Про затвердження Регламенту роботи центрального засвідчувального органу

2.2. Заява форми 4 подається до Адміністратора ІТС ЦЗО в письмовій формі особисто керівником юридичної особи - Центру (фізичною особою, яка є суб'єктом підприємницької діяльності, що є Центром) або його уповноваженою особою, підписується ним або його уповноваженою особою та скріплюється печаткою.

Під час прийому заяви форми 4 здійснюється встановлення особи керівника юридичної особи - Центру (фізичної особи, яка є суб'єктом підприємницької діяльності, що є Центром) або його уповноваженої особи.

2.3. У заяві форми 4 зазначаються:

повне найменування юридичної особи, посада, прізвище, ім'я та по батькові її керівника (прізвище, ім'я та по батькові фізичної особи, яка є суб'єктом підприємницької діяльності, серія і номер паспорта, ким і коли виданий);

код за ЄДРПОУ – для юридичної особи;

реєстраційний номер облікової картки платника податків – для фізичної особи – суб'єкта підприємницької діяльності або серія та номер паспорта (для фізичних осіб – суб'єктів підприємницької діяльності, які через свої релігійні переконання відмовляються від прийняття реєстраційного номера облікової картки платника податків та повідомили про це відповідний контролюючий орган і мають відмітку у паспорті);

номери телефонів;

електронна адреса електронного інформаційного ресурсу;

причина скасування сертифіката ключа Центру;

назва Центру;

унікальний реєстраційний номер сертифіката ключа Центру, що скасовується.

Не приймається до розгляду заява, що має підчистки, дописки, закреслені слова, інші незастережені виправлення або написи олівцем, а також пошкодження, внаслідок чого її текст не можна прочитати.

2.4. Опрацювання заяви форми 4 та інформування Центром Адміністратора ІТС ЦЗО про скасування сертифіката його ключа здійснюються протягом двох годин від моменту отримання заяви Адміністратором ІТС ЦЗО.

Скасування сертифікатів ключів Центрів здійснюється адміністратором сертифікації під контролем адміністратора безпеки.

Скасування сертифіката ключа Центру набирає чинності з моменту внесення його до СВС із зазначенням причини, дати та часу здійснення цієї операції.

Після завершення процедури скасування сертифіката ключа Центру Адміністратор ІТС ЦЗО негайно письмово повідомляє про таке скасування Мін'юст, який інформує контролюючий орган.

3.1. Блокування сертифіката ключа Центру здійснюється у випадках, передбачених законом, на підставі заяви на блокування посиленого сертифіката відкритого ключа за формою, визначеною у додатку 6 до цього Регламенту (далі - заява форми 5), що подається до Адміністратора ІТС ЦЗО.

3.2. Заява форми 5 подається до Адміністратора ІТС ЦЗО в письмовій формі особисто керівником юридичної особи - Центру (фізичною особою, яка є суб'єктом підприємницької діяльності, що є Центром) або його уповноваженою особою, підписується ним або його уповноваженою особою та скріплюється печаткою.

Під час прийому заяви форми 5 здійснюється встановлення особи керівника юридичної особи - Центру (фізичної особи, яка є суб'єктом підприємницької діяльності, що є Центром) або його уповноваженої особи.

3.3. У заяві форми 5 зазначаються:

повне найменування юридичної особи, посада, прізвище, ім'я та по батькові її керівника (прізвище, ім'я та по батькові фізичної особи, яка є суб'єктом підприємницької діяльності, серія і номер паспорта, ким і коли виданий);

код за ЄДРПОУ – для юридичної особи;

реєстраційний номер облікової картки платника податків – для фізичної особи – суб'єкта підприємницької діяльності або серія та номер паспорта (для фізичних осіб – суб'єктів підприємницької діяльності, які через свої релігійні переконання відмовляються від прийняття реєстраційного номера облікової картки платника податків та повідомили про це відповідний контролюючий орган і мають відмітку у паспорті);

номери телефонів;

електронна адреса інформаційного ресурсу;

адреса електронної пошти;

причина блокування сертифіката ключа Центру;

назва Центру;

унікальний реєстраційний номер сертифіката ключа Центру, що блокується.

Не приймається до розгляду заява, що має підчистки, дописки, закреслені слова, інші незастережені виправлення або написи олівцем, а також пошкодження, внаслідок чого її текст не можна прочитати.

3.4. Опрацювання заяви форми 5 та інформування Центром Адміністратора ІТС ЦЗО про блокування сертифіката його ключа здійснюються протягом двох годин від моменту отримання заяви Адміністратором ІТС ЦЗО.

Блокування сертифіката ключа Центру здійснюється адміністратором сертифікації під контролем адміністратора безпеки.

Блокування сертифіката ключа Центру набирає чинності з моменту внесення його до СВС із зазначенням причини, дати та часу здійснення цієї операції.

Після завершення процедури блокування сертифіката ключа Центру Адміністратор ІТС ЦЗО негайно письмово повідомляє про таке блокування Мін'юст, який інформує контролюючий орган.

4.1. Поновлення сертифіката ключа Центру здійснюється у випадках, передбачених законодавством, на підставі заяви на поновлення посиленого сертифіката відкритого ключа за формою, визначеною у додатку 7 до цього Регламенту (далі - заява форми 6), що подається до Адміністратора ІТС ЦЗО.

4.2. Заява форми 6 подається до Адміністратора ІТС ЦЗО в письмовій формі особисто керівником юридичної особи - Центру (фізичною особою, яка є суб'єктом підприємницької діяльності, що є Центром) або його уповноваженою особою, підписується ним або його уповноваженою особою та скріплюється печаткою.

Під час прийому заяви форми 6 здійснюється встановлення особи керівника юридичної особи - Центру (фізичної особи, яка є суб'єктом підприємницької діяльності, що є Центром) або його уповноваженої особи.

4.3. У заяві форми 6 зазначаються:

повне найменування юридичної особи, посада, прізвище, ім'я та по батькові її керівника (прізвище, ім'я та по батькові фізичної особи, яка є суб'єктом підприємницької діяльності, серія і номер паспорта, ким і коли виданий);

код за ЄДРПОУ – для юридичної особи;

реєстраційний номер облікової картки платника податків – для фізичної особи – суб'єкта підприємницької діяльності або серія та номер паспорта (для фізичних осіб – суб'єктів підприємницької діяльності, які через свої релігійні переконання відмовляються від прийняття реєстраційного номера облікової картки платника податків та повідомили про це відповідний контролюючий орган і мають відмітку у паспорті);

номери телефонів;

електронна адреса інформаційного ресурсу;

адреса електронної пошти;

причина поновлення сертифіката ключа (підтвердження факту усунення причин для блокування сертифіката ключа Центру);

назва Центру;

унікальний реєстраційний номер сертифіката ключа Центру, що поновлюється.

Не приймається до розгляду заява, що має підчистки, дописки, закреслені слова, інші незастережені виправлення або написи олівцем, а також пошкодження, внаслідок чого її текст не можна прочитати.

4.4. Опрацювання заяви форми 6 здійснюється протягом двох годин від моменту отримання заяви Адміністратором ІТС ЦЗО.

4.5. Поновлення сертифіката ключа Центру здійснюється адміністратором сертифікації під контролем адміністратора безпеки.

Поновлення сертифіката ключа Центру набирає чинності з моменту внесення відомостей про нього до електронних реєстрів чинних, блокованих та скасованих сертифікатів ключів Центрів із зазначенням причини, дати та часу здійснення цієї операції.

Після завершення процедури поновлення сертифіката ключа Центру Адміністратор ІТС ЦЗО негайно письмово повідомляє про таке поновлення Мін'юст, який інформує контролюючий орган.

4.6. Розповсюдження інформації про статус сертифікатів ключів Центрів здійснюється за допомогою публікації повного та часткового СВС на офіційному веб-сайті ЦЗО та забезпечення можливості перевірки статусу сертифіката ключа Центру в режимі реального часу через телекомунікаційні мережі загального користування.

Адміністратор ІТС ЦЗО під час формування СВС забезпечує такі умови:

кожен із СВС містить дані щодо часу видання наступного списку;

новий СВС може бути опублікований до визначеного часу видання наступного списку;

на СВС накладається ЕЦП з використанням особистого ключа ЦЗО.

Інформація про статус сертифіката ключа Центру в режимі реального часу розповсюджується за протоколом визначення статусу сертифіката згідно з Вимогами до протоколу визначення статусу сертифіката, затвердженими Наказом.

Публікація наступного СВС здійснюється з періодичністю, зазначеною у пункті 3.3 розділу ІІІ цього Регламенту.

1.1. Приміщення, де розташовано ІТС ЦЗО, територіально поділене на дві частини, в яких розміщено ЛОМ управління ІТС ЦЗО та ЛОМ серверів ІТС ЦЗО.

Місцезнаходження ЛОМ управління ІТС ЦЗО: вул. Бульварно-Кудрявська, 4, м. Київ, 04053.

Місцезнаходження ЛОМ серверів ІТС ЦЗО: вул. Куренівська, 21-А, м. Київ, 04073.

1.2. У ЛОМ управління об'єднані робочі станції (далі - РС) посадових осіб Адміністратора ІТС ЦЗО, на яких покладено виконання обов’язків адміністратора реєстрації (далі - адміністратор реєстрації), посадових осіб Адміністратора ІТС ЦЗО, на яких покладено виконання обов’язків системного адміністратора (далі - системний адміністратор), адміністраторів сертифікації та безпеки (далі разом - адміністратори) з використанням комутаційного обладнання та які розміщуються відокремлено від серверів і підключаються до ЛОМ серверів ІТС ЦЗО через телекомунікаційні мережі загального користування. Підключення здійснюється через шлюз захисту мережевих з’єднань, який розміщується на стороні ЛОМ серверів ІТС ЦЗО таким чином, що утворюється єдина віртуальна ЛОМ система. Шлюз захисту мережевих з’єднань призначений для автентифікації адміністраторів при підключенні до ЛОМ серверів шляхом встановлення захищеного мережевого з’єднання з РС адміністраторів.

1.3. Приміщення, де розміщено ЛОМ серверів ІТС ЦЗО, обладнано згідно з вимогами до спеціальних приміщень АЦСК, які передбачають проведення заходів щодо пасивного захисту інформації від її витоку каналами побічних електромагнітних випромінювань та наведень, а також від порушення її цілісності внаслідок деструктивного впливу зовнішніх електромагнітних полів (далі - спеціальне приміщення).

Усі приміщення ІТС ЦЗО обладнані автоматичною системою контролю доступу, яка забезпечує фізичний доступ до приміщень тільки особам, визначеним наказом керівника Адміністратора ІТС ЦЗО.

2.1. Для виконання технічних та технологічних функцій ЦЗО Адміністратором ІТС ЦЗО створюється технічний підрозділ, до складу якого входять працівники, діяльність яких безпосередньо пов'язана із забезпеченням функціонування ІТС ЦЗО.

Захист інформації у ІТС ЦЗО забезпечується службою захисту інформації ІТС ЦЗО.

Безпека ІТС ЦЗО досягається шляхом впровадження організаційних інженерно-технічних заходів, засобів і методів технічного та криптографічного захисту інформації комплексної системи захисту інформації (далі - КСЗІ).

Засоби та обладнання ІТС ЦЗО, за допомогою яких здійснюються генерація та використання особистого ключа ЦЗО, обслуговування сертифікатів ключів Центрів, розміщуються у спеціальному приміщенні. Фізичний доступ до обладнання ІТС ЦЗО, що забезпечує генерацію та використання особистих ключів ЦЗО, сертифікацію, управління статусом сертифіката, обмежений і надається виключно посадовим особам Адміністратора ІТС ЦЗО, визначеним наказом керівника Адміністратора ІТС ЦЗО.

2.2. В ІТС ЦЗО забезпечується захист інформаційних ресурсів від зовнішніх загроз, атак та несанкціонованого витоку інформації шляхом створення та підтримки безпечних інформаційних технологій, у рамках яких доступ до інформації різних категорій користувачів організовується таким чином, що тільки уповноваженим користувачам або процесам надається можливість роботи з конкретною інформацією, доступ до якої обмежується і гарантується цілісність при її обробці в електронному вигляді набором даних, що містяться на змінних носіях інформації.

Робота ІТС ЦЗО можлива лише при функціонуючій КСЗІ.

У спеціальному приміщенні, де розташовано ЛОМ серверів ІТС ЦЗО, передбачено захист внутрішньої обчислювальної мережі від втручання з боку телекомунікаційної мережі загального користування.

Доступ до захищених ресурсів ІТС ЦЗО надається тільки після успішної авторизації адміністраторів.

Перед початком виконання процедур, пов'язаних із реєстрацією, формуванням сертифіката ключа або зміною його статусу, формуванням СВС, адміністратори повинні бути успішно авторизовані.

3.1. У складі технічного підрозділу Адміністратора ІТС ЦЗО, який здійснює забезпечення функціонування ІТС ЦЗО, створюється служба захисту інформації у складі:

посадової особи Адміністратора ІТС ЦЗО, на яку покладено обов’язки керівника служби захисту інформації;

адміністратора безпеки;

системного адміністратора.

До складу технічного підрозділу Адміністратора ІТС ЦЗО також входять:

адміністратор сертифікації;

адміністратор реєстрації.

Служба захисту інформації ІТС ЦЗО (далі - СЗІ) забезпечує захист інформації в ІТС ЦЗО шляхом вирішення питань, пов'язаних з проектуванням, розробленням, модернізацією, введенням в експлуатацію та підтримкою працездатності КСЗІ, та додержання режиму безпеки в ІТС ЦЗО.

Основними функціями СЗІ є:

забезпечення повноти та якісного виконання організаційно-технічних заходів із захисту інформації;

розроблення розпорядчих документів, згідно з якими Адміністратор ІТС ЦЗО повинен забезпечувати захист інформації, контроль за їх виконанням;

своєчасне реагування на спроби несанкціонованого доступу до інформаційних ресурсів ІТС ЦЗО, порушення правил експлуатації засобів захисту інформації.

Обов’язки керівника СЗІ покладаються на одного із працівників технічного підрозділу Адміністратора ІТС ЦЗО наказом керівника Адміністратора ІТС ЦЗО.

Керівник СЗІ забезпечує належне виконання СЗІ її функцій.

3.2. Адміністратор безпеки відповідає за належне функціонування КСЗІ.

Основними обов'язками адміністратора безпеки є:

участь у генерації пари ключів (особистий та відкритий ключі) ЦЗО та їх резервних копій;

контроль за формуванням, резервуванням та обслуговуванням сертифікатів ключів ЦЗО, Центрів та СВС;

контроль за зберіганням особистих ключів ЦЗО та їх резервних копій, особистих ключів адміністраторів;

участь у знищенні особистих ключів ЦЗО, контроль за правильним і своєчасним знищенням адміністраторами особистих ключів;

організація розмежування доступу до ресурсів ІТС ЦЗО;

забезпечення спостереження (реєстрація та аудит подій у ІТС ЦЗО, моніторинг подій тощо) за функціонуванням КСЗІ;

забезпечення організації та проведення заходів з модернізації, тестування, оперативного відновлення функціонування КСЗІ після збоїв, відмов, аварій ІТС ЦЗО;

забезпечення режиму доступу до спеціального приміщення ІТС ЦЗО;

ведення журналів обліку адміністратора безпеки, передбачених документацією КСЗІ.

3.3. Системний адміністратор відповідає за функціонування ІТС ЦЗО.

Основними обов'язками системного адміністратора є:

організація експлуатації та технічного обслуговування ІТС ЦЗО і адміністрування його засобів;

забезпечення функціонування офіційного веб-сайту ЦЗО;

участь у впровадженні та забезпеченні функціонування КСЗІ;

ведення журналів аудиту подій, що реєструють засоби ІТС ЦЗО;

інсталяція та забезпечення підтримки працездатності загальносистемного та спеціального програмного забезпечення ІТС ЦЗО;

встановлення та налагодження штатної підсистеми резервного копіювання бази даних ІТС ЦЗО;

забезпечення актуалізації баз даних, створюваних та оброблюваних у ІТС ЦЗО, внаслідок збоїв.

3.4. Адміністратор сертифікації відповідає за формування сертифікатів ключів, ведення електронних реєстрів чинних, блокованих та скасованих сертифікатів ключів, збереження та використання особистого ключа ЦЗО.

Основними обов'язками адміністратора сертифікації є:

участь у генерації пари ключів (особистий та відкритий ключі) та зберігання особистих ключів ЦЗО та їх резервних копій;

забезпечення використання особистих ключів ЦЗО під час формування та обслуговування сертифікатів ключів ЦЗО та Центрів;

перевірка запитів на формування сертифікатів Центру вимогам Регламенту;

участь у знищенні особистих ключів ЦЗО;

забезпечення ведення, архівування та відновлення баз даних сертифікатів ключів Центрів;

розповсюдження (публікація) переліку сертифікатів ключів Центрів і СВС на офіційному веб-сайті ЦЗО;

резервування сертифікатів ключів і СВС, інших важливих ресурсів ІТС ЦЗО.

3.5. Адміністратор реєстрації відповідає за перевірку документів, наданих Центрами, звернень Центрів щодо формування, блокування, поновлення та скасування сертифікатів ключів Центрів.

Основними обов'язками адміністратора реєстрації є:

ідентифікація та автентифікація заявників;

перевірка заяв на формування, скасування, блокування та поновлення сертифікатів ключів;

встановлення належності Центру особистого ключа та його відповідності відкритому ключу Центру;

ведення електронного Реєстру суб'єктів.

4.1. У журналах аудиту ІТС ЦЗО реєструються дії та події таких типів:

спроби створення, знищення, встановлення паролів, зміни прав доступу в ІТС ЦЗО тощо;

заміни технічних засобів ІТС ЦЗО та ключів;

формування, блокування, скасування та поновлення сертифікатів ключів, формування всіх СВС;

спроби несанкціонованого доступу до ІТС ЦЗО;

надання доступу персоналу до ІТС ЦЗО;

зміна системних конфігурацій та технічне обслуговування ІТС ЦЗО;

збої в роботі ІТС ЦЗО;

інші події, відомості про які фіксуються в журналі аудиту ІТС ЦЗО.

Усі записи в журналах аудиту в електронній або паперовій формі повинні містити дату та час дії або події, а також ідентифікувати суб'єкта, що її здійснив або ініціював.

4.2. Журнали аудиту підлягають перегляду не рідше одного разу на тиждень. Перегляд передбачає перевірку того, що журнал не піддавався несанкціонованим модифікаціям, вивчення всіх дій та/або подій у журналі з приділенням особливої уваги повідомленням про невідповідності і попередженням про небезпечні ситуації. Перегляд журналів аудиту ІТС ЦЗО здійснює адміністратор безпеки. Результати перегляду адміністратор безпеки фіксує в журналі аудиту адміністратора безпеки.

4.3. Система ведення електронного журналу аудиту включає механізми його захисту від неавторизованого перегляду, модифікації і знищення. Записи подій у журналах аудиту в паперовій формі повинні бути завірені і підписані адміністратором безпеки.

Журнали аудиту в електронній формі резервуються з періодичністю не менше одного разу на тиждень.

4.4. Адміністратор ІТС ЦЗО зберігає журнали аудиту на місці їх створення протягом 10 років, після чого забезпечує їх передачу для архівного збереження.

Документи з паперовими та електронними носіями, що створюються або надходять до ЦЗО, зберігаються та знищуються відповідно до вимог законодавства.

1. Загальні положення

1.1. В ІТС ЦЗО використовуються особисті та відповідні їм відкриті ключі за призначенням (сферою використання) відповідно до стандартів, рекомендацій, технічних специфікацій та алгоритмів, визначених у Вимогах до формату посиленого сертифіката відкритого ключа, затверджених Наказом, із такими параметрами:

особисті та відповідні їм відкриті ключі ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС зі ступенем розширення основного поля еліптичної кривої не менше 431 згідно з ДСТУ 4145-2002;

особисті та відповідні їм відкриті ключі ЦЗО для накладення та перевірки ЕЦП на даних про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, зі ступенем розширення основного поля еліптичної кривої не менше 257 згідно з ДСТУ 4145-2002;

особисті та відповідні їм відкриті ключі шлюзів захисту мережевих з’єднань та шифраторів мережевого потоку зі ступенем розширення основного поля еліптичної кривої не менше 257 згідно з ДСТУ 4145-2002;

особисті та відповідні їм відкриті ключі адміністраторів, що використовуються для криптографічного захисту мережевих з’єднань, зі ступенем розширення основного поля еліптичної кривої не менше 257 згідно з ДСТУ 4145-2002;

особисті та відповідні їм відкриті ключі ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів, СВС та на даних про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, зі ступенем розширення основного поля еліптичної кривої не менше 256 для алгоритму ECDSA згідно з ДСТУISO/IEC 14888-3:2014 "Інформаційні технології. Методи захисту. Цифрові підписи з доповненням. Частина 3. Механізми на основі сертифікатів";

особисті та відповідні їм відкриті ключі ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів, СВС та на даних про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, з довжиною ключа не менше 4096 біт для алгоритму RSA відповідно до RFC 3447 "Public-Key Cryptography Standards (PKCS) № 1: RSA Cryptography Specifications Version 2.1".

1.2. Процедури генерації особистих та відповідних їм відкритих ключів, що використовуються в ІТС ЦЗО, створення резервних копій, відновлення з резервних копій, використання та знищення особистих ключів, що використовуються в ІТС ЦЗО, здійснюються в частині, що не суперечить вимогам цього Регламенту, відповідно до положень інструкції із забезпечення безпеки експлуатації засобу криптографічного захисту інформації та інструкції щодо порядку генерації ключових даних і поводження (обліку, зберігання, знищення) з ключовими документами, передбачених Положенням про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту інформації, затвердженим наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 20 липня 2007 року № 141, зареєстрованим у Міністерстві юстиції України 30 липня 2007 року за № 862/14129 (у редакції наказу Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 14 грудня 2015 року № 767), до відповідних засобів криптографічного захисту інформації (далі - КЗІ) зі складу ІТС ЦЗО, які погоджуються з Адміністрацією Державної служби спеціального зв’язку та захисту інформації України.

2.1. В ІТС ЦЗО генеруються особистий та відповідний йому відкритий ключі ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС, особистий та відповідний йому відкритий ключі ЦЗО для накладення та перевірки ЕЦП на даних про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, особистий та відповідний йому відкритий ключі шлюзу захисту мережевих з'єднань, особистий та відповідний йому відкритий ключі адміністраторів (далі разом - особисті та відповідні їм відкриті ключі ЦЗО).

2.2. Генерація особистих та відповідних їм відкритих ключів ЦЗО здійснюється у спеціальному приміщенні ІТС ЦЗО за участю адміністратора безпеки під контролем адміністратора сертифікації.

Після генерації особистих та відкритих ключів ЦЗО здійснюється формування відповідних сертифікатів ключів.

Особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС та особисті ключі ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, зберігаються в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО.

Особисті ключі шлюзів захисту мережевих з’єднань, шифраторів мережевого потоку та особисті ключі адміністраторів зберігаються на захищених носіях особистих ключів.

Для забезпечення можливості відновлення особистого ключа ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС, особистого ключа ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, у випадку виходу з ладу апаратних та/або апаратно-програмних засобів КЗІ виконується резервне копіювання відповідного особистого ключа із засобу КЗІ на захищеному носієві особистих ключів.

Для забезпечення можливості відновлення особистих ключів шлюзів захисту мережевих з’єднань, шифраторів мережевого потоку та особистих ключів адміністраторів у випадку виходу з ладу захищеного носія особистих ключів виконується резервне копіювання особистого ключа із засобу КЗІ на окремі резервні захищені носії особистих ключів.

Факти генерації та створення резервних копій особистого ключа ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС, особистого ключа ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, особистих ключів шлюзів захисту мережевих з’єднань, особистих ключів шифраторів мережевого потоку (далі - особисті ключі ЦЗО), особистих ключів адміністраторів та відповідних їм відкритих ключів реєструються адміністратором безпеки у відповідному журналі обліку.

2.3. Передавання особистих ключів ЦЗО здійснюється за журналом прийому-передачі ключів.

Забороняється:

передавання особистих ключів адміністраторів між адміністраторами.

виносити особисті ключі ЦЗО та їх резервні копії із спеціального приміщення ІТС ЦЗО.

3.1. Строки дії особистих ключів ЦЗО відповідають строкам чинності сертифікатів відповідних їм відкритих ключів і становлять:

для особистих ключів ЦЗО для накладення ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС не більше 10 років;

для особистих ключів ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, не більше 5 років;

для особистих ключів шлюзу захисту мережевих з'єднань не більше 2 років.

Строк дії особистих ключів адміністраторів становить не більше 2 років.

3.2. Планова заміна особистого та відповідного йому відкритого ключа ЦЗО виконується не пізніше ніж за 2 робочі дні до закінчення строку дії відповідного сертифіката ключа.

Під час планової заміни особистого та відповідного йому відкритого ключа ЦЗО адміністратором безпеки під контролем адміністратора сертифікації відповідно до вимог пункту 2.2 глави 2 цього розділу здійснюється генерація нових особистого та відповідного йому відкритого ключа ЦЗО, формування відповідного сертифіката ключа та створення резервних копій особистого ключа.

Після введення в дію нових особистого та відповідного йому відкритого ключа ЦЗО особистий ключ, термін дії сертифіката відкритого ключа якого завершився, та всі його резервні копії знищуються методом, що не допускає можливості їх відновлення, за участю двох адміністраторів, у тому числі адміністратора безпеки.

3.3. Позапланова заміна особистого та відповідного йому відкритого ключа ЦЗО виконується у випадках компрометації або підозри на компрометацію особистого ключа ЦЗО та/або особистого ключа адміністратора.

Під час позапланової заміни особистого та відповідного йому відкритого ключа ЦЗО адміністратором безпеки під контролем адміністратора сертифікації відповідно до вимог пункту 2.2 глави 2 цього розділу здійснюється генерація нових особистого та відповідного йому відкритого ключа ЦЗО, формування відповідного сертифіката ключа та створення резервних копій особистого ключа.

У разі підтвердження факту компрометації особистих ключів ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС усі попередньо сформовані сертифікати ключів Центрів скасовуються та формується СВС, який підписується новим особистим ключем ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС.

Усі особисті ключі ЦЗО та особисті ключі адміністраторів, факт компрометації яких було підтверджено, знищуються методом, що не допускає можливості їх відновлення, за участю двох адміністраторів, у тому числі адміністратора безпеки.

3.4. Факти знищення особистих ключів ЦЗО, особистих ключів адміністраторів та їх резервних копій реєструються адміністратором безпеки у відповідному журналі обліку.

3.5. Не пізніше завершення половини строку дії поточного особистого та відповідного йому відкритого ключів ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС здійснюються генерація нового особистого та відповідного йому відкритого ключів ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС та формування відповідного сертифіката ключа. При цьому поточний особистий ключ ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС стає попереднім, а новий - поточним.

Поточні особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС повинні зберігатися і застосовуватися в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО, та використовуватися для накладення ЕЦП на сертифікати ключів Центрів та СВС.

Попередні особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС повинні зберігатися і застосовуватися в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО, та використовуватися для накладення ЕЦП тільки для обслуговування сертифікатів ключів Центрів, які були сформовані за допомогою цих ключів.

3.6. ЦЗО невідкладно інформує Центри та контролюючий орган про здійснення планової чи позапланової заміни особистих та відкритих ключів ЦЗО.