦСК.

1.8. Ідентифікаційні дані ЦСК(1):

(1) ЦСК зазначає свої ідентифікаційні дані.

повне найменування банку;

повне найменування ЦСК;

ідентифікаційний код юридичної особи (банку);

ідентифікатор СЕП банку;

юридична адреса ЦСК;

адреса розташування ЦСК;

телефон ЦСК;

факс ЦСК;

електронна адреса інформаційного ресурсу ЦСК (веб-сайта);

електронна поштова скринька ЦСК.

2.1. Організаційна структура ЦСК містить дві основні складові частини, що виконують адміністративні функції, технічні і технологічні функції.

2.2. До адміністративних функцій ЦСК належать:

реєстрація підписувачів;

надання підписувачам консультацій з питань, пов'язаних з використанням ЕЦП;

розгляд заяв і скарг підписувачів;

передавання сертифікатів ключів, їх реєстрів і документованої інформації, яка підлягає обов'язковому передаванню в разі припинення їх діяльності, до ЗЦ НБУ.

2.3. До технічних і технологічних функцій ЦСК належать:

створення і забезпечення функціонування ПТК ЦСК;

забезпечення захисту інформації впродовж експлуатації ПТК ЦСК;

генерування і зберігання ключів ЦСК та відповідальних осіб ЦСК;

надання допомоги під час генерування ключів підписувачів у разі потреби та вживання заходів щодо забезпечення безпеки інформації під час генерування;

установлення належності підписувачу особистого ключа та його відповідність відкритому ключу;

засвідчення чинності власних відкритих ключів ЦСК у ЗЦ НБУ;

формування сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

ведення реєстру ЦСК;

поширення сертифікатів ключів ЦСК і підписувачів у встановленому цим Регламентом порядку;

блокування, скасування та поновлення сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів у випадках, передбачених цим Регламентом і законодавством України у сфері ЕЦП;

надання підписувачам послуг фіксування часу;

надання послуг визначення статусу сертифіката ключа;

публікація на інформаційному ресурсі ЦСК відкритої інформації;

інші дії, пов'язані з технічною та технологічною підтримкою діяльності ЦСК.

2.4. У ЦСК для виконання адміністративних, технічних і технологічних функцій створено такі служби(2):

(2) ЦСК наводить перелік створених служб і для кожної служби зазначає один або кілька структурних підрозділів банку чи відповідальних осіб, які виконують функції цієї служби.

служба захисту інформації;

служба сертифікації;

служба реєстрації;

служба системного адміністратора.

2.5. Основними функціями служби захисту інформації є:

проектування, розроблення, експлуатація, обслуговування та модернізація СЗІ ПТК ЦСК;

адміністрування відповідальних осіб ЦСК.

2.6. Основними функціями служби сертифікації є:

генерування ключів ЦСК;

вивантаження з ПТК ЦСК власних відкритих ключів ЦСК для засвідчення їх чинності в ЗЦ НБУ;

завантаження сертифікатів власних ключів ЦСК в ПТК ЦСК;

перехід на використання нових ключів ЦСК;

знищення особистих ключів ЦСК, строк чинності яких закінчився;

засвідчення чинності відкритих ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

звернення до ЗЦ НБУ щодо зміни статусу власних сертифікатів ключів ЦСК у випадках, передбачених цим Регламентом і законодавством України у сфері ЕЦП;

управління статусом сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

надання підписувачам послуг фіксування часу;

надання послуг визначення статусу сертифікатів ключів ЦСК і підписувачів користувачам послуг ЕЦП;

надання відповідальним особам ЦСК послуг визначення статусу сертифікатів ключів відповідальних осіб ЦСК;

вивантаження/завантаження резервної інформації із/в ПТК ЦСК.

2.7. Основними функціями служби реєстрації є:

опрацювання документів, які подаються заявником до ЦСК під час проведення процедур реєстрації, формування сертифікатів ключів, зміни статусу сертифікатів ключів, зміни ідентифікаційних даних підписувача, який є клієнтом банку, чи припинення дії/зміни договору, відповідно до якого цьому підписувачу - клієнту банку надаються послуги ЕЦП;

опрацювання документів, які подаються підписувачем - працівником банку під час проведення процедур реєстрації, формування сертифікатів ключів, зміни статусу сертифікатів ключів, зміни його ідентифікаційних даних;

надання допомоги під час генерування ключів підписувачів у разі потреби та вживання заходів щодо забезпечення безпеки інформації під час генерування;

уведення чи генерування в ПТК ЦСК запитів на формування сертифікатів ключів підписувачів для виконання засвідчення їх чинності;

генерування в ПТК ЦСК запитів на блокування, скасування чи поновлення сертифікатів ключів під час подання відповідних заяв;

розгляд скарг підписувачів;

унесення змін до реєстру ЦСК щодо статусу підписувачів(3).

(3) ЦСК самостійно вирішує доцільність уведення і використання статусу підписувача. У цьому Регламенті передбачено, що підписувачі можуть мати один із статусів: збережений, зареєстрований, анульований.

2.8. Основними функціями служби адміністрування є:

установлення та налаштування серверних і клієнтських застосувань на робочих місцях відповідальних осіб ЦСК;

виконання оновлень ПЗ ПТК ЦСК;

підтримка належного функціонування ПТК ЦСК.

2.9. У ЦСК для виконання завдань, покладених на зазначені в пункті 2.4 цього Регламенту служби, створено такі автоматизовані робочі місця(4):

(4) Список автоматизованих робочих місць повинен відповідати службам, створеним у ЦСК.

автоматизовані робочі місця адміністраторів безпеки ЦСК;

автоматизовані робочі місця адміністраторів сертифікації ЦСК;

автоматизовані робочі місця адміністраторів реєстрації ЦСК;

автоматизовані робочі місця системних адміністраторів ЦСК;

неспеціалізовані автоматизовані робочі місця.

2.10. Відповідальні особи ЦСК виконують функції зазначених у пункті 2.4 цього Регламенту служб на відповідних автоматизованих робочих місцях.

2.11. Відповідальні особи ЦСК виконують роботу з нормативно-довідковою інформацією ЦСК на своїх спеціалізованих автоматизованих робочих місцях або на неспеціалізованому автоматизованому робочому місці згідно з політикою безпеки ПТК ЦСК і наданих їм адміністратором безпеки ЦСК повноважень.

2.12. Служба реєстрації ЦСК надає доступ до неспеціалізованого автоматизованого робочого місця для генерування ключів підписувачу, який є працівником банку, чи забезпечує їх генерування на робочому місці підписувача - працівника банку згідно з політикою безпеки ПТК ЦСК.

2.13. Служба реєстрації ЦСК надає доступ до неспеціалізованого автоматизованого робочого місця заявнику для генерування ключів підписувача, який є клієнтом банку, у разі потреби згідно з політикою безпеки ПТК ЦСК.

2.14. Відповідальна особа ЦСК не може суміщати функції адміністратора безпеки ЦСК з функціями інших автоматизованих робочих місць.

2.15. Усі відповідальні особи ЦСК перед початком виконання своїх функціональних обов'язків повинні ознайомитися зі змістом цього Регламенту, інструкцій щодо автоматизованих робочих місць, інструкцій щодо забезпечення безпеки експлуатації НКІ та порядку генерування ключових даних і поводження з ключами. Відповідальні особи ЦСК підтверджують факт ознайомлення з цими документами під підпис.

2.16. ЦСК створює відокремлені пункти реєстрації у філіях банку для ефективного надання послуг ЕЦП. Відокремлені пункти реєстрації виконують функції служби реєстрації ЦСК.

(5) Має бути наведено графічне представлення архітектури та загальна технологічна схема оброблення інформації в ПТК ЦСК.

3.1. Технічні засоби комплексу об'єднані в локальну/розподілену обчислювальну мережу з використанням телекомунікаційної мережі(6), частина засобів підключена до загальнодоступних телекомунікаційних мереж.

(6) За потреби слід уточнити мережу, наприклад, мережа банку.

3.2. Апаратне комп'ютерне забезпечення ПТК ЦСК складається з двох типів комп'ютерної техніки, а саме:

серверної комп'ютерної техніки;

клієнтської комп'ютерної техніки.

3.3. ПЗ ПТК ЦСК є централізованим трирівневим(7) комплексом, що складається з таких компонентів:

(7) У цьому документі зазначена трирівнева архітектура ПЗ ПТК ЦСК.

БД;

серверних застосувань;

клієнтських застосувань.

3.4. БД, клієнтське застосування системи керування БД та серверні застосування розташовані на серверній комп'ютерній техніці.

3.5. Усі інші клієнтські застосування, що використовуються в ПТК ЦСК, розташовані на клієнтській комп'ютерній техніці (на автоматизованих робочих місцях відповідальних осіб ЦСК).

3.6. У ПТК ЦСК організовано основні та резервні автоматизовані робочі місця адміністратора безпеки ЦСК, адміністратора сертифікації ЦСК та адміністратора реєстрації ЦСК.

3.7. Серверні застосування виконують такі технічні і технологічні функції ПТК ЦСК:

завантаження/вивантаження інформації в/із БД;

формування сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

поширення сертифікатів ключів ЦСК і підписувачів;

створення запитів на блокування, скасування та поновлення сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

блокування, скасування та поновлення сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

формування СВС;

надання підписувачам послуг фіксування часу;

надання послуг визначення статусу сертифіката ключа;

зберігання та поширення нормативно-довідкової інформації ЦСК;

ідентифікація, автентифікація та авторизація відповідальних осіб ЦСК;

забезпечення синхронізації часу ПТК ЦСК із всесвітнім координованим часом (UTC).

3.8. Клієнтські застосування ініціюють виконання:

технічних і технологічних функцій серверними застосуваннями;

генерування ключів ЦСК, відповідальних осіб ЦСК і підписувачів за допомогою засобів ЕЦП(8);

вивантаження із ПТК ЦСК власних відкритих ключів ЦСК для засвідчення їх чинності в ЗЦ НБУ.

(8) Акредитований ЦСК повинен використовувати надійні засоби ЕЦП.

3.9. Лише серверні застосування можуть виконувати завантаження/вивантаження інформації в/із БД шляхом використання клієнтського застосування системи керування БД. Клієнтські застосування, розташовані на автоматизованих робочих місцях, отримують доступ до інформації в БД за допомогою серверних застосувань.

3.10. Відповідальні особи ЦСК здійснюють генерування і використання ключів відповідно до своїх функціональних обов'язків виключно на своїх спеціалізованих автоматизованих робочих місцях.

3.11. Серверна комп'ютерна техніка ПТК ЦСК складається з трьох серверів і має кластерну архітектуру. Інформація циркулює між серверами за допомогою мережі збереження даних.

3.12. Кластерне рішення в штатному режимі роботи забезпечує функціонування БД, клієнтського застосування системи керування БД та серверних застосувань на одному із серверів. Кластерне рішення автоматично переводить роботу зазначеного ПЗ на інший сервер кластеру без виникнення простоїв у роботі та втрати інформації під час виникнення проблем у роботі.

4.1. У ЦСК циркулює інформація, яка за режимом доступу поділяється на відкриту інформацію та інформацію з обмеженим доступом.

4.2. До відкритої інформації ЦСК належать:

зміст цього Регламенту;

нормативні документи та нормативно-довідкові матеріали;

зразок договору про надання послуг ЕЦП підписувачам, які є клієнтами банку;

сертифікати ключів ЦСК, відповідальних осіб ЦСК і підписувачів;

інформація про статус сертифікатів ключів ЦСК, відповідальних осіб ЦСК і підписувачів.

4.3. До інформації з обмеженим доступом ЦСК в електронній формі належать:

особисті ключі ЦСК і відповідальних осіб ЦСК;

інформація про підписувачів, що міститься в ЦСК і не підлягає безпосередньому поширенню як частина сертифіката ключа;

налаштування технічних і програмних засобів ПТК ЦСК;

зміст протоколів роботи ПТК ЦСК.

4.4. До інформації з обмеженим доступом ЦСК на паперових носіях належать документи, що подаються до ЦСК під час проведення процедур реєстрації, формування сертифікатів ключів, зміни статусу сертифікатів ключів, зміни ідентифікаційних даних підписувачів і не підлягають безпосередньому оприлюдненню.

4.5. Відкрита інформація може опубліковуватися на інформаційному ресурсі ЦСК і розсилатися засобами електронної пошти (e-mail).

4.6. Доступ до інформації з обмеженим доступом, що циркулює в ЦСК, мають відповідальні особи ЦСК згідно з політикою безпеки ПТК ЦСК.

4.7. ЦСК має право надавати доступ до інформації з обмеженим доступом іншим особам лише у випадках, передбачених законодавством України.

5.1. Захист інформації в ПТК ЦСК забезпечується в результаті впровадження СЗІ.

5.2. СЗІ ПТК ЦСК відповідає вимогам нормативно-правових актів Національного банку України з питань захисту інформації.

5.3. Усі засоби криптографічного захисту інформації ПТК ЦСК мають позитивний експертний висновок за результатами державної експертизи у сфері криптографічного захисту інформації(9).

(9) Цей пункт стосується акредитованих ЦСК.

5.4. У ПТК ЦСК використовуються такі НКІ(10):

(10) Навести перелік видів НКІ, що використовуються в ЦСК.

смарт-карти;

дискети;

компакт-диски тощо.

5.5. Захищені НКІ, що використовуються в ПТК ЦСК, відповідають таким вимогам(11):

(11) У цьому Регламенті під захищеним НКІ мається на увазі смарт-карта. ЦСК необхідно описати властивості всіх типів НКІ, що використовуються в ЦСК.

робота з НКІ можлива лише після введення правильного пароля доступу;

неможливість дублювання кожного з екземплярів НКІ;

генерування криптографічних ключів відбувається безпосередньо в НКІ;

під час виконання криптографічних операцій ключова інформація та результати проміжних розрахунків захищені від стороннього доступу;

захист особистих ключів передбачено шляхом забезпечення неможливості доступу до них навіть у разі знання пароля доступу. Знання пароля доступу забезпечує лише дозвіл на виконання криптографічних операцій (усередині НКІ) з особистим ключем;

має засоби захисту критичної інформації, яка міститься в НКІ, від сучасних типів атак, побудованих на аналізі параметрів НКІ, які доступні для вимірювання ззовні під час роботи цієї апаратури.

5.6. На захищених НКІ з власними ключами ЦСК містяться такі дані:

поточний та майбутній (у разі наявності) власні особисті ключі ЦСК;

поточний сертифікат власного відкритого ключа ЦСК і майбутній відкритий ключ (у разі наявності);

поточний сертифікат ключа ЗЦ НБУ.

5.7. На захищених НКІ допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів містяться такі дані:

поточний та майбутній (у разі наявності) особисті ключі допоміжних послуг ЦСК чи відповідальних осіб ЦСК;

поточний сертифікат ключа та майбутній відкритий ключ (у разі наявності);

поточний сертифікат власного відкритого ключа ЦСК.

5.8. Серверна комп'ютерна техніка ПТК ЦСК розміщується в серверних приміщеннях. Усі автоматизовані робочі місця ЦСК розміщуються в приміщеннях з обмеженим доступом.

5.9. Серверні приміщення та приміщення з обмеженим доступом відповідають вимогам Правил з технічного захисту інформації для приміщень банків, у яких обробляються електронні банківські документи, затверджених постановою Правління Національного банку України від 04.07.2007 N 243.

5.10. Лише адміністратор сертифікації ЦСК має доступ до приміщення, у якому розташоване його автоматизоване робоче місце. Адміністратор безпеки ЦСК отримує доступ у це приміщення тільки на час проведення процедури генерування ключів ЦСК.

5.11. Відповідальні особи ЦСК повинні зберігати НКІ зі своїми криптографічними ключами в сейфах і несуть особисту відповідальність за надійне зберігання НКІ та нерозголошення значення паролів доступу і розблокування. Відповідальні особи ЦСК повинні зберігати основний пристрій НКІ на своєму основному робочому місці, а резервний пристрій НКІ (у разі наявності) - на резервному робочому місці.

5.12. Адміністратор сертифікації ЦСК повинен зберігати основні та частину резервних НКІ з ключами ЦСК у сейфі на своєму основному робочому місці, а іншу частину резервних НКІ - у сейфі на резервному робочому місці. Він несе особисту відповідальність за надійне зберігання цих НКІ та нерозголошення значень паролів доступу і розблокування.

5.13. Адміністратор сертифікації ЦСК повинен забезпечити зберігання резервних копій реєстру ЦСК у сейфах на своїх основному та резервному робочих місцях.

5.14. Серверні застосування та всі автоматизовані робочі місця забезпечують можливість:

криптографічного захисту інформації, що передається каналами зв'язку (автентифікація та шифрування);

захищеного від модифікації протоколювання подій, визначених цим Регламентом;

використання засобів антивірусного захисту на комп'ютерах ПТК ЦСК.

5.15. Захист персональних даних підписувачів забезпечується шляхом ужиття:

організаційних заходів щодо обліку та зберігання справ підписувачів, зокрема, формування справ підписувачів та їх облік, призначення осіб, відповідальних за зберігання справ підписувачів, обмежений доступ до приміщень (шаф), де зберігаються справи підписувачів;

організаційно-технічних і технічних заходів, реалізованих у результаті впровадження СЗІ, у тому числі: використання надійних засобів ЕЦП, ведення журналів роботи системи в захищеному вигляді, розмежування та здійснення контролю за інформаційними потоками між внутрішньою локальною мережею ЦСК і підсистемою відкритого доступу, використання антивірусних засобів, міжмережевих екранів тощо.

6.1. У ПТК ЦСК ведуться такі журнали аудиту:

журнали функціонування ПЗ та НКІ в ПТК ЦСК;

журнали обліку НКІ;

журнал реєстрації та надання послуг ЕЦП підписувачам;

журнал технічного обслуговування ПТК ЦСК.

6.2. Журнали функціонування ПЗ та НКІ(12) в ПТК ЦСК ведуться в електронній формі на всіх серверних і клієнтських застосуваннях. Інші журнали ведуться на паперових носіях.

(12) Журнали функціонування НКІ ведуться в електронній формі для тих типів НКІ, для яких є технічна можливість це реалізувати.

6.3. ПЗ ПТК ЦСК забезпечує захищене від модифікації протоколювання подій, пов'язаних з функціонуванням ПЗ та НКІ. Захист від модифікації забезпечується встановленням правил розмежування доступу засобами операційної системи та накладанням ЕЦП чи обчисленням контрольних сум для записів у журналі. Цей журнал подій містить дату та час події, опис події. У журналі реєструються події, пов'язані з:

генеруванням, резервуванням, використанням і знищенням особистих ключів ЦСК, відповідальних осіб ЦСК та підписувачів;

формуванням, переформуванням, зміною статусу сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК і підписувачів;

унесенням, модифікацією та видаленням даних про допоміжні послуги ЦСК, відповідальних осіб ЦСК і підписувачів.

6.4. Служба захисту інформації ЦСК веде журнал подій, пов'язаних з обліком НКІ, які використовуються відповідальними особами ЦСК. Цей журнал подій містить дату та час події, опис події, серійний номер НКІ, підпис відповідальної особи ЦСК, яка отримує НКІ від адміністратора безпеки ЦСК чи передає йому свій НКІ, підпис адміністратора безпеки ЦСК. У журналі реєструються події, пов'язані з видачею/поверненням НКІ відповідальними особами ЦСК.

6.5. Служба реєстрації ЦСК веде журнал подій, пов'язаних з видачею НКІ підписувачам. Цей журнал подій містить дату та час події, опис події, серійний номер НКІ, підпис заявника (підписувача - працівника банку), який отримує НКІ від адміністратора реєстрації ЦСК, підпис адміністратора реєстрації ЦСК. У журналі реєструються події, пов'язані з видачею НКІ підписувачам.

6.6. Служба реєстрації ЦСК веде журнал подій, пов'язаних з реєстрацією, наданням послуг ЕЦП, зміною ідентифікаційних даних підписувачів. Цей журнал подій містить дату події, опис події, реєстраційний номер поданої заяви, реєстраційний номер рішення про виконання чи відмову здійснення відповідної регламентної процедури, підпис адміністратора реєстрації ЦСК. У журналі реєструються події, пов'язані з:

прийманням заяв про формування, зміну статусу сертифіката ключа підписувача, про внесення змін до ідентифікаційних даних підписувача;

унесенням підписувачів до реєстру ЦСК.

6.7. Системний адміністратор веде журнал регламентних робіт з технічного обслуговування ПТК ЦСК. Цей журнал містить дату та час події, її опис. У журналі реєструються події, пов'язані з:

плановою заміною комп'ютерної техніки ПТК ЦСК;

виходом з ладу складових комп'ютерної техніки ПТК ЦСК та їх ремонтом/заміною;

оновленням ПЗ ЦСК.

6.8. Відповідальні особи ЦСК, які ведуть журнали аудиту, зберігають їх у сейфах.

6.9. Відповідальні особи ЦСК здійснюють на своїх автоматизованих робочих місцях резервне копіювання журналів функціонування ПЗ та НКІ в ПТК ЦСК шляхом їх запису на знімні носії. Відповідальні особи ЦСК зберігають ці копії журналів у сейфах.

6.10. Відповідальні особи ЦСК, які ведуть журнали аудиту, здійснюють резервне копіювання цих журналів переведенням їх в електронну форму шляхом сканування. Відповідальні особи ЦСК зберігають свої відскановані копії журналів аудиту на знімних носіях у сейфах.

6.11. Відповідальні особи ЦСК переглядають журнали аудиту в ПТК ЦСК у разі потреби.

6.12. Адміністратор захисту ЦСК забезпечує за зверненням відповідальних осіб ЦСК перегляд журналів аудиту, що ведуться:

серверними застосуваннями;

клієнтськими застосуваннями на інших автоматизованих робочих місцях;

іншими відповідальними особами ЦСК.

6.13. Строк зберігання журналів аудиту в ПТК ЦСК становить п'ять років.

7.1. Відповідальні особи ЦСК, які здійснюють генерування ключів, що використовуються в ЦСК, застосовують виключно захищені пристрої НКІ.

7.2. Особисті ключі, що використовуються в ЦСК, зберігаються виключно всередині захищених пристроїв НКІ.

7.3. Строк чинності особистого ключа дорівнює строку чинності відповідного сертифіката ключа. Особистий ключ тимчасово не є чинним у разі блокування відповідного сертифіката ключа.

7.4. У ЦСК генеруються та використовуються такі криптографічні ключі:

власні (особистий та відкритий) ключі ЦСК для криптографічного алгоритму ДСТУ 4145-2002 (довжина 257 біт);

власні (особистий та відкритий) ключі ЦСК для криптографічного алгоритму RSA (довжина 2048 біт);

особистий та відкритий ключі послуги фіксування часу ЦСК для криптографічного алгоритму ДСТУ 4145-2002 (довжина 257 біт);

особистий та відкритий ключі послуги фіксування часу ЦСК для криптографічного алгоритму RSA (довжина 2048 біт);

особистий та відкритий ключі ЦСК послуги визначення статусу сертифіката для криптографічного алгоритму ДСТУ 4145-2002 (довжина 257 біт);

особистий та відкритий ключі ЦСК послуги визначення статусу сертифіката для криптографічного алгоритму RSA (довжина 2048 біт);

особистий та відкритий ключі відповідальних осіб ЦСК для криптографічного алгоритму ДСТУ 4145-2002 (довжина 257 біт).

7.5. Служба реєстрації ЦСК забезпечує підписувача засобами ЕЦП та надає йому допомогу під час генерування ключів у разі потреби.

7.6. Власні особисті ключі ЦСК використовуються виключно для формування СВС, сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК та підписувачів.

7.7. Особисті ключі ЦСК послуги фіксування часу використовуються виключно під час формування відповіді на запит на позначку часу.

7.8. Особисті ключі ЦСК послуги визначення статусу сертифіката використовуються виключно під час формування відповіді на запит про статус сертифіката.

7.9. Особисті ключі відповідальних осіб ЦСК використовуються виключно для їх автентифікації в ПТК ЦСК та забезпечення цілісності і конфіденційності даних, які обробляються відповідальними особами ЦСК.

7.10. Особистий ключ підписувача, що відповідає відкритому ключу, сертифікат якого сформовано в ЦСК, використовується відповідно до переліку сфер використання сертифіката, основних обмежень та інших даних, включених до сертифіката ключа підписувача на його вимогу.

7.11. Адміністратор сертифікації ЦСК відповідає за виконання процедур генерування та резервування ключів ЦСК. Адміністратор сертифікації ЦСК здійснює ці процедури на своєму автоматизованому робочому місці під контролем адміністратора безпеки ЦСК. Резервування виконується тільки під час генерування ключів ЦСК на кількох носіях засобами захищених НКІ.

7.12. Відповідальні особи ЦСК самостійно виконують генерування ключів, які використовуються для виконання їх функціональних обов'язків, на своїх спеціалізованих автоматизованих робочих місцях.

7.13. Служба сертифікації ЦСК самостійно приймає рішення про факт або загрозу компрометації особистих ключів ЦСК чи пароля доступу до пристроїв НКІ, на яких вони записані.

7.14. Служба сертифікації ЦСК у разі компрометації або загрози компрометації власних особистих ключів ЦСК:

подає заяву про скасування (або блокування та подальше скасування) сертифікатів власних ключів ЦСК у ЗЦ НБУ;

знищує поточні основні та всі резервні копії власних особистих ключів ЦСК методом, що не допускає можливості їх відновлення (після скасування в ЗЦ НБУ поточних сертифікатів ключів ЦСК);

виконує генерування нових власних ключів ЦСК;

засвідчує власні відкриті ключі ЦСК у ЗЦ НБУ;

переходить на використання нових власних ключів ЦСК.

7.15. Служба сертифікації ЦСК у разі компрометації або загрози компрометації особистих ключів будь-якої з допоміжних послуг ЦСК:

скасовує (або блокує з подальшим скасуванням) сертифікати цієї допоміжної послуги ЦСК;

знищує поточні основні та всі резервні копії особистих ключів цієї допоміжної послуги ЦСК методом, що не допускає можливості їх відновлення;

виконує генерування нових ключів для цієї допоміжної послуги ЦСК;

формує сертифікати ключів цієї допоміжної послуги ЦСК;

переходить на використання нових ключів цієї допоміжної послуги ЦСК.

7.16. Відповідальна особа ЦСК самостійно приймає рішення про факт або загрозу компрометації свого особистого ключа чи пароля доступу до НКІ.

7.17. Відповідальна особа ЦСК формує новий сертифікат ключа у визначеному цим Регламентом порядку в разі компрометації чи загрози компрометації особистого ключа.

7.18. Відповідальна особа ЦСК негайно змінює пароль доступу до НКІ в разі компрометації чи загрози компрометації пароля доступу.

7.19. Служба сертифікації ЦСК знищує основні та всі резервні копії особистих ключів ЦСК після закінчення їх строку чинності методом, що не допускає можливості їх відновлення.

7.20. Відповідальні особи ЦСК знищують свої особисті ключі після закінчення їх строку чинності методом, що не допускає можливості їх відновлення.

8.1. Сертифікати ключів ЦСК, відповідальних осіб ЦСК та підписувачів зберігаються в реєстрі ЦСК.

8.2. СВС та сертифікати ключів ЦСК, відповідальних осіб ЦСК і підписувачів формуються ЦСК відповідно до формату X.509v3 (ISO/IEC9594-8:2002) з урахуванням установлених вимог до форматів представлення базових об'єктів національної системи ЕЦП. Для алгоритму ДСТУ 4145-2002 - технічними специфікаціями форматів представлення базових об'єктів національної системи ЕЦП (наказ ДСТСЗІ СБУ N 99/166 від 11.09.2006 "Про затвердження Технічних специфікацій форматів представлення базових об'єктів національної системи електронного цифрового підпису"); для алгоритму RSA - міжнародним стандартом ISO/IEC 9594-8: "Information technology - Open Systems Interconnection - The Directory: Public-key and attribute certificate frameworks".

8.3. ЗЦ НБУ формує сертифікати власних ключів ЦСК.

8.4. Служба сертифікації ЦСК формує сертифікати ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК та підписувачів.

8.5. Сертифікати власних ключів ЦСК використовуються виключно для перевірки СВС, сертифікатів ключів допоміжних послуг ЦСК, відповідальних осіб ЦСК та підписувачів.

8.6. Сертифікати ключів допоміжних послуг ЦСК використовуються виключно для перевірки ЕЦП під час надання послуг фіксування часу та визначення статусу сертифікатів ключів.

8.7. Сертифікати ключів відповідальних осіб ЦСК використовуються виключно для ідентифікації та автентифікації відповідальних осіб ЦСК під час завантаження їх автоматизованих робочих місць та перевірки ЕЦП, що накладаються ними на документи під час виконання своїх функціональних обов'язків.

8.8. Сертифікати ключів, сформовані в ЦСК для підписувачів, використовуються для підтвердження ЕЦП, який відповідає вимогам щодо підпису, застосованого до даних в електронній формі, у такий саме спосіб як власноручні підписи (печатки) відповідають вимогам стосовно документа на папері. ЦСК під час формування сертифікатів ключів підписувачів зазначає сфери використання цих сертифікатів та обмеження щодо їх використання.

8.9. Строк чинності сертифікатів ключів ЦСК становить п'ять років(13) після чого проводиться їх планова заміна згідно з вимогами цього Регламенту.

(13) Для зареєстрованих ЦСК - два роки, для акредитованих ЦСК - п'ять років.

8.10. Строк чинності сертифікатів ключів відповідальних осіб ЦСК становить два роки після чого проводиться їх планова заміна згідно з вимогами цього Регламенту.

8.11. Строк чинності сертифікатів ключів підписувачів становить один рік після чого проводиться їх планова заміна згідно з вимогами цього Регламенту.

8.12. Строк чинності сертифіката ключа закінчується в разі його скасування. Сертифікат ключа тимчасово не є чинним протягом строку його блокування.

8.13. Сертифікати відповідальних осіб ЦСК зберігаються виключно на НКІ та в БД ПТК ЦСК.

9.1. Заявник особисто подає до ЦСК заяви(14) про реєстрацію, формування сертифіката ключа, зміну статусу сертифіката ключа підписувача, унесення змін до ідентифікаційних даних підписувача, договір на підставі якого підписувачу, який є клієнтом банку, надаються послуги ЕЦП, у паперовій та/чи електронній формі.

(14) ЦСК самостійно розробляє форми заяв, скарг, довіреностей.

9.2. Підписувач, який є працівником банку, особисто подає до ЦСК заяви про реєстрацію, формування сертифіката ключа, зміну статусу сертифіката ключа, унесення змін до своїх ідентифікаційних даних у паперовій та/чи електронній формі.

9.3. Адміністратор реєстрації ЦСК засвідчує подані в електронному вигляді заяви шляхом накладання на них ЕЦП.

9.4. У заяві про формування сертифіката ключа повинні зазначатися:

ідентифікаційні дані підписувача;

ідентифікаційні дані заявника (для підписувача, який є клієнтом банку);

дані, що включаються до сертифіката ключа підписувача.

До заяви про формування сертифіката ключа додається запечатаний конверт, на якому надрукована адреса заявника (місце роботи підписувача, який є працівником банку) та телефони для зв'язку. Усередині конверта міститься фраза-пароль для блокування сертифіката ключа телефоном.

9.5. У заяві про зміну статусу сертифіката ключа повинні зазначатися:

ідентифікаційні дані підписувача;

ідентифікаційні дані заявника (для підписувача, який є клієнтом банку);

реєстраційний номер сертифіката ключа;

підстави зміни статусу сертифіката ключа;

строк блокування сертифіката ключа в разі його блокування.

9.6. У заяві про внесення змін до ідентифікаційних даних підписувача повинні зазначатися:

ідентифікаційні дані підписувача;

ідентифікаційні дані заявника (для підписувача, який є клієнтом банку).

9.7. Заява про формування сертифіката ключа підписувача приймається тільки за наявності всіх інших документів, визначених цим Регламентом для проведення процедури реєстрації.

9.8. ЦСК не приймає на розгляд документи, які мають виправлення, дописки, закреслені слова, написи олівцем, а також пошкодження, унаслідок чого їх текст не можна прочитати.

9.9. Адміністратор реєстрації ЦСК під час подання заяв про формування сертифіката ключа, зміну статусу сертифіката ключа підписувача та внесення змін до ідентифікаційних даних підписувача виконує процедуру ідентифікації (установлення особи) заявника (підписувача, який є працівником банку). Установлення особи заявника здійснюється за паспортом або іншими документами відповідно до законодавства України. Установлення особи підписувача, який є працівником банку, здійснюється за його службовими документами (перепустка тощо).

9.10. Заявник під час подання заяв, якщо заявник та підписувач, який є клієнтом банку, є різними суб'єктами, повинен подати до служби реєстрації ЦСК довіреність, яка засвідчується:

для юридичних осіб - підписом керівника та відбитком печатки юридичної особи;

для фізичних осіб-підприємців - підписом підприємця та відбитком його печатки або в разі відсутності печатки - нотаріально;

для фізичних осіб - нотаріально.

9.11. У довіреності повинні зазначатися:

ідентифікаційні дані підписувача, який є клієнтом банку;

ідентифікаційні дані заявника;

перелік регламентних процедур, які заявник може здійснювати від імені підписувача;

дата початку та закінчення чинності довіреності.

9.12. Заявник повинен додатково подати до ЦСК відомості щодо належності підписувача до юридичної особи, якщо підписувач є фізичною особою - представником юридичної особи.

10.1. Служба реєстрації ЦСК бере на облік усі документи, що були подані заявником (підписувачем, який є працівником банку) під час проведення всіх регламентних процедур, шляхом формування справи підписувача та введення необхідних даних підписувачів у реєстр ЦСК. Справа підписувача реєструється в журналі, який ведеться в паперовому (або електронному) вигляді.

10.2. Служба реєстрації ЦСК перевіряє повноту комплекту поданих для проведення відповідної регламентної процедури документів, правильність їх оформлення і відповідність вимогам нормативних документів у сфері ЕЦП.

10.3. Служба реєстрації ЦСК за результатом розгляду поданих документів приймає рішення про відмову в проведенні відповідної регламентної процедури, якщо:

немає всіх необхідних для проведення цієї регламентної процедури документів;

подано хоча б одну неналежно засвідчену копію документа;

установлено невідповідність даних, що визначені поданими документами, фактичним;

виявлено інші невідповідності законодавству України у сфері ЕЦП.

10.4. Служба реєстрації ЦСК повертає документи в разі відмови в проведенні відповідної регламентної процедури із зазначенням підстав відмови на цій заяві.

10.5. Заявник (підписувач, який є працівником банку) подає до ЦСК такі документи:

засвідчені копії документів на паперовому носії;

оригінали документів на паперовому носії (з необхідними підписами та відбитками печаток) і електронні варіанти цих документів.

10.6. Служба реєстрації ЦСК під час подання засвідченої копії документа на паперовому носії здійснює:

переведення засвідченої копії документа на паперовому носії в електронний вигляд шляхом сканування;

підшивання копії документа на паперовому носії до справи;

накладення на електронний варіант відсканованої копії документа ЕЦП адміністратора реєстрації ЦСК засобами ПТК ЦСК;

унесення до БД електронного варіанта відсканованої копії документа, ЕЦП адміністратора реєстрації ЦСК, сертифікат ключа адміністратора реєстрації ЦСК, що є дійсним на момент накладення ЕЦП.

10.7. Служба реєстрації ЦСК під час подання оригіналу документа на паперовому (з необхідними підписами та печатками) та електронному носіях здійснює:

перевірку чи електронний варіант документа підписано поточним та майбутнім (у разі наявності) особистими ключами підписувача. Разом з документом повинні подаватися сертифікати ключів підписувача (у разі наявності) чи відкриті ключі, за допомогою яких можна перевірити ЕЦП підписувача;