Доставка СКЗИ

В большинстве случаев доставка СКЗИ происходит как минимум дважды: от производителя до интегратора и от интегратора до заказчика. Естественно, и у интегратора, и у заказчика также могут быть дополнительные перемещения внутри организации – из центрального подразделения в регион, от администраторов пользователям и т.д.

В заметке рассмотрим требования к процедуре доставки СКЗИ, которые накладывает нормативка.

Я провел небольшой опрос в тематических telegram группах. Участвовало 88 человек — не так много, но лучше, чем ничего. Оказалось, что обычно для логистики используется спецсвязь или фельдъегеря. Однако есть опасение, что многие отвечали «как надо», а не как на самом деле. Свой вариант в комментариях никто не написал, это скорее воспринималось как «посмотреть результат».

Обратимся к нормативке, чтобы понять целевую модель.

1) В Приказе ФСБ России №378 о мерах защиты персональных данных указаны угрозы, связанные с возможностью нарушителя внести несанкционированные изменения в само СКЗИ, его среду функционирования и документацию на этапе транспортировки:

10. СКЗИ класса КС1 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа следующих:
<…>
г) проведение на этапах разработки (модернизации), производства, хранения, транспортировки СКЗИ и этапе ввода в эксплуатацию СКЗИ (пусконаладочные работы) следующих атак:
-внесение несанкционированных изменений в СКЗИ и (или) в компоненты аппаратных и программных средств, совместно с которыми штатно функционируют СКЗИ и в совокупности представляющие среду функционирования СКЗИ (далее — СФ), которые способны повлиять на -выполнение предъявляемых к СКЗИ требований, в том числе с использованием вредоносных программ;
внесение несанкционированных изменений в документацию на СКЗИ и компоненты СФ;

Далее по тексту приказа аналогичные угрозы актуальны для всех классов защиты СКЗИ.

2) Согласно статье 22 ФЗ №176 «О почтовой связи» спецсвязь необходима для пересылки сведений и предметов, содержащих государственную тайну:

Прием от юридических лиц, осуществляющих деятельность в пределах установленных законодательством Российской Федерации полномочий, почтовых отправлений, содержащих относящиеся к государственной тайне сведения и предметы, драгоценные металлы и драгоценные камни, а также изделия из них, денежные знаки Российской Федерации и иностранную валюту, их перевозка и доставка осуществляются силами и средствами специальной связи федерального органа исполнительной власти, осуществляющего управление деятельностью в области связи.

Под это определение можно подвести СКЗИ высоких классов.

3) Согласно Приказу ФАПСИ №152 к процедуре транспортировки всех СКЗИ предъявляются требования:

32. СКЗИ и ключевые документы могут доставляться фельдъегерской (в том числе ведомственной) связью или со специально выделенными нарочными из числа сотрудников органа криптографической защиты или пользователей СКЗИ, для которых они предназначены, при соблюдении мер, исключающих бесконтрольный доступ к ним во время доставки.

Теперь осталось разобраться с реализацией.

С сотрудниками организации ситуация понятная – администратор или пользователь СКЗИ может его перевозить при соблюдении определенных мер защиты.

А вот специальную и фельдъегерскую связь рассмотрим подробнее.

Начать стоит с того, что наиболее популярные коммерческие транспортные компании ни под одно из определений не попадают, поэтому про Major Express, СДЭК и прочие можно забыть.

Существует две ключевые организации, о которых вспоминают в контексте «доставка СКЗИ» — Государственная фельдъегерская служба (ГФС) и Главный центр специальной связи (ФГУП «Главный центр специальной связи», сокращенно ФГУП ГЦСС или Спецсвязь России).

Государственная Фельдъегерская Служба

ГФС занимается доставкой корреспонденции особой важности, совершенно секретных, секретных, а также иных отправлений. Перечень государственных органов, служебные отправления которых доставляются органами федеральной фельдъегерской службы утверждается Указом Президента:

1. Администрация Президента Российской Федерации.
2. Аппарат Правительства Российской Федерации.
3. Генеральная прокуратура Российской Федерации, прокуратуры субъектов Российской Федерации, приравненные к ним военные и другие специализированные прокуратуры.
4. Центральный аппарат Следственного комитета Российской Федерации и подразделения центрального аппарата (в том числе по федеральным округам); главные следственные управления и следственные управления Следственного комитета Российской Федерации по субъектам Российской Федерации и приравненные к ним специализированные (в том числе военные) следственные управления и следственные отделы Следственного комитета Российской Федерации.
5. Судебный департамент при Верховном Суде Российской Федерации, управления (отделы) Судебного департамента в субъектах Российской Федерации.
6. Центральная избирательная комиссия Российской Федерации, избирательные комиссии субъектов Российской Федерации.
7. Счетная палата Российской Федерации.
8. Центральный банк Российской Федерации.

Исходя из текста инструкции ФАПСИ, может показаться, что доставка СКЗИ — это всегда задача именно фельдъегерей. Но такой подход возможен только для указанных выше организаций, альтернатива для коммерческих – Спецсвязь России (ФГУП ГЦСС).

Спецсвязь России

ФГУП ГЦСС – это подведомственная организация Минцифры, которая в соответствии с Постановлением Правительства Российской Федерации от 15 декабря 1994 года N 1379-68 осуществляет задачи по приему и доставке корреспонденции и грузов, содержащих сведения и материалы, относящиеся к государственной, служебной и иной охраняемой законом тайне, иных особых грузов органов государственной власти, судов, прокуратуры, учреждений, организаций, предприятий, воинских частей и других юридических лиц, доставку драгоценных металлов и камней от мест их добычи к местам переработки и до потребителей, доставку изделий из драгоценных металлов и камней, ценных бумаг и банкнот по территории России.

Таким образом, ФГУП ГЦСС может перевозить не только сведения и предметы, относящиеся к гостайне и не только для госов. Практика показывает, что у регулятора нет возражений по перевозке СКЗИ силами ФГУП ГЦСС. Некоторые ведомства даже публично доносят это до своих региональных отделений, например, информационное сообщение Росфинмониторинга «О разъяснении отдельных вопросов по порядку направления сообщений об операциях с денежными средствами или иным имуществом в электронном виде после 1 июля 2013 года»:

СКЗИ и ключевые документы могут доставляться в Росфинмониторинг или МРУ Росфинмониторинга специальной (фельдъегерской) связью или курьером организации.

На сайте Спецсвязи есть удобный калькулятор по аналогии с другими транспортными компаниями.

Получается, что легитимная доставка СКЗИ может осуществляться ГФС для ограниченного перечня организаций и ГЦСС для всех остальных.

Для СКЗИ в виде ПО есть вариант скачивания с сайта. Я уже упоминал о нём в заметках про TLS. Из-за необходимости проверки целостности процедура на данный момент сложно выполнимая, но при распространении отечественных ОС и CSP может претендовать на массовость.

Отдельно стоит рассмотреть логистику от производителя до интегратора/заказчика. В этот момент СКЗИ еще не инициализировано – в него не введена лицензия и ключевая информация, не инициализирован датчик случайных чисел. При получении СКЗИ администратор должен выполнить процедуру проверки целостности как для упаковки, так и для самого СКЗИ. Поэтому де-факто в таких случаях используется совершенно обычная доставка транспортной компанией, хоть это и противоречит нормативке. Во многих гос.контрактах на поставку СКЗИ оборудование нужно доставить непосредственно в региональные подразделения, чтобы заказчик не заморачивался самостоятельной доставкой.

Пересылка документации на СКЗИ и ключевой информации

Помимо СКЗИ конечному пользователю требуется доставлять ключевую информацию и документацию на СКЗИ. К их доставке в Приказе ФАПСИ №152 тоже предъявляются требования.

К пересылке документации на СКЗИ требования более лояльны, но, как и для СКЗИ требуется подготовка сопроводительного письма:

32. <…> Эксплуатационную и техническую документацию к СКЗИ можно пересылать заказными или ценными почтовыми отправлениями.
<…>

34. Для пересылки СКЗИ, эксплуатационной и технической документации к ним, ключевых документов следует подготовить сопроводительное письмо, в котором необходимо указать, что посылается и в каком количестве, учетные номера изделий или документов, а также, при необходимости, назначение и порядок использования высылаемого отправления.

А вот с пересылкой ключевых документов все сложнее. Если вы вдруг решили заранее настроить СКЗИ, ввести в него ключи и отправить в таком виде на объект, то имейте ввиду – даже Спецсвязь не поможет выполнить это легальным способом.

33. <…> СКЗИ пересылают отдельно от ключевых документов к ним.

Итого

Доставка СКЗИ может быть реализована следующими способами:

• нарочно собственным сотрудником,
• с помощью фельдъегерьской службы,
• Спецсвязью России,
• скачивание с сайта уполномоченной организации (разработчик, дистрибьютор и т.п.).

К пересылке документации на СКЗИ не предъявляется особых требований, а ключи требуется пересылать только отдельно от СКЗИ.