Про затвердження Правил організації захисту електронних банківських документів

З метою належного врегулювання питань організації захисту електронних банківських документів, керуючись Законом України "Про банки і банківську діяльність" та відповідно до Положення про міжбанківські розрахунки в Україні, затвердженого постановою Правління Національного банку України від 8.10.98 N 414, Правління

1. Затвердити Правила організації захисту електронних банківських документів в установах, включених до інформаційно-обчислювальної мережі Національного банку України (додаються).

2. Керівникам банківських установ, начальникам Кримського республіканського, по м. Києву і області, обласних, Операційного, Головного управлінь Національного банку України, начальнику Центральної розрахункової палати протягом місяця з дня набуття чинності цієї постанови привести у відповідність із правилами організації захисту електронних банківських документів усі заходи організації захисту в установах.

3. Ця постанова набуває чинності через десять днів після державної реєстрації в Міністерстві юстиції України.

1.1. Правила організації захисту електронних банківських документів в установах, включених до інформаційно-обчислювальної мережі Національного банку України (далі - Правила) розроблені на основі Положення про міжбанківські розрахунки в Україні, затвердженого постановою Правління Національного банку України від 08.10.98 N 414 (далі - Положення).

1.2. Правила регламентують порядок отримання, обліку, передачі, використання та зберігання засобів криптозахисту НБУ, виконання правил інформаційної безпеки в установах, що є учасниками інформаційно-обчислювальної мережі Національного банку України.

1.3. Положення цього документа поширюються на всі установи, що працюють в інформаційно-обчислювальній мережі НБУ та мають програмний комплекс АРМ-НБУ й засоби криптографічного захисту НБУ. Надалі в тексті такі установи будуть умовно визначатися як банківські установи.

1.4. Положення цього документа не поширюються на програмні комплекси та системи захисту установ, що виконують функції, які не належать до завдань інформаційно-обчислювальної мережі НБУ.

Додаткові вимоги щодо технології та безпеки роботи внутрішніх платіжних систем банку та систем "клієнт-банк", що встановлюються НБУ, у цьому документі не розглядаються.

1.5. У разі виникнення ситуацій, не передбачених цим документом, їх необхідно розглядати в робочому порядку через службу захисту інформації регіонального управління та управління захисту інформації НБУ.

1.6. Відповідальність за виконання вимог захисту в середині банківської установи покладається на керівництво цієї установи.

2.1. У тексті цих Правил скорочення вживаються у такому значенні:

АЗІ - адміністратор захисту інформації;

АРМ - автоматизоване робоче місце;

ГМД - гнучкий магнітний диск;

ДСК - для службового користування;

ВК - відкритий ключ;

ПЕОМ - персональна електронна обчислювальна машина;

ПМГК - програмний модуль генерації ключів;

РРП - регіональна розрахункова палата;

ТК - таємний ключ;

САБ - система автоматизації банку;

СЕП - система електронних платежів;

ТВК - таблиця відкритих ключів;

ЕК - електронна картка;

ЕЦП - електронний цифровий підпис.

2.2. Система захисту електронних банківських документів в інформаційно-обчислювальній мережі НБУ побудована згідно з додатком 6 до Положення про міжбанківські розрахунки в Україні.

2.3. Система захисту електронних банківських документів складається з комплексу апаратно-програмних засобів криптографічного захисту та ключової системи до них, технологічних і організаційних заходів щодо захисту інформації в інформаційно-обчислювальній мережі НБУ.

2.4. Система захисту електронних банківських документів охоплює всі етапи розробки, впровадження та експлуатації програмно-технічного забезпечення інформаційно-обчислювальної мережі та включає чіткий розподіл відповідальності на кожному етапі підготовки, обробки та виконання електронних банківських документів на всіх рівнях.

2.5. Система захисту електронних банківських документів в інформаційно-обчислювальній мережі є єдиною для усіх інформаційних задач НБУ і СЕП. Для підвищення ступеня захисту електронних розрахункових документів у СЕП використовуються додаткові засоби, включаючи бухгалтерський контроль. Технологічні та криптографічні засоби безпеки використовуються не тільки в СЕП, а й у всіх інформаційних задачах НБУ.

2.6. Для забезпечення контролю за виконанням вимог щодо захисту інформації у банківських установах, що є учасниками інформаційно-обчислювальної мережі НБУ, служби захисту інформації регіональних управлінь НБУ мають виконувати планові (а в разі потреби - і позапланові) перевірки всіх установ, що використовують засоби захисту інформації НБУ. Планові перевірки всіх банківських установ мають виконуватися не менше ніж 1 раз на рік.

За результатами перевірки складається акт перевірки (або довідка), у якому в разі виявлення недоліків мають бути встановлені строки їх усунення.

2.7. Підставою для виконання позапланових перевірок є відкриття банківської установи або переведення її на будь-яку модель роботи в СЕП за консолідованим кореспондентським рахунком, вказівки підрозділів НБУ, зміна розміщення банківської установи тощо.

2.8. На вимогу служби захисту інформації регіонального управління НБУ та управління захисту інформації НБУ всім службовим особам, відповідальним за виконання захисту електронних банківських документів, слід негайно надавати письмову або усну інформацію про стан засобів захисту інформації та їх використання, а також інформацію про стан захисту інформації у програмному забезпеченні САБ (у тому числі системи "клієнт-банк", а також інших систем, на які поширюються вимоги НБУ щодо інформаційної безпеки), технологію оброблення електронних банківських документів у банківській установі і систему захисту інформації при їх обробленні.

2.9. Забороняється передавати, навіть тимчасово, засоби захисту іншим установам або особам, у тому числі й іншим установам однієї юридичної особи.

2.10. У додатку 1 дано узагальнений перелік найбільш серйозних порушень в організації роботи з засобами захисту інформації НБУ.

3.1. Банківські установи, які є учасниками інформаційно-обчислювальної мережі НБУ та які використовують засоби захисту інформації НБУ, повинні виділити приміщення, де обробляються електронні банківські документи, працюють та зберігаються в неробочий час засоби захисту інформації, для яких обов'язковими є такі вимоги:

3.1.1. АРМ-НБУ розміщується в будівлі банківської установи в спеціально виділеному для цього приміщенні з обмеженим доступом, двері якого повинні бути оснащені кодовим або автоматичним замком і місцем для опечатування.

У разі використання АРМ-НБУ для цілодобової роботи приміщення може не опечатуватись, але повинно мати систему обмеження доступу до нього.

3.1.2. Вікно (вікна) в приміщенні, де розташоване АРМ-НБУ, повинно бути захищеним надійними гратами, якщо воно:

є внутрішнім і виходить в інше приміщення або коридор банківської установи;

є зовнішнім і розташоване на першому чи останньому поверсі банківської установи або до якого можна легко дістатися з даху сусіднього будинку, з розташованих поруч пожежних сходів, дерев, що близько ростуть, архітектурних деталей будинку тощо.

Допускається не встановлювати металеві грати на вікнах у разі застосування спеціального вікна, міцність якого підтверджена відповідним сертифікатом, узгодженим з Державною службою охорони України.

3.1.3. Приміщення АРМ-НБУ повинно бути обладнане системою сигналізації з трьома рубежами захисту:

1-й рубіж - захист за периметром (двері, вікна);

2-й рубіж - захист від переміщення приміщенням;

3-й рубіж - захист сейфа адміністратора АРМ-НБУ.

Охорона банківських установ визначається Інструкцією з організації охорони установ банків України, затвердженою постановою Правління НБУ та наказом Міністерства внутрішніх справ України від 25.12.98 N 548/963.

У разі виникнення надзвичайних ситуацій (пожежа, стихійне лихо та інші) банківська установа зобов'язана вжити всіх необхідних заходів щодо запобігання втратам та компрометації засобів захисту НБУ.

3.1.4. Усі питання, що пов'язані з проведенням підготовчо-організаційних робіт, монтажем і прийманням сигналізації приміщення для АРМ-НБУ в експлуатацію, вирішуються згідно з чинним законодавством.

Після завершення комплексу робіт, пов'язаних з установленням сигналізації, складається акт приймання сигналізації в експлуатацію між відповідним відділом охорони УВСУ і банківською установою.

Аналогічний акт складається у тому разі, якщо в процесі роботи банківської установи відбувається переведення АРМ-НБУ в інше приміщення.

3.1.5. Адміністратор захисту інформації має зберігати:

довідку за підписом керівника банківської установи про стан сигналізації в приміщенні АРМ-НБУ, складену в довільній формі, в якій потрібно вказати:

а) коли змонтована сигналізація, яким підрозділом охорони УВСУ, номер і дату акта приймання сигналізації;

б) яким чином організований вивід сигналізації приміщення АРМ-НБУ;

в) можливості здійснення перевірки системи сигналізації;

картку запису несанкціонованих спрацювань сигналізації приміщення АРМ-НБУ, в якій зазначається час спрацювання, причини, вжиті заходи.

У разі зміни схеми сигналізації або приміщення АРМ-НБУ довідка поновлюється або до неї вносяться відповідні корективи.

3.1.6. Адміністратори АРМ-НБУ й адміністратор захисту інформації зобов'язані здійснювати періодичний контроль порядку взяття приміщення під охорону і надійного спрацювання сигналізації. Питання перевірки ефективності спрацювання сигналізації вирішуються внутрішнім порядком, який повинен установлюватися керівником банківської установи.

3.1.7. Приміщення для АРМ-НБУ повинно мати сейфи (металеві міцні шафи) для зберігання засобів захисту інформації, документів до них у неробочий час та під час перерви.

3.1.8. Ключі від сейфів і вхідних дверей приміщення АРМ-НБУ та печатки для опечатування повинні бути обліковані в розділах 5, 6 журналу обліку адміністратора захисту інформації (додатки 24, 25).

У разі втрати ключів від вхідних дверей приміщення АРМ-НБУ необхідно здійснити заміну замка, провести службове розслідування. Матеріали розслідування зберігаються в справах адміністратора захисту інформації банківської установи.

3.1.9. У робочий час ключі від вхідних дверей приміщення АРМ-НБУ і сейфів адміністратора АРМ-НБУ знаходиться в адміністратора АРМ-НБУ, який заступив на зміну.

У разі відсутності в приміщенні АРМ-НБУ адміністратора АРМ-НБУ, який заступив на зміну, це приміщення повинне бути зачинене на ключ.

3.1.10. У неробочий час місцезнаходження ключів від вхідних дверей приміщення АРМ-НБУ (з урахуванням кількості їх примірників) визначається керівництвом банківської установи, виходячи з вимог інформаційної безпеки, протипожежної безпеки й інших конкретних умов.

Допускається зберігання ключів від сейфів адміністратора АРМ-НБУ в опечатаному вигляді в приміщенні АРМ-НБУ.

3.1.11. У разі передачі ключів від вхідних дверей приміщення АРМ-НБУ на пост позавідомчої охорони вони повинні передаватися в опечатаному за допомогою печатки адміністратора АРМ-НБУ вигляді з відповідним записом у журналі та підписом адміністратора АРМ-НБУ, який здав зміну.

3.1.12. Приміщення має бути розташоване та обладнане так, щоб уникнути безконтрольного поширення інформації електронних банківських документів та засобів захисту інформації (акустично, візуально, через електронні прилади або електромагнітні випромінювання) за межі приміщення або банківської установи (контрольованої території).

3.1.13. Співробітники банківської установи, які мають право допуску в приміщення АРМ-НБУ, призначаються наказом по банківській установі (додаток 2) і реєструються у розділі 4 журналу обліку адміністратора захисту інформації (додаток 23).

3.1.14. Право допуску в приміщення АРМ-НБУ мають:

керівник банківської установи (особа, яка виконує його обов'язки);

заступник керівника банківської установи, який призначений відповідальним за організацію захисту електронної банківської інформації;

адміністратори АРМ-НБУ;

адміністратори захисту інформації;

інші співробітники банківської установи, які постійно вирішують питання обслуговування приміщення і АРМ-НБУ (програміст, прибиральниця тощо).

3.1.15. Співробітники внутрішньобанківської служби захисту інформації (якщо вони не призначені наказом по банківській установі як відповідальні за засоби криптозахисту) мають право обмеженого доступу до приміщення АРМ-НБУ і лише для вирішення питань, що належать до їх компетенції. При цьому права допуску до роботи із засобами криптозахисту вони не мають.

3.1.16. Усі співробітники банківської установи, які мають право допуску до приміщення АРМ-НБУ, зобов'язані перебувати в приміщенні АРМ-НБУ тільки на час виконання своїх обов'язків, що пов'язані з роботою АРМ-НБУ, і тільки в присутності адміністратора АРМ-НБУ, який заступив на зміну.

3.1.17. Співробітники банківської установи для вирішення разових питань допускаються до приміщення АРМ-НБУ на підставі усного розпорядження керівника банківської установи (або особи, яка виконує його обов'язки) лише в присутності адміністратора захисту інформації або адміністратора АРМ-НБУ і в журнал обліку адміністратора захисту інформації не вписуються.

3.1.18. Після ремонту приміщення або проведення інших ремонтних робіт рекомендується обстежити приміщення та обладнання з метою вилучення пристроїв викрадення інформації.

3.1.19. Для обмеження доступу до електронної інформації банку рекомендується розміщати сервер локальної мережі банку, вузол електронної пошти, АРМ бухгалтера САБ, АРМ-НБУ в окремих ізольованих приміщеннях.

У разі неможливості розміщення в ізольованих приміщеннях сервер локальної мережі банку та вузол електронної пошти дозволяється розмістити в одному приміщенні. Не допускається розміщати в одному приміщенні АРМ НБУ та АРМ бухгалтера САБ.

3.2. Перед отриманням засобів криптозахисту та підключенням до інформаційно-обчислювальної мережі НБУ установа подає до регіонального управління НБУ заяву на проведення перевірки виконання режимних умов до приміщень.

3.3. Усі банківські установи з питань захисту інформації обслуговуються службою захисту регіонального управління НБУ за місцем розташування банківської установи, незалежно від моделі обслуговування кореспондентського рахунку.

Банківські установи м.Києва та Київської області обслуговуються відділом захисту інформації Центральної розрахункової палати НБУ.

3.4. Банківська установа повинна повідомляти службу захисту інформації регіонального управління НБУ, в якому вона отримала засоби захисту інформації, про зміну місцезнаходження установи та зміну розміщення робочих місць, на яких використовуються засоби захисту інформації, протягом трьох робочих днів.

Служба захисту інформації регіонального управління НБУ протягом трьох робочих днів повинна організувати перевірку виконання режимних умов до приміщень зі складанням відповідного акта.

3.5. Робоче місце адміністратора захисту інформації повинно містити сейф адміністратора захисту інформації, призначений для зберігання програмного модуля генерації ключів, справ і журналу обліку адміністратора захисту інформації, таємних ключів операторів робочих місць САБ тощо.

Вимоги щодо обладнання сейфів сигналізацією не висуваються, але приміщення з цим робочим місцем повинно мати охоронну сигналізацію та опечатуватись у неробочий час.

3.5.1. Робоче місце адміністратора захисту інформації може бути розміщено в будь-якому приміщенні банківської установи за винятком кімнати АРМ-НБУ, АРМ бухгалтера і тих приміщень, куди (виходячи з режимних міркувань) доступ адміністратора АРМ-НБУ, АРМ бухгалтера і операціоністів заборонений.

3.5.2. Адміністратор захисту інформації повинен мати робоче місце, обладнане ПЕОМ, що не підключена до локальної мережі банку під час копіювання ПМГК і генерування ключів.

3.6. Інші робочі місця САБ рекомендується розміщувати в приміщеннях з обмеженим доступом. Таке приміщення повинне мати сейф оператора робочого місця для зберігання таємного ключа.

Вимоги щодо обладнання сейфів сигналізацією не висуваються.

3.7. У приміщенні АРМ-НБУ, якщо немає іншої можливості, дозволяється додатково розміщувати:

робоче місце адміністратора електронної пошти;

робоче місце адміністратора локальної мережі.

При цьому слід виконувати такі вимоги:

адміністратор електронної пошти (адміністратор локальної мережі) повинен бути адміністратором АРМ-НБУ;

кількість адміністраторів АРМ-НБУ не може необгрунтовано завищуватись.

3.8. АРМ бухгалтера електронних платежів може бути розташоване в будь-якому приміщенні банківської установи з обмеженим доступом, за винятком кімнати АРМ-НБУ та приміщення адміністратора захисту інформації.

3.9. У разі недостатньої кількості ПЕОМ у банківській установі допускається організація єдиного програмно-технічного комплексу для роботи всіх або частини операторів САБ у порядку черговості з суворим розподілом доступу до програмного забезпечення робочих місць.

3.10. Вимоги до сейфів.

3.10.1. Сейфи повинні бути обладнані замками і місцем для опечатування.

Якщо сейф обладнаний кодовим замком, то рекомендується також здійснювати опечатування замка, оскільки це дає змогу виявляти спроби його несанкціонованого відкриття.

3.10.2. Полегшений сейф, який спроможна винести одна людина, може бути використаний для зберігання засобів криптозахисту лише за умови його надійного кріплення до підлоги, стіни тощо.

3.10.3. Якщо використовується багатосекційний сейф, то кожна секція повинна мати свої дверцята з індивідуальним замком і місцем для опечатування.

Якщо односекційний сейф має вбудовану внутрішню секцію, обладнану замком, то він не вважається двосекційним і, отже, при зберіганні засобів криптозахисту може бути використаний лише однією відповідальною особою.

3.10.4. Допускається замість сейфів використовувати міцні металеві ящики за умови виконання інших вимог цього розділу.

3.10.5. Перелік ключів від сейфів, в яких зберігаються засоби криптозахисту, повинен бути зафіксований в розділі 5 журналу обліку адміністратора захисту інформації (додаток 24).

3.10.6. У разі втрати ключів від сейфів, у яких зберігаються засоби криптозахисту, необхідно здійснити заміну відповідного замка або сейфа, провести службове розслідування.

Матеріали розслідування зберігаються у справах адміністратора захисту інформації банківської установи.

3.11. Відповідальність за виконання вимог режимних умов до приміщень покладається на керівництво банківських установ.

4.1. Основною метою криптографічного захисту інформації в інформаційно-обчислювальній мережі НБУ є забезпечення конфіденційності та цілісності електронної банківської інформації, а також суворої автентифікації учасників СЕП і фахівців банківських установ, які беруть участь у підготовці та обробці електронних банківських документів.

4.2. Для забезпечення захисту інформації від модифікації з одночасною суворою автентифікацією та забезпечення нерозривності захисту платіжної інформації з часу її формування система захисту СЕП та інших інформаційних задач включає механізми формування/перевірки електронного цифрового підпису (далі - ЕЦП) на базі несиметричного алгоритму RSA. Для забезпечення роботи цього алгоритму кожна банківська установа отримує від служб захисту інформації регіональних управлінь НБУ персональний генератор ключів з вбудованим ідентифікатором цієї банківської установи.

4.3. Для забезпечення конфіденційності інформації, що циркулює в інформаційно-обчислювальній мережі НБУ, усі файли, що містять конфіденційну інформацію, мають бути оброблені в АРМ-НБУ.

Цей програмно-апаратний комплекс є єдиним шлюзом до всіх задач пакетного оброблення інформації НБУ і в першу чергу - СЕП. Виконання системних вимог та інструкцій щодо розміщення програмного комплексу АРМ-НБУ є обов'язковим.

АРМ-НБУ включає до свого складу вбудовані засоби захисту, що забезпечують конфіденційність інформації під час її пересилки каналами зв'язку. Вбудовані засоби захисту забезпечують два режими шифрування АРМ-НБУ: апаратне та програмне.

4.4. Використання стандартизованих криптографічних алгоритмів у системі захисту інформації гарантує задану криптостійкість, при цьому криптографічні алгоритми не становлять таємниці. Основою криптографічного захисту є ключова система та самі ключі, тому інформація про це має закритий характер і розголошенню не підлягає.

Побудова ключової системи виконується службою захисту інформації НБУ згідно з діючою системою захисту. Ключова система вміщує ключі асиметричного шифрування, що генеруються в банківських установах за допомогою наданих генераторів ключів, та ключі симетричного шифрування, що використовуються для апаратного шифрування.

4.5. Забороняється використання засобів захисту НБУ у внутрішніх платіжних системах банків, системах "клієнт-банк" та інших програмних комплексах, які знаходяться за межами системи автоматизації банку.

4.6. Використання засобів криптографічного захисту НБУ включає обов'язкове виконання організаційних вимог щодо отримання, використання та зберігання засобів захисту.

У разі невиконання вимог щодо використання та зберігання засобів захисту і режимних вимог до приміщень (відсутність сигналізації тощо) засоби криптозахисту вилучаються з банківської установи службою захисту інформації регіонального управління НБУ.

4.7. Криптографічний захист електронних банківських документів в установах, що є учасниками інформаційно-обчислювальної мережі НБУ, виконується за допомогою таких засобів криптозахисту:

а) засоби апаратного шифрування:

криптоблок (АЗЕГО);

електронна картка (ЕК);

програмне забезпечення керування апаратурою захисту, яке вбудоване в АРМ-НБУ та не може бути вилучене;

б) засоби програмного шифрування:

програма шифрування, вбудована в АРМ-НБУ;

в) засоби електронного цифрового підпису:

програмний модуль генерації ключів з відповідними незаповненими таблицями відкритих ключів;

бібліотеки накладання/перевірки ЕЦП, що надаються усім учасникам інформаційно-обчислювальної мережі управлінням захисту інформації НБУ безкоштовно для вбудови в програмне забезпечення системи автоматизації банку.

4.8. Основними засобами шифрування в СЕП є апаратні засоби захисту. Для усіх платіжних документів СЕП у штатному режимі роботи АРМ-НБУ виконує апаратне шифрування.

У разі виходу з ладу засобів апаратного шифрування необхідно перейти до резервного програмного шифрування платіжних документів.

4.9. Криптоблок, електронна картка і програмний модуль генерації ключів видаються в банківську установу встановленим порядком службою захисту інформації регіонального управління НБУ.

4.10. Для установ, які не беруть безпосередньої участі в системі електронних платежів, але є учасниками інформаційних задач НБУ, шифрування усіх інформаційних файлів виконується тільки за допомогою програмних засобів шифрування, вбудованих в АРМ-НБУ, відповідно до файла настройки arm3.tsk. До таких установ не застосовуються вимоги розділів 5 та 6 цього документа.

4.11. Зняття копії з програмного модуля генерації ключів, а також знищення копії програмного модуля генерації здійснює адміністратор захисту інформації в банківській установі способом, що унеможливлює їх відновлення (наприклад, за допомогою подвійного переформатування дискети).

4.12. Під час генерації ключів одночасно створюється ключова пара, яка складається з таємного і відкритого ключів.

4.13. Генерація ключів повинна виконуватись відповідальною особою, яка безпосередньо працюватиме з цим ключем, у присутності адміністратора захисту інформації установи.

У разі потреби копії таємних ключів (АРМ-НБУ та АРМ бухгалтера САБ) повинні виконуватись безпосередньо відповідальною особою із записом у журналі генерації ключів про зняття копії. Знищення таємних ключів та їх копій виконується також відповідальними особами в присутності адміністратора захисту інформації методом, який гарантує неможливість їх відновлення, із записом у журналі генерації ключів.

4.14. Таємні ключі можуть бути записані на ГМД або Touch Memory. Відкриті ключі після сертифікації в управлінні захисту інформації НБУ (ключі операціоністів сертифікації не потребують) уносяться в таблицю відкритих ключів, яка зберігається на жорсткому диску ПЕОМ відповідно до технології обробки інформації.

4.15. Засоби апаратного шифрування, програмного шифрування, електронного цифрового підпису є предметами обмеженого доступу, суворого обліку, контролю і звітності. Порядок зберігання та використання перебувають під контролем служби захисту інформації регіонального управління НБУ.

4.16. У банківській установі в разі відсутності особливих вказівок управління захисту інформації НБУ та/або служби захисту інформації регіонального управління НБУ для захисту електронних платежів використовуються:

4.17. Усі питання, пов'язані з організацією безпеки електронних платежів у СЕП НБУ та інформаційних системах НБУ, вирішуються через службу захисту інформації того регіонального управління НБУ, з яким укладений договір про використання криптографічних засобів захисту інформації в інформаційно-обчислювальній мережі НБУ.

Отримання консультацій щодо супроводження АРМ-НБУ і технологічного процесу проходження електронних платежів здійснюється в РРП того регіонального управління НБУ, в якому відкритий технічний рахунок банківської установи.

5.1. Для отримання криптоблока відповідальна особа банківської установи повинна прибути до регіонального управління НБУ, маючи при собі документи, які засвідчують особу, і довіреність банківської установи на отримання криптоблока.

5.2. У цій довіреності вказується прізвище особи, яка має отримати засоби криптозахисту. Після отримання засобів криптозахисту довіреність залишається в службі захисту інформації регіонального управління НБУ.

5.3. Довіреність складається за довільною формою, підписується керівником банківської установи і скріплюється печаткою. У цій довіреності повинні бути наведені перелік та кількість засобів захисту, які необхідно отримати, дані паспорта (серія, номер, орган, що видав паспорт, дата видачі) відповідальної особи і зразок його підпису.

5.4. Засоби криптозахисту надаються банківським установам тільки для використання в інформаційно-обчислювальній мережі НБУ і не підлягають бухгалтерському обліку та звітності фінансовими, матеріально-технічними та іншими службами банківської установи.

5.5. Криптоблок у банківську установу передається за Актом про приймання-передавання криптоблока (додаток 7), один примірник якого залишається в службі захисту інформації регіонального управління НБУ, а другий - зберігається у банківській установі.

5.6. Після отримання криптоблока потрібно:

зробити відповідний запис у розділі 2 журналу обліку адміністратора захисту інформації (додаток 21);

адміністратору АРМ-НБУ, який перебуває на зміні, отримати криптоблок за журналом обліку адміністратора захисту інформації (додаток 21);

зробити відповідний запис у розділі 1 журналу обліку адміністратора АРМ-НБУ (додаток 29).

Криптоблок повинен бути встановлений і постійно знаходитися на робочому місці в приміщенні АРМ-НБУ.

5.7. Перед уведенням криптоблока в роботу слід упевнитися, що виконуються усі вимоги з технічних умов експлуатації криптоблока, які наведені в документації до нього.

5.8. Для введення криптоблока в експлуатацію необхідно додатково отримати в службі захисту інформації регіонального управління НБУ запрограмовану для роботи з цим криптоблоком електронну картку (п.6 Правил) і згенерований для цієї електронної картки комплект таблиць KMEP.BIN, TABLE.BIN.

5.9. Передача криптоблока між адміністраторами АРМ-НБУ відбувається за журналом обліку засобів захисту АРМ-НБУ (додаток 29), який ведеться адміністраторами АРМ-НБУ і зберігається в приміщенні АРМ-НБУ.

5.10. Заміна криптоблока здійснюється у разі його виходу з ладу або за вказівкою служби захисту інформації регіонального управління НБУ.

5.11. У разі заміни криптоблока обов'язково слід здійснити й заміну електронної картки та таблиць KMEP.BIN, TABLE.BIN.

Тестування і подальша робота отриманого криптоблока повинні виконуватись тільки з новою електронною карткою і таблицями KMEP.BIN, TABLE.BIN.

5.12. У разі виходу криптоблока з ладу в процесі експлуатації необхідно:

якщо є потреба тимчасово перейти на програмні засоби захисту, то відповідальний працівник банківської установи повинен засобами електронної пошти повідомити АРМ-2 (поштова скринька v32rpal) про перехід на резервне програмне шифрування;

за командою від РРП перевести АРМ-НБУ на роботу з резервним програмним шифруванням; для цього в конфігураційному файлі arm3.cfg у рядку "метод шифрування" розмістити літеру P - "програмне шифрування";

продовжувати роботу з АРМ-НБУ спочатку у взаємодії з РРП (за телефоном), а далі - у звичайному режимі за допомогою програмного шифрування;

проінформувати про цей випадок електронною поштою службу захисту інформації регіонального управління НБУ;

привезти нарочним до служби захисту інформації регіонального управління НБУ:

а) криптоблок у комплекті. Криптоблок повертається до служби захисту інформації регіонального управління НБУ разом з Актом повернення криптоблока (додаток 8), один примірник якого залишається в службі захисту інформації регіонального управління НБУ, другий - зберігається в банківській установі;

б) електронну картку із записом її номера в акті;

в) довіреність на отримання нового криптоблока;

зробити відмітку про повернення криптоблока, що вийшов з експлуатації, в регіональне управління НБУ (додаток 21);

отримати новий криптоблок;

після отримання нової електронної картки і нового комплекту таблиць KMEP.BIN та TABLE.BIN виконати перевірку працездатності апаратури захисту;

у разі успішного завершення перевірки працездатності апаратури повідомити засобами електронної пошти регіональну службу захисту (поштова скринька ZAHIST) та АРМ-2, де ведеться технічний кореспондентський рахунок установи (поштова скринька v32rpal), про готовність до переходу на апаратні засоби захисту. Перехід на апаратні засоби захисту може бути здійснений лише на початку банківського дня за домовленістю з АРМ-2;

у разі виникнення збоїв у роботі апаратури захисту під час відкриття банківського дня (на стадії переходу на роботу з АЗЕГО) необхідно одержати консультацію в РРП по телефону і узгодити подальші дії;

провести службове розслідування у разі навмисного або необережного пошкодження криптоблока, копію матеріалів цього розслідування подати до служби захисту інформації регіонального управління НБУ;

відшкодувати збитки за пошкодження відповідно до договірних зобов'язань.

5.13. У разі втрати криптоблока потрібно:

виконати заходи, що передбачені п.5.12 Правил;

провести службове розслідування за фактом втрати, копію матеріалів якого подати до служби захисту інформації регіонального управління НБУ;

відшкодувати збитки за втрату криптоблока відповідно до договірних зобов'язань.

5.14. Якщо виявиться факт пошкодження пломб та печаток на криптоблоці, то слід:

негайно виключити цей блок з експлуатації;

виконати заходи, що передбачені п.5.12 Правил;

провести службове розслідування за фактом пошкодження пломб та печаток, копію матеріалів якого надати до служби захисту інформації регіонального управління НБУ;

відшкодувати збитки за пошкодження пломб та печаток відповідно до договірних зобов'язань.

6.1. Електронна картка для банківських установ, що розташовані за межами обласного центру, надсилається спецзв'язком у подвійному конверті або передається через відповідальну особу банківської установи. Для банківських установ, що розташовані в обласному центрі, картка передається через відповідальну особу банківської установи. Для її отримання відповідальна особа банківської установи повинна прибути до служби захисту регіонального управління НБУ, маючи при собі документи, що засвідчують особу, та довіреність на отримання електронної картки (пп.5.2, 5.3, 5.4 Правил).

Електронна картка дається разом з супровідним листом, в якому вказуються її номер і час уведення в роботу.

6.2. При отриманні електронної картки необхідно:

зробити відповідний запис у розділі 2 журналу обліку адміністратора захисту інформації установи (додаток 21);

адміністратору АРМ-НБУ, який перебуває на зміні, отримати електронну картку за журналом обліку адміністратора захисту інформації (додаток 21);

зробити відповідний запис у розділі 1 журналу обліку адміністратора АРМ-НБУ (додаток 29);

здійснити тестування електронної картки після отримання таблиць KMEP.BIN, TABLE.BIN, згенерованих для цієї електронної картки;

надіслати електронною поштою до служби захисту інформації регіонального управління НБУ підтвердження (додаток 9) про отримання електронної картки і результати тестування, якщо електронна картка була отримана спецзв'язком;

повідомити електронною поштою службу захисту інформації регіонального управління НБУ про результати тестування електронної картки, якщо вона була доставлена нарочним (додаток 10);

ввести електронну картку в роботу в строки, обумовлені в супровідному листі, вчасно виконати заміну комплекту таблиць KMEP.BIN, TABLE.BIN на новий (на якому здійснювалося її тестування).

6.3. У разі негативних результатів тестування негайно:

поінформувати електронною поштою службу захисту інформації регіонального управління НБУ (додаток 10) і діяти відповідно до наданих рекомендацій;

повернути до служби захисту інформації регіонального управління НБУ електронну картку разом з супровідним листом банківської установи (додаток 11).

У цьому разі в банківську установу буде надіслана нова електронна картка.

Електронна картка, що не пройшла тестування, повинна бути записана до розділу 2 журналу обліку адміністратора захисту інформації з відповідним записом про її повернення до регіонального управління НБУ (додаток 21).

6.4. Зберігається електронна картка в неробочий час або в робочий час, якщо вона не використовується в роботі, у сейфі адміністратора АРМ-НБУ.

6.5. Передача електронної картки між адміністраторами АРМ-НБУ здійснюється за розділом 1 журналу обліку адміністратора АРМ-НБУ (додаток 29), який ведеться адміністраторами АРМ-НБУ і зберігається в приміщенні АРМ-НБУ.

6.6. Після завершення робочого циклу використання (дата призначається управлінням захисту інформації НБУ) електронна картка у дводенний строк разом із супровідним листом банківської установи (додаток 11) повертається до служби захисту інформації регіонального управління НБУ.

У розділі 2 журналу обліку адміністратора захисту інформації робиться відповідний запис про повернення електронної картки, що вийшла з експлуатації, до регіонального управління НБУ (додаток 21).

6.7. У разі заміни електронної картки заміна таблиць KMEP.BIN, TABLE.BIN є обов'язковою.

6.8. У разі виходу з ладу електронної картки до завершення робочого циклу використання необхідно:

виконати дії, що описані в п.5.12 Правил, для забезпечення переходу на резервне програмне шифрування;

поінформувати електронною поштою службу захисту інформації регіонального управління НБУ про вихід з ладу електронної картки;

повернути встановленим порядком (нарочним або спецзв'язком) до служби захисту інформації регіонального управління НБУ зіпсовану електронну картку разом із супровідним листом (додаток 11), один примірник якого залишається в службі захисту інформації регіонального управління НБУ, другий - зберігається в банківській установі. У розділі 2 журналу обліку адміністратора захисту інформації робиться відповідний запис про повернення пошкодженої електронної картки в регіональне управління НБУ (додаток 21);

після отримання нової електронної картки і нового комплекту таблиць KMEP.BIN, TABLE.BIN виконати заходи, які описані в п.5.12 Правил, для переходу до використання апаратних засобів шифрування;

у разі навмисного або ненавмисного пошкодження електронної картки потрібно провести службове розслідування, копії матеріалів якого подати до служби захисту інформації регіонального управління НБУ. При цьому слід відшкодувати збитки від пошкодження електронної картки відповідно до договірних зобов'язань.

6.9. У разі втрати електронної картки необхідно:

виконати заходи, що передбачені п.6.8 Правил;

провести службове розслідування за фактом втрати, копії матеріалів якого подати до служби захисту інформації регіонального управління НБУ;

відшкодувати збитки від втрати електронної картки відповідно до договірних зобов'язань.

7.1. Порядок надання програмного модуля генерації ключів до банківської установи аналогічний порядку передачі криптоблока (пп.5.1-5.4 Правил).

Для отримання програмного модуля генерації ключів відповідальна особа банківської установи повинна прибути до регіонального управління НБУ, маючи при собі документи, що засвідчують особу, та довіреність банківської установи на отримання програмного модуля генерації ключів.

7.2. У цій довіреності вказується прізвище особи, яка має отримати засоби криптозахисту. Після отримання засобів криптозахисту ця довіреність залишається в службі захисту інформації регіонального управління НБУ.

7.3. Довіреність складається за довільною формою, підписується керівником банківської установи і скріпляються печаткою. У цій довіреності повинні бути наведені перелік засобів захисту, які необхідно отримати, а також дані паспорта (серія, номер, назва органу, що видав паспорт, дата видачі) відповідальної особи і зразок його підпису.

7.4. Засоби криптозахисту даються банківським установам тільки для використання в інформаційно-обчислювальній мережі НБУ і не підлягають бухгалтерському обліку і звітності фінансовими, матеріально-технічними та іншими службами банківської установи.

7.5. Програмний модуль генерації ключів у банківську установу передається за Актом про приймання-передавання програмного модуля генерації ключів (додаток 12), один примірник якого залишається у службі захисту інформації регіонального управління НБУ, другий - зберігається в банківській установі. В акті повинні бути зазначені версія програмного модуля генерації ключів, дата створення та час уведення в роботу.

7.6. При отриманні програмного модуля генерації ключів необхідно:

зняти копію ПМГК за допомогою засобів, які є на дискеті з програмним модулем генерації ключів;

зареєструвати ПМГК і його копію в розділах 2, 7 журналу обліку адміністратора захисту інформації (додатки 21, 26);

здійснити перевірку працездатності ПМГК та його копії шляхом пробної генерації ключів;

забезпечити генерацію ключів АРМ-НБУ, АРМ бухгалтера, операціоністів, інших робочих місць для інформаційних задач НБУ.

7.7. У разі негативних результатів тестування необхідно негайно:

поінформувати електронною поштою службу захисту інформації регіонального управління НБУ і діяти відповідно до її рекомендацій;

повернути до служби захисту інформації регіонального управління НБУ ПМГК разом з Актом про повернення програмного модуля генерації ключів (додаток 13), один примірник якого залишається у службі захисту інформації регіонального управління НБУ, другий - зберігається в банківській установі. В акті повинні бути зазначені версія програмного модуля генерації ключів, дата створення та час ведення в роботу, причина повернення ПМГК.

У цьому разі в банківську установу буде наданий резервний ПМГК.

Програмний модуль генерації ключів, що не пройшов перевірки працездатності, повинен бути зареєстрований в журналі обліку адміністратора захисту інформації з відповідним записом про повернення його до служби захисту інформації регіонального управління НБУ (додаток 21). Копія ПМГК при цьому знищується.

7.8. У банківській установі ПМГК і його копія повинні передаватись між адміністраторами захисту інформації за розділом 7 журналу обліку адміністратора захисту інформації (додаток 26).

7.9. Зберігається ПМГК (його копії) у неробочий час або в робочий час, якщо він не використовується в роботі, у сейфі адміністратора захисту інформації. При цьому сейф повинен бути закритий і опечатаний печаткою адміністратора захисту інформації, який працює у цю зміну.

7.10. Після завершення робочого циклу використання (дата призначається управлінням захисту інформації НБУ) ПМГК повертається до служби захисту регіонального управління НБУ разом з Актом про повернення програмного модуля генерації ключів (додаток 13), один примірник якого залишається в службі захисту інформації регіонального управління НБУ, другий - зберігається в банківській установі. В акті повинні бути зазначені версія програмного модуля генерації ключів, дата створення та час уведення в роботу, причина повернення ПМГК.

Робоча копія (якщо не буде інших вказівок) знищується на місці шляхом, який унеможливлює його відновлення (наприклад, шляхом подвійного переформатування дискети). У банківській установі за фактом знищення ПМГК складається Акт про знищення засобів криптозахисту (додаток 15), один примірник якого передається до служби захисту інформації регіонального управління НБУ.

У розділі 2 журналу обліку адміністратора захисту інформації робиться відповідний запис про повернення програмного модуля генерації ключів до служби захисту інформації регіонального управління НБУ та знищення його копії в банківській установі з наданням номерів відповідних актів (додаток 21).

7.11. У разі псування ГМД з копією програмного модуля генерації ключів до завершення робочого циклу використання необхідно:

зняти повторно копію ПМГК;

внести належні зміни до розділу 2 журналу обліку адміністратора захисту інформації (додаток 21).

7.12. У разі втрати програмного модуля генерації ключів (та/або його копії) або втрати контролю за місцезнаходженням генератора ключів (та/або його копії) необхідно:

поінформувати про це електронною поштою службу захисту інформації регіонального управління НБУ та замовити новий програмний модуль генерації ключів (додаток 14);

стримуватися від генерації ключів до отримання нового програмного модуля генерації ключів;

провести службове розслідування, копію матеріалів якого подати до служби захисту інформації регіонального управління НБУ;

отримати відповідно до встановленого порядку новий програмний модуль і надалі виконувати заходи, передбачені пп.7.1.-7.9 Правил (при цьому поточні таємні ключі можуть бути в роботі до закінчення строку їх дії);

відшкодувати збитки від втрати генератора ключів відповідно до договірних зобов'язань.

7.13. Якщо адміністратор захисту інформації, який безпосередньо працював з програмним модулем генерації ключів, звільняється з банківської установи або переходить в цій же банківській установі на іншу ділянку роботи, то потрібно негайно, не припиняючи при цьому роботи банківської установи в СЕП НБУ, здійснити встановленим порядком (п.7.12 Правил) заміну програмного модуля генерації ключів.

При цьому треба виконати нову генерацію таємних ключів для усіх робочих місць банківської установи.

Службове розслідування в цьому випадку не проводиться.

7.14. Усі ключі повинні генеруватись на робочому місці, що відповідає вимогам п.3.5.2 Правил, безпосередньо відповідальною особою, яка працюватиме з цим ключем, у присутності адміністратора захисту інформації. Усі спроби генерації ключів, у тому числі й невдалі, повинні реєструватись в розділі 3 журналу обліку адміністратора захисту інформації (додаток 22).

7.15. Усі ключі, що генеруються в банківській установі, повинні бути згенеровані з паролем відповідно до правил користування генератором ключів.

7.16. Індивідуальний пароль для таємного ключа встановлює особа, яка виконує генерацію ключа.

7.17. Створення копій таємних ключів АРМ-НБУ (і АРМ бухгалтера САБ) потрібно для запобігання невиправданим зупинкам роботи банківської установи в СЕП НБУ у разі псування дискети з ключами. Копіювання таємних ключів повинно виконуватись тільки за наявності наказу по установі про створення копій таємних ключів з обов'язковим визначенням відповідальних за їх зберігання.

7.18. Процес використання копій таємних ключів повинен фіксуватись у журналах обліку з обов'язковим зазначенням причин використання копії.

7.19. На створені копії засобів криптозахисту поширюються усі вимоги інформаційної безпеки, як і на основні засоби криптозахисту.

7.20. Неприпустимим є використання копій засобів криптозахисту в разі компрометації основних засобів, а саме:

втрати генератора ключів;

втрати таємних ключів АРМ-НБУ, АРМ бухгалтера;

виявлення факту знаходження таємних ключів АРМ-НБУ, АРМ бухгалтера, генератора ключів у сторонніх осіб;

втрати контролю над місцезнаходженням таємних ключів АРМ-НБУ, АРМ бухгалтера, генератора ключів або їх копій, у результаті чого можливе їх несанкціоноване копіювання.

8.1. У разі використання апаратних носіїв ключової інформації (Touch Memory) просте копіювання ключів з одного носія на інший унеможливлює їх використання сторонніми особами. Зберігання таких носіїв у сейфі в неробочий час необов'язкове.

Допускається додаткове використання цих носіїв для рішення інших завдань банківської установи (наприклад, для обмеження доступу до комп'ютерів, приміщень тощо).

8.2. У разі використання дискет як носіїв ключів треба суворо дотримуватися правил використання та зберігання таємних ключів для унеможливлення їх несанкціонованого копіювання.

8.3. У разі використання САБ, що працює в операційному середовище UNIX, не рекомендується використовувати дискети як носії таємних ключів. У такому разі під час генерації таємний ключ записується на дискету з паролем. Після цього файл з таємним ключем розміщується у захищеній директорії, яка доступна для читання тільки з робочого місця саме цієї відповідальної особи, при цьому це копіювання може бути виконане відповідальною особою, адміністратором захисту інформації або адміністратором САБ з відповідним записом у журналі обліку адміністратора захисту інформації і обов'язковим підписом особи, яка копіювала ключ у захищену директорію.