Расширенный поиск

Обзор законодательства Российской Федерации в сфере информационной безопасности – Часть 6: Криптография

Деятельность в области криптографии (шифрования) ограничена как при ее осуществлении на территории России, так и при ввозе и вывозе криптографических (шифровальных) средств. Регулирование деятельности в области криптографии на территории России осуществляется российскими нормативными правовыми актами, ввоз и вывоз криптографических средств регламентируется актами Евразийской экономической комиссии.

Оглавление (показать/скрыть)
Часть 1: Общий обзор законодательства Российской Федерации в сфере информационной безопасности
Часть 2: Персональные данные, личная и семейная тайна
Часть 3: Государственная тайна
Часть 4: Коммерческая тайна
Часть 5: Иные виды тайн
Часть 6: Криптография
Часть 7: Техническая защита информации
Часть 8: Прослушка
Часть 9: Борьба с киберпреступностью

Органом, осуществляющим регулирование и контроль в сфере криптографии, является Федеральная служба безопасности (ФСБ России). Она вправе:

  • осуществлять в соответствии со своей компетенцией регулирование в области разработки, производства, реализации, эксплуатации шифровальных (криптографических) средств и защищенных с использованием шифровальных средств систем и комплексов телекоммуникаций, расположенных на территории Российской Федерации, а также в области предоставления услуг по шифрованию информации в Российской Федерации, выявления электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах;
  • осуществлять государственный контроль за организацией и функционированием криптографической и инженерно-технической безопасности информационно-телекоммуникационных систем, сетей связи специального назначения и иных сетей связи, обеспечивающих передачу информации с использованием шифров, контроль за соблюдением режима секретности при обращении с шифрованной информацией в шифровальных подразделениях государственных органов и организаций на территории Российской Федерации и в ее учреждениях, находящихся за пределами Российской Федерации, а также в соответствии со своей компетенцией контроль за обеспечением защиты особо важных объектов (помещений) и находящихся в них технических средств от утечки информации по техническим каналам;
  • разрабатывать, создавать и эксплуатировать информационные системы, системы связи и системы передачи данных, а также средства защиты информации, включая средства криптографической защиты.

Ввоз и вывоз шифровальных средств

Положение о ввозе на таможенную территорию Евразийского экономического союза и вывозе с таможенной территории Евразийского экономического союза шифровальных (криптографических) средств  утверждено Решением Коллегии Евразийской экономической комиссии. Им установлено, что товары имеют функции шифрования (криптографии), если они реализуют или содержат в своем составе следующие средства:

а) средства шифрования (аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации от несанкционированного доступа при ее передаче по каналам связи и (или) при ее обработке и хранении);

б) средства имитозащиты (аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации);

в) средства электронной цифровой подписи (электронной подписи), определяемые в соответствии с законодательством государств – членов Союза (далее – государства-члены);

г) аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации с выполнением части такого преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;

д) аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для изготовления ключевых документов (независимо от вида носителя ключевой информации);

е) аппаратные, программные и аппаратно-программные средства, системы и комплексы, разработанные или модифицированные для выполнения криптоаналитических функций;

ж) аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации, разработанные или модифицированные для применения криптографических методов генерации расширяющегося кода для систем с расширяющимся спектром, включая скачкообразную перестройку кодов для систем со скачкообразной перестройкой частоты;

з) аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации, разработанные или модифицированные для применения криптографических методов формирования каналов или засекречивающих кодов для модулированных по времени сверхширокополосных систем.

Ввоз и (или) вывоз шифровальных (криптографических) средств осуществляются при наличии сведений о включении соответствующей нотификации в единый реестр нотификаций (далее – сведения о нотификации) либо при наличии лицензии. Для помещения товара под таможенные режимы, отличные от выпуска для внутреннего потребления и экспорта, а также при ввозе в целях обеспечения собственных нужд без права их распространения и оказания третьим лицам услуг в области шифрования, вместо лицензии может представляться заключение уполномоченного органа (в России это Центр по лицензированию, сертификации и защите государственной тайны ФСБ России, ЦЛСЗ ФСБ России). Не требуется представление лицензии, заключения (разрешительного документа) или сведений о нотификации при помещении под таможенные процедуры выпуска для внутреннего потребления или экспорта операторами сотовой связи образцов тестовых сим-карт в целях международного обмена в количестве не более 20 штук.

Для оформления лицензии в уполномоченный орган (Минпромторг России) представляются следующие документы и сведения:

  1. заявление о выдаче лицензии и его электронная копия;
  2. копия внешнеторгового договора (контракта), приложения и (или) дополнения к нему (для разовой лицензии), а в случае отсутствия внешнеторгового договора (контракта) – копия иного документа, подтверждающего намерения сторон;
  3. сведения о постановке заявителя на учет в налоговом органе или о государственной регистрации;
  4. сведения о наличии лицензии на осуществление лицензируемого вида деятельности на территории России;
  5. заключение (разрешительный документ) ЦЛСЗ ФСБ России;
  6. уведомление заявителя об отсутствии в составе ввозимых шифровальных (криптографических) средств радиоэлектронных средств и (или) высокочастотных устройств гражданского назначения (для их ввоза предусмотрена иная процедура).

Выдача лицензии или отказ в ее выдаче осуществляются уполномоченным органом в течение 15 рабочих дней с даты подачи документов.

Заключение (разрешительный документ) выдается при представлении в согласующий орган следующих документов:

а) проект заключения (разрешительного документа), оформленный в соответствии с методическими указаниями по заполнению единой формы заключения (разрешительного документа) на ввоз, вывоз и транзит отдельных товаров, включенных в Единый перечень товаров, к которым применяются запреты или ограничения на ввоз или вывоз государствами – членами Таможенного союза в рамках Евразийского экономического сообщества в торговле с третьими странами, утвержденными Решением Коллегии Евразийской экономической комиссии;

б) техническая документация на шифровальное (криптографическое) средство (представление исходных кодов не является обязательным, отказ заявителя в представлении исходных кодов не является основанием для отказа в выдаче заключения (разрешительного документа)).

Нотификация (разовое уведомление, направляемое производителем или импортером для включения в единый реестр, и являющееся основанием для последующего ввоза и вывоза товаров) допускается в отношении следующих шифровальных средств:

1. Товары, содержащие в своем составе шифровальные (криптографические) средства, имеющие любую из следующих составляющих:

1) симметричный криптографический алгоритм, использующий криптографический ключ длиной, не превышающей 56 бит;

2) асимметричный криптографический алгоритм, основанный на любом из следующих методов:

  • разложение на множители целых чисел, размер которых не превышает 512 бит;
  • вычисление дискретных логарифмов в мультипликативной группе конечного поля, размер которого не превышает 512 бит;
  • дискретный логарифм в группе конечного поля, отличного от поля, указанного в абзаце третьем настоящего подпункта, размер которого не превышает 112 бит.

Примечания:

1. Биты четности не включаются в длину ключа.

2. Термин “криптография” не относится к фиксированным методам сжатия или кодирования данных.

2. Товары, содержащие шифровальные (криптографические) средства, обладающие следующими ограниченными функциями:

1) аутентификация, включающая в себя все аспекты контроля доступа, где нет шифрования файлов или текстов, за исключением шифрования, которое непосредственно связано с защитой паролей, персональных идентификационных номеров или подобных данных для защиты от несанкционированного доступа;

2) электронная цифровая подпись (электронная подпись).

Примечание. Функции аутентификации и электронной цифровой подписи (электронной подписи) включают в себя связанную с ними функцию распределения ключей.

3. Шифровальные (криптографические) средства, являющиеся компонентами программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т. д.) на которые является доступной пользователю.

4. Персональные смарт-карты (интеллектуальные карты):

1) криптографические возможности которых ограничены их использованием в категориях товаров (продукции), указанных в пунктах 5 – 8 настоящего перечня;

2) для широкого общедоступного применения, криптографические возможности которых недоступны пользователю и которые в результате специальной разработки имеют ограниченные возможности защиты хранящейся на них персональной информации.

Примечание. Если персональная смарт-карта (интеллектуальная карта) может осуществлять несколько функций, контрольный статус каждой из функций определяется отдельно.

5. Приемная аппаратура для радиовещания, коммерческого телевидения или аналогичная коммерческая аппаратура для вещания на ограниченную аудиторию без шифрования цифрового сигнала, кроме случаев использования шифрования исключительно для управления видео- или аудиоканалами, отправки счетов или возврата связанной с программой информации провайдерам вещания.

6. Оборудование, криптографические возможности которого недоступны пользователю, специально разработанное и ограниченное для применения любым из следующих способов:

1) программное обеспечение исполнено в защищенном от копирования виде;

2) доступом к любому из следующего:

  • защищенному от копирования содержимому, хранящемуся только на доступном для чтения электронном носителе информации;
  • информации, хранящейся в зашифрованной форме на электронных носителях информации, которые предлагаются на продажу населению в идентичных наборах;

3) контроль копирования аудио- и видеоинформации, защищенной авторскими правами.

7. Шифровальное (криптографическое) оборудование, специально разработанное и ограниченное применением для банковских или финансовых операций.

Примечание. Финансовые операции включают в себя, в том числе, сборы и оплату за транспортные услуги и кредитование.

8. Портативные или мобильные радиоэлектронные средства гражданского назначения (например, для использования в коммерческих гражданских системах сотовой радиосвязи), которые не способны к сквозному шифрованию (от абонента до абонента).

9. Беспроводное радиоэлектронное оборудование, осуществляющее шифрование информации только в радиоканале с максимальной дальностью беспроводного действия без усиления и ретрансляции менее 400 м в соответствии с техническими условиями производителя.

10. Шифровальные (криптографические) средства, используемые для защиты технологических каналов информационно-телекоммуникационных систем и сетей связи.

11. Товары, криптографическая функция которых заблокирована производителем.

12. Иные товары, которые содержат шифровальные (криптографические) средства, отличные от указанных в пунктах 1 – 11 настоящего перечня, и соответствуют следующим критериям:

1) общедоступны для продажи населению в соответствии с законодательством государства – члена Евразийского экономического союза без ограничений из имеющегося в наличии ассортимента в местах розничной продажи посредством любого из следующего:

  • продажи за наличные;
  • продажи путем заказа товаров по почте;
  • электронных сделок;
  • продажи по телефонным заказам;

2) шифровальные (криптографические) функциональные возможности которых не могут быть изменены пользователем простым способом;

3) разработаны для установки пользователем без дальнейшей существенной поддержки поставщиком;

4) техническая документация, подтверждающая, что товары соответствуют требованиям подпунктов 1 – 3 настоящего пункта, размещена изготовителем в свободном доступе и представляется при необходимости изготовителем (лицом, им уполномоченным) согласующему органу по его запросу.

Ввоз и вывоз шифровальных средств

Деятельность в области криптографии на территории России

В соответствии с Федеральным законом “О лицензировании отдельных видов деятельности”, практически все виды деятельности в области криптографии подлежат лицензированию.

Из-под лицензирования выведены:

1. техническое обслуживание шифровальных средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных средств, которое осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя;

2. деятельность с использованием:

а) шифровальных (криптографических) средств, предназначенных для защиты информации, содержащей сведения, составляющие государственную тайну (в данном случае лицензирование осуществляется в рамках законодательства о государственной тайне);

б) шифровальных (криптографических) средств, а также товаров, содержащих шифровальные (криптографические) средства, реализующих либо симметричный криптографический алгоритм, использующий криптографический ключ длиной, не превышающей 56 бит, либо асимметричный криптографический алгоритм, основанный либо на методе разложения на множители целых чисел, размер которых не превышает 512 бит, либо на методе вычисления дискретных логарифмов в мультипликативной группе конечного поля размера, не превышающего 512 бит, либо на методе вычисления дискретных логарифмов в иной группе размера, не превышающего 112 бит;

в) товаров, содержащих шифровальные (криптографические) средства, имеющих либо функцию аутентификации, включающей в себя все аспекты контроля доступа, где нет шифрования файлов или текстов, за исключением шифрования, которое непосредственно связано с защитой паролей, персональных идентификационных номеров или подобных данных для защиты от несанкционированного доступа, либо имеющих электронную подпись;

г) шифровальных (криптографических) средств, являющихся компонентами программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т.д.) на которые является доступной;

д) персональных смарт-карт (интеллектуальных карт), криптографические возможности которых ограничены использованием в оборудовании или системах, указанных в подпунктах “е” – “и” настоящего пункта, или персональных смарт-карт (интеллектуальных карт) для широкого общедоступного применения, криптографические возможности которых недоступны пользователю и которые в результате специальной разработки имеют ограниченные возможности защиты хранящейся на них персональной информации;

е) приемной аппаратуры для радиовещания, коммерческого телевидения или аналогичной коммерческой аппаратуры для вещания на ограниченную аудиторию без шифрования цифрового сигнала, кроме случаев использования шифрования исключительно для управления видео- или аудиоканалами и отправки счетов или возврата информации, связанной с программой, провайдерам вещания;

ж) оборудования, криптографические возможности которого недоступны пользователю, специально разработанного и ограниченного для осуществления следующих функций:

  • исполнение программного обеспечения в защищенном от копирования виде;
  • обеспечение доступа к защищенному от копирования содержимому, хранящемуся только на доступном для чтения носителе информации, либо доступа к информации, хранящейся в зашифрованной форме на носителях, когда эти носители информации предлагаются на продажу населению в идентичных наборах;
  • контроль копирования аудио- и видеоинформации, защищенной авторскими правами;

з) шифровального (криптографического) оборудования, специально разработанного и ограниченного применением для банковских или финансовых операций в составе терминалов единичной продажи (банкоматов), POS-терминалов и терминалов оплаты различного вида услуг, криптографические возможности которых не могут быть изменены пользователями;

и) портативных или мобильных радиоэлектронных средств гражданского назначения (например, для использования в коммерческих гражданских системах сотовой радиосвязи), которые не способны к сквозному шифрованию (то есть от абонента к абоненту);

к) беспроводного оборудования, осуществляющего шифрование информации только в радиоканале с максимальной дальностью беспроводного действия без усиления и ретрансляции менее 400 м в соответствии с техническими условиями производителя (за исключением оборудования, используемого на критически важных объектах);

л) шифровальных (криптографических) средств, используемых для защиты технологических каналов информационно-телекоммуникационных систем и сетей связи, не относящихся к критически важным объектам;

м) товаров, у которых криптографическая функция гарантированно заблокирована производителем.

К шифровальным (криптографическим) средствам (средствам криптографической защиты информации), включая документацию на эти средства, относятся:

а) средства шифрования – аппаратные, программные и программно-аппаратные шифровальные (криптографические) средства, реализующие алгоритмы криптографического преобразования информации для ограничения доступа к ней, в том числе при ее хранении, обработке и передаче;

б) средства имитозащиты – аппаратные, программные и программно-аппаратные шифровальные (криптографические) средства (за исключением средств шифрования), реализующие алгоритмы криптографического преобразования информации для ее защиты от навязывания ложной информации, в том числе защиты от модифицирования, для обеспечения ее достоверности и некорректируемости, а также обеспечения возможности выявления изменений, имитации, фальсификации или модифицирования информации;

в) средства электронной подписи;

г) средства кодирования – средства шифрования, в которых часть криптографических преобразований информации осуществляется с использованием ручных операций или с использованием автоматизированных средств, предназначенных для выполнения таких операций;

д) средства изготовления ключевых документов – аппаратные, программные, программно-аппаратные шифровальные (криптографические) средства, обеспечивающие возможность изготовления ключевых документов для шифровальных (криптографических) средств, не входящие в состав этих шифровальных (криптографических) средств;

е) ключевые документы – электронные документы на любых носителях информации, а также документы на бумажных носителях, содержащие ключевую информацию ограниченного доступа для криптографического преобразования информации с использованием алгоритмов криптографического преобразования информации (криптографический ключ) в шифровальных (криптографических) средствах;

ж) аппаратные шифровальные (криптографические) средства – устройства и их компоненты, в том числе содержащие ключевую информацию, обеспечивающие возможность преобразования информации в соответствии с алгоритмами криптографического преобразования информации без использования программ для электронных вычислительных машин;

з) программные шифровальные (криптографические) средства – программы для электронных вычислительных машин и их части, в том числе содержащие ключевую информацию, обеспечивающие возможность преобразования информации в соответствии с алгоритмами криптографического преобразования информации в программно-аппаратных шифровальных (криптографических) средствах, информационных системах и телекоммуникационных системах, защищенных с использованием шифровальных (криптографических) средств;

и) программно-аппаратные шифровальные (криптографические) средства – устройства и их компоненты (за исключением информационных систем и телекоммуникационных систем), в том числе содержащие ключевую информацию, обеспечивающие возможность преобразования информации в соответствии с алгоритмами криптографического преобразования информации с использованием программ для электронных вычислительных машин, предназначенных для осуществления этих преобразований информации или их части.

Лицензирование деятельности, определенной настоящим Положением, осуществляется ФСБ России (далее – лицензирующий орган).

Основными лицензионными требованиями являются:

а) наличие условий для соблюдения конфиденциальности информации, необходимых для выполнения работ и оказания услуг, составляющих лицензируемую деятельность, в соответствии с требованиями о соблюдении конфиденциальности информации, установленными Федеральным законом “Об информации, информационных технологиях и о защите информации”;

б) наличие у соискателя лицензии (лицензиата) допуска к выполнению работ и оказанию услуг, связанных с использованием сведений, составляющих государственную тайну (если допуск к государственной тайне необходим для планируемых видов работ и услуг, например, при разработке криптосредств);

в) наличие в штате у соискателя лицензии (лицензиата) квалифицированного персонала, требования к опыту работы и образованию которых также варьируются в зависимости от планируемого заявителем вида деятельности. Так, для продажи криптосредств требуются работники, имеющие высшее или среднее профессиональное образование по направлению подготовки “Информационная безопасность” в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок – свыше 100 аудиторных часов). Для разработки криптосредств, напротив, требуются работники, имеющие высшее профессиональное образование по направлению подготовки “Информационная безопасность” в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок – свыше 1000 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 5 лет.

г) представление соискателем лицензии (лицензиатом) в лицензирующий орган перечня шифровальных (криптографических) средств, в том числе иностранного производства, не имеющих сертификата Федеральной службы безопасности Российской Федерации, технической документации, определяющей состав, характеристики и условия эксплуатации этих средств, и (или) образцов шифровальных (криптографических) средств.

Читать далее: Часть 7: Техническая защита информации

Об авторе

Николай Дмитрик

Кандидат юридических наук, руководитель департамента правового регулирования цифровой экономики Национального центра цифровой экономики МГУ им. М.В. Ломоносова. В 2006-2012 гг. сотрудник Правового департамента Министерства связи и массовых коммуникаций РФ. Принимал участие в разработке законодательства в сфере персональных данных, электронной подписи, электронных государственных услуг, доступа к информации. Автор более 40 научных работ в области ИКТ-регулирования.

Написать ответ

Send this to a friend

Перейти к верхней панели