Утвержден
приказом Федерального казначейства
от « ____ » __________ 2005 г. № ___
Регламент
по организации обмена электронными документами
между Федеральным казначейством и главными распорядителями, распорядителями, получателями, администраторами поступлений в бюджет или их территориальными органами, а также органами, организующими исполнение бюджетов всех уровней
-
Термины и определения
Система электронного документооборота Федерального казначейства (далее – СЭДФК) – совокупность программных средств и технического оборудования, обеспечивающая процесс обмена электронными документами между Организатором и Участниками.
Организатор СЭДФК (далее – Организатор) – Федеральное казначейство.
Участник СЭДФК (далее – Участник) – организация, заключившая договор с Федеральным казначейством об обмене электронными документами.
Уполномоченный удостоверяющий центр Федерального казначейства (далее – УУЦ) – основной компонент инфраструктуры открытых ключей Федерального казначейства (далее – ФК), входящий в организационную структуру Управления режима секретности и безопасности информации ФК и осуществляющий выполнение целевых функций удостоверяющего центра на основании приказа ФК от 10 марта 2005 г. № 43 «Об организации электронного документооборота и создании сети ведомственных удостоверяющих центров Федерального казначейства» и в соответствии с Федеральным законом «Об электронной цифровой подписи» от 10 января 2002 г. № 1-ФЗ (Собрание законодательства Российской Федерации, 2002, № 2, ст.127).
Центр регистрации центрального аппарата ФК (далее – ЦР ЦАФК) – подчиненный компонент инфраструктуры открытых ключей ФК, входящий в организационную структуру Отдела обеспечения безопасности информации Управления режима секретности и безопасности информации ФК.
Региональный центр регистрации (далее – РЦР) – подчиненный УУЦ компонент инфраструктуры открытых ключей ФК, входящий в организационную структуру подразделения по обеспечению безопасности информации территориального органа ФК.
Электронный документ (далее – ЭД) – документ, в котором информация представлена в электронно-цифровой форме.
Электронная цифровая подпись (далее – ЭЦП) – реквизит ЭД, предназначенный для защиты данного ЭД от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в ЭД.
Средства электронной цифровой подписи (далее – Средства ЭЦП) – аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций: создание ЭЦП в ЭД с использованием закрытого ключа ЭЦП, подтверждение с использованием открытого ключа подлинности ЭЦП в ЭД, создание закрытых и открытых ключей ЭЦП.
Сертификат ключа подписи (далее – Сертификат) – документ на бумажном носителе или ЭД с ЭЦП Уполномоченного лица УУЦ, включающий в себя открытый ключ ЭЦП и выдаваемый УУЦ участнику электронного обмена информацией для подтверждения подлинности его ЭЦП и идентификации владельца Сертификата.
Автоматизированное рабочее место (далее – АРМ) СЭДФК – программно-технические средства, предназначенные для работы Участника СЭДФК.
Закрытый ключ ЭЦП – уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в ЭД ЭЦП с использованием средств ЭЦП или (и) расшифрования ЭД. Закрытый ключ хранится на носителе ключевой информации.
Открытый ключ ЭЦП – уникальная последовательность символов, соответствующая закрытому ключу ЭЦП, доступная всем участникам электронного обмена и предназначенная для подтверждения, с использованием средств ЭЦП, подлинности ЭЦП Пользователя в ЭД и шифрования ЭД. Принадлежность открытого ключа ЭЦП участнику электронного обмена подтверждается Сертификатом.
Компрометация закрытого ключа ЭЦП Участника СЭДФК – событие, определенное владельцем закрытого ключа как ознакомление неуполномоченным лицом (лицами) с его закрытым ключом, утеря носителя ключевой информации или другие причины появления у владельца Сертификата сомнений в сохранении тайны закрытого ключа.
Средства криптографической защиты информации (далее – СКЗИ) – совокупность программно-технических средств, обеспечивающих применение ЭЦП при осуществлении электронного документооборота.
Администратор СЭДФК – сотрудник ФК (территориального органа ФК), осуществляющий администрирование СЭДФК.
Уполномоченное лицо УУЦ – сотрудник центрального аппарата или территориального органа ФК, наделенный правом заверения Сертификатов, изданных УУЦ.
Уполномоченное лицо Участника – сотрудник Участника, которому Участником дано право ЭЦП.
Администратор безопасности информации Организатора (далее – Администратор БИ) – Уполномоченное лицо УУЦ, организующее, обеспечивающее и контролирующее выполнение требований безопасности информации при осуществлении обмена ЭД с Участником.
Оператор центра регистрации (далее – Оператор ЦР) – Уполномоченное лицо УУЦ, обеспечивающее управление Сертификатами, выданными УУЦ.
Администратор Участника – сотрудник, назначенный Участником для организации обмена ЭД с использованием АРМ СЭДФК и взаимодействия с Организатором по вопросам обмена ЭД.
Пользователь СЭДФК (далее – Пользователь) – Уполномоченное лицо или администратор Участника.
Запрос на издание Сертификата (далее – Запрос) – ЭД, содержащий открытый ключ ЭЦП, сведения о владельце Сертификата, в том числе и сведения об отношениях, при которых ЭЦП признается равнозначной собственноручной подписи.
Заявка на получение сертификата ключа подписи (далее – Заявка) – документ на бумажном носителе, содержащий распечатку значения открытого ключа Пользователя в шестнадцатеричной системе исчисления, наименование учреждения и иные идентифицирующие Пользователя реквизиты, подписанный собственноручными подписями Пользователя и руководителя Участника и заверенный оттиском печати Участника СЭДФК.
-
Общие положения
Электронный документооборот между Участником и Организатором осуществляется на основании договора об обмене электронными документами (далее – Договор), и настоящего документа (далее – Регламент).
Настоящий Регламент определяет порядок взаимодействия Участника и Организатора, связанный с обеспечением обмена ЭД в СЭДФК, изданием и отзывом сертификатов пользователей.
Организация работы с сертификатами при взаимодействии Участника и Организатора с использованием аппаратно-программного комплекса шифрования (далее – АПКШ) «Континент» осуществляется в соответствии с порядком, установленным для управления сертификатами, при котором доверенным центром сертификации является программа управления сервером доступа АПКШ «Континент» (Аппаратно-программный комплекс шифрования «Континент». Сервер доступа. Руководство по администрированию.).
Шифрование трафика без использования АПКШ «Континент» осуществляется с использованием ключей ЭЦП Администратора(ов) Участника и Администратора СЭДФК.
Учет, хранение дистрибутивов и ведение соответствующих формуляров на переданные Участникам СКЗИ осуществляет Администратор БИ.
Участник СЭДФК закрепляет СКЗИ за должностным лицом Участника (пункт 10 «Сведения о закреплении изделия при эксплуатации» Формуляра ЖТЯИ.00005.-01 30 01).
-
Подготовительные мероприятия
Все организационно-технические мероприятия, связанные с подключением Участника к СЭДФК, проводятся после подписания Договора, копию которого Администратор СЭДФК передает в УУЦ (РЦР территориального органа ФК).
-
До начала обмена ЭД Организатор осуществляет следующие мероприятия:
Администратор СЭДФК проводит обучение Пользователей, о чем делается запись в Журнале обучения пользователей АРМ СЭДФК (Приложение № 4 к Регламенту) и передает Участнику программное обеспечение (кроме общесистемного программного обеспечения и MS Office) и копию программного обеспечения АРМ СЭДФК.
Администратор БИ передает Участнику по акту1 во временное пользование необходимые для организации обмена ЭД средства защиты информации, включая СКЗИ, формуляр СКЗИ и соответствующую эксплуатационную документацию.
-
Участник осуществляет следующие мероприятия:
Назначает Уполномоченных лиц и администратора(ов) Участника и представляют в РЦР (ЦР ЦАФК) копию соответствующего приказа или иного документа, подтверждающего права ЭЦП уполномоченных лиц и администратора(ов) Участника.
Обеспечивает проведение следующих работ:
в случае обмена конфиденциальной информацией выполнить требования согласно Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом Федерального агентства правительственной связи и информации при Президенте Российской Федерации от 13 июня 2001 г. № 152 (зарегистрировано в Минюсте России 6 апреля 2001 г., № 2848) (далее – Инструкция №152), а также выполнить требования согласно технической и эксплутационной документации на передаваемые в пользование программные средства;
установку Администратором Участника АРМ СЭДФК и, в случае необходимости, абонентского пункта АПКШ «Континент», а также проведение необходимых настроек в соответствии с технической и эксплуатационной документацией на передаваемые в пользование программные средства;
формирование закрытых ключей ЭЦП Уполномоченных лиц Участника;
формирование файлов запросов (в формате PKCS#10) и заявок на получение сертификатов (Приложение № 2 к Регламенту);
получение ключей шифрования у Организатора в установленном порядке (в случае использования абонентского пункта АПКШ «Континент»);
генерацию открытых и закрытых ключей шифрования Администратора(ов) Участника (в случае шифрования средствами АРМ СЭДФК).
-
-
Утверждает заявки, подписанные пользователями, своей подписью, скрепленной печатью Участника.
Готовность Участника к обмену ЭД подтверждается соответствующим односторонним актом Участника (Приложение № 1 к Регламенту), один экземпляр которого передается в РЦР (ЦР ЦАФК).
-
Порядок регистрации, издания и выдачи сертификатов
пользователям
Регистрация пользователей в УУЦ ФК осуществляется в РЦР (ЦР ЦАФК) Оператором ЦР.
Для регистрации и получения сертификатов Пользователю необходимо представить в РЦР (ЦР ЦАФК) следующие документы:
копию Приказа Участника о назначении пользователей или иной документ, подтверждающий право ЭЦП Пользователя;
Запрос на съемном носителе информации (дискета или др.);
Заявку (Приложение № 2 к Регламенту);
документ, удостоверяющий личность Пользователя или его доверенного лица;
доверенность соискателя Сертификата (в случае регистрации Пользователя по доверенности).
Пользователь возвращает Администратору БИ дистрибутив и формуляр СКЗИ (КриптоПро CSP Версия 2.0) с подписью лица, ответственного за его эксплуатацию (см. п.10 «Сведения о закреплении изделия при эксплуатации» Формуляра ЖТЯИ.00005.-01 30 01).
После идентификации личности Пользователя (или его доверенного лица), проверки и подтверждения подлинности предоставленных документов, Оператору ЦР необходимо убедиться (путем просмотра данных Запроса на экране монитора или распечатки Запроса), что данные в представленном Пользователем Запросе соответствуют данным, указанным в Заявке.
Если данные распечатанного Запроса не соответствуют данным Заявки, регистрация Пользователя не производится.
Если данные, указанные в Заявке, соответствуют данным Запроса, Оператор ЦР должен зарегистрировать Пользователя в Журнале регистрации сертификатов открытых ключей ЭЦП пользователей СЭДФК (далее – Журнал регистрации) в соответствии с Приложением № 3 к Регламенту.
Оператор ЦР обеспечивает издание сертификатов одним из двух возможных способов:
в ЦР ЦАФК или в РЦР по месту регистрации Пользователя, если Оператор ЦР данного РЦР обладает правом утверждения запросов на издание сертификатов;
через вышестоящий РЦР, если Оператор ЦР данного РЦР не обладает правом утверждения запросов на издание сертификатов.
Если Оператор ЦР обладает правом утверждения запросов на издание сертификатов, он должен, используя программное обеспечение (далее - ПО) «WebRAO Client» из состава программного комплекса «Юнисерт-ГОСТ» (далее – «WebRАО Client»), загрузить файл Запроса в систему, утвердить его и отметить на Заявке номер соответствующей транзакции.
Если Оператор ЦР не обладает правом утверждения запросов на издание сертификатов, он должен выполнить следующие действия:
используя ПО «WebHandler» из состава программного комплекса «Юнисерт-ГОСТ» (далее – «WebHandler»), загрузить Запрос в систему и отметить на Заявке номер соответствующей транзакции;
завизировать Заявку, проставить на ней текущую дату, заверить свою подпись печатью УУЦ и выслать ее копию (по факсу или иным способом) в вышестоящий РЦР, Оператор ЦР которого обладает правом утверждения запросов на издание сертификатов.
При получении копии Заявки Оператор ЦР вышестоящего РЦР, наделенный правом утверждения Запроса на издание Сертификата, должен, используя ПО «WebRAO Client», найти в списке запросов на сертификат Запрос с номером транзакции, соответствующим номеру, проставленному на полученной копии Заявки, и утвердить или мотивированно его отклонить, сообщив Оператору ЦР, приславшему Заявку, причину отказа от утверждения Запроса на издание Сертификата.
После издания Сертификата Оператор ЦР, сформировавший соответствующий Запрос, должен выполнить следующие действия:
используя ПО из состава программного комплекса «Юнисерт-ГОСТ» по номеру транзакции (или другим реквизитам Заявки), отобрать из списка изданных УУЦ сертификатов требуемый Сертификат;
записать электронную копию полученного файла Сертификата (и, если необходимо, файла Сертификата УУЦ) на съемный носитель информации, предоставляемый Пользователем;
распечатать две бумажных копии Сертификата, поставить на них свою подпись и печать УУЦ;
получить на бумажных копиях Сертификата подпись Пользователя (или его доверенного лица);
сделать в Журнале регистрации запись о выдаче Сертификата Пользователю с обязательным указанием серийного номера Сертификата, номера транзакции, даты выдачи и номера телефона Пользователя;
выдать Пользователю (или его доверенному лицу) бумажную копию Сертификата и съемный носитель информации с записанным на нем файлом Сертификата для последующей установки на АРМ СЭДФК;
передать Сертификат в электронном виде Администратору СЭДФК, для регистрации в СЭДФК.
Пользователь передает съемный носитель информации с записанным на него файлом Сертификата Администратору Участника, который должен выполнить следующие действия:
установить файл Сертификата на АРМ СЭД и выполнить необходимые настройки в соответствии с полученной эксплуатационной документацией на АРМ СЭДФК;
уведомить Администратора СЭДФК о готовности к тестовому обмену;
осуществить тестовый обмен ЭД с Организатором.
-
Порядок отзыва сертификатов
-
Отзыв Сертификата при компрометации закрытого ключа.
При компрометации или подозрении на компрометацию своего закрытого ключа Пользователь должен незамедлительно обратиться в РЦР (ЦР ЦАФК), выдавший сертификат, с просьбой об отзыве Сертификата, сообщить причину отзыва и серийный номер Сертификата.
Оператор ЦР делает звонок Пользователю по телефону, записанному в Журнале регистрации, и, в случае подтверждения просьбы об отзыве, обеспечивает отзыв Сертификата одним из двух возможных способов:
в ЦР ЦАФК или РЦР по месту регистрации Пользователя, если Оператор ЦР данного РЦР обладает правом утверждения запросов на отзыв сертификатов;
через вышестоящий РЦР, если Оператор ЦР данного РЦР не обладает правом утверждения запросов на отзыв сертификатов.
-
Оператор ЦР сообщает Администратору СЭДФК об отзыве Сертификата, его серийный номер.
Если Оператор ЦР обладает правом утверждения отзыва сертификатов, он должен, используя ПО «WebRAO Client», сформировать запрос на отзыв Сертификата с указанием причины отзыва – “Ключ скомпрометирован” и утвердить его.
Если Оператор ЦР не обладает правом утверждения отзыва сертификатов, он должен, используя ПО «WebHandler», сформировать запрос на отзыв Сертификата с указанием причины отзыва – «Ключ скомпрометирован» и сообщить Администратору вышестоящего РЦР, имеющего право утверждения запросов на отзыв сертификатов, о необходимости отзыва Сертификата, его серийный номер и номер транзакции.
При получении сообщения об отзыве Сертификата Оператор ЦР вышестоящего РЦР, наделенный правом утверждения запросов на отзыв сертификатов, должен, используя ПО «WebRAO Client», найти в списке запросов на отзыв сертификатов нужный запрос, утвердить его и сообщить Оператору ЦР, сформировавшему соответствующий запрос на отзыв Сертификата, фактическое время его отзыва.
После отзыва Сертификата Оператор ЦР, получивший сообщение Пользователя об отзыве Сертификата, должен зарегистрировать в Журнале регистрации фактическое время и причину его отзыва и проинформировать Пользователя, обратившегося с просьбой об отзыве Сертификата, о фактическом времени отзыва.
В день обращения в РЦР (ЦР ЦАФК) с просьбой об отзыве Сертификата Участник должен выслать в адрес РЦР (ЦР ЦАФК), принявшего запрос на отзыв Сертификата, письменное подтверждение с указанием даты отзыва, причины отзыва и серийного номера Сертификата, заверенное подписью и печатью Участника. В случае, если письменный запрос не будет представлен, Оператор ЦР вправе впоследствии отказать в выдаче нового Сертификата данному Пользователю.
Для получения нового Сертификата проводятся действия в соответствии с разделом 4 Регламента.
-
Отзыв Сертификата при прекращении полномочий Пользователя.
При прекращении полномочий Пользователя отзыв его Сертификата осуществляется по письменному запросу с указанием даты отзыва, причины отзыва, серийного номера Сертификата, заверенному руководителем (или полномочным должностным лицом) Участника одним из двух возможных способов:
в ЦР ЦАФК или РЦР по месту регистрации Уполномоченного лица Участника, если Оператор ЦР данного РЦР обладает правом утверждения запросов на отзыв Сертификатов;
через вышестоящий РЦР, если Оператор ЦР данного РЦР не обладает правом утверждения запросов на отзыв Сертификатов.
Оператор ЦР информирует Администратора СЭДФК об отзыве сертификата и сообщает его серийный номер для отзыва Сертификата в СЭДФК.
Если Оператор ЦР обладает правом утверждения запросов на отзыв Сертификатов, он должен, используя ПО «WebRAO Client», сформировать запрос на отзыв сертификата с указанием причины отзыва – «Привилегии отменены» и утвердить его.
Если Оператор ЦР не обладает правом утверждения отзыва Сертификатов, он должен выполнить следующие действия:
используя ПО «WebHandler», сформировать запрос на отзыв Сертификата с указанием причины отзыва – «Привилегии отменены»;
завизировать письменный запрос об отзыве Сертификата Пользователя, проставить на нем номер транзакции, текущую дату, заверить свою подпись печатью РЦР и выслать его копию (по факсу или иным способом) в вышестоящий РЦР, Оператор ЦР которого обладает правом утверждения запросов на отзыв Сертификатов;
при получении копии письменного запроса об отзыве Сертификата Оператор ЦР вышестоящего РЦР, наделенный правом утверждения запросов на отзыв сертификатов, должен, используя ПО «WebRAO Client», найти в списке запросов на отзыв сертификатов нужный запрос по указанному номеру транзакции, утвердить его и сообщить Оператору ЦР, сформировавшему соответствующий запрос на отзыв Сертификата, фактическое время отзыва соответствующего Сертификата.
-
После отзыва Сертификата Оператор ЦР, получивший письменный запрос об отзыве Сертификата Пользователя, должен зарегистрировать в Журнале регистрации время и причину отзыва Сертификата и проинформировать Пользователя о фактическом времени отзыва Сертификата.
Порядок плановой смены ключей ЭЦП.
При плановой смене ключей необходимо произвести следующие действия:
Не позднее 10 (десяти) рабочих дней до срока окончания действия Сертификата Оператор ЦР Организатора должен уведомить Пользователя о предстоящей плановой смене ключей ЭЦП и дате окончания действия его Сертификата.
Пользователь не позднее 5 (пяти) рабочих дней до срока окончания действия Сертификата должен предоставить в РЦР (ЦР ЦАФК) оформленные соответствующим образом Заявку (Приложение № 2 к Регламенту) и Запрос на съемном носителе информации или Запрос, подписанный ЭЦП владельца Сертификата и руководителя Участника.
В случае, если в РЦР (ЦР ЦАФК) представляется Заявка и Запрос, процесс выдачи Сертификата осуществляется в соответствии с пунктами 4.6 – 4.8 Регламента.
В случае, если в РЦР (ЦР ЦАФК) представляется Запрос, подписанный ЭЦП Пользователя и руководителя Участника, Оператор ЦР формирует и распечатывает Заявку, визирует её, делая запись о том, что документ подписан действительными ЭЦП Участника, ставит печать УУЦ и осуществляет дальнейшие действия в соответствии с пунктами 4.6 – 4.7 Регламента.
После издания Сертификата Оператор ЦР должен выполнить следующие действия:
используя ПО из состава программного комплекса «Юнисерт-ГОСТ» по номеру транзакции (или другим реквизитам запроса) отобрать из списка изданных УУЦ Сертификатов требуемый сертификат;
передать Сертификат в электронном виде Администратору СЭДФК для регистрации в СЭДФК;
сделать запись в Журнале регистрации о выдаче Сертификата Пользователю с обязательным указанием серийного номера Сертификата и даты выдачи.
По окончании срока действия Сертификата Оператор ЦР Организатора должен зарегистрировать в Журнале регистрации причину отзыва сертификата – «Окончание срока действия».
Приложение № 1
|
к Регламенту
|
УТВЕРЖДАЮ
|
Директор (Руководитель)
|
|
(Наименование организации)
|
|
(Фамилия И.О.)
|
«______» ____________________ 2005 г.
|
|
