ГОСТ Р ИСО ТО 13569— 2007
Для поддержки криптографических защитных мер могут потребоваться одно или несколько средств,
генерирующих, распределяющих и несущихответственность за криптографический материал. По возмож
ности. должны использоваться международные стандарты по распределению ключей в банковскомделе.
Средства, обеспечивающие управление криптографическим материалом, должны быть физически
защищены на высшем уровне, и на таком же уровне должно быть управление доступом к ним. В целях
безопасности информационной системы распределение ключейдолжно осуществляться по принципу раз
деленного знания.
При использовании надежных криптографических практических приемов и при эффективном планиро
вании восстановления бизнеса после его прерывания могут возникнуть цели, противоречащие другдругу.
Необходимы тесные консультации лиц, отвечающих за восстановление после бедствия, и лиц. ответствен
ных за криптографическую поддержку, с тем. чтобы одна цель не противоречила другой.
Криптографический материал должен быть предоставлен клиентам так. чтобы минимизировать воз
можность компрометации. Клиентдолжен быть осведомлен о важности мер защиты криптографического
материала. Взаимодействие скриптографической системой провайдера услуг, корреспондента или клиента
должнодопускаться только в соответствии сдокументированным гарантийным письмом.
Качество безопасности, создаваемой криптографической продукцией, зависит от постоянной целост
ности этой продукции. Как аппаратная, так и программная криптографическая продукция требует защиты
целостности, сопоставимой с уровнем безопасности, который она предназначена обеспечивать. Использо
вание сертифицированных интегральных схем, надежных корпусов и обнуления ключей упрощает защиту
аппаратных систем в отличии от программных средств. При защите наиболее важной информации целесо
образно использовать криптографическое программное обеспечение продукции. Для повышения целостно
сти системы следует максимально использовать такие свойства, каксамотестирование.
Использование, импорт и экспорт криптографической продукции регламентируются национальными
нормативными правовыми актами государств. Национальные нормативные правовые акты в отношении
использования, производства, продажи, экспорта и импорта криптографических устройств очень различа
ются. Рекомендуется консультация с юристом или местной властью.
12.7 Распределонио криптографических ключей
Как и влюбой технологии, существуют относительно простые, а также другие элементы, выполнение
которых требует существенных усилий реализации и поддержки. Одной из таких технологий, применение
которой требуеттщательного планирования, обучения и точной реализации, является распределение крип
тографических ключей. Распределение криптографических ключей см. в стандартах серии И С 011568.
Распределение криптографических ключей представляет собой часть криптографии, которая обеспе
чивает методы безопасной генерации, обмена, использования, хранения и прерывания действия крипто
графических ключей, используемых криптографическим механизмом. Внедрение криптографических мето
дов, таких как шифрование и аутентификация, в компьютерные системы и сеть может способствоватьдос
тижению многих целей безопасности. Однако эти методы бесполезны без надежного распределения крип
тографических ключей.
Основные функции распределения криптографических ключей состоят в предоставлении криптогра
фических ключей, необходимыхдля криптографических методов, и защите данных ключей от любого вида
компрометации. Конкретные процедуры и требования безопасности для распределения данных ключей
зависят от вида системы криптографии, на которой основаны криптографические методы, их характера,
характеристик и требований безопасности защищаемой компьютерной системы или сети.
Наиболее важным для изучения является вопрос©достаточной гибкости распределения криптогра
фических ключей для эффективного использования в компьютерной системе или сети, и его соответствие
требованиям безопасности системы. Услуги по распределению криптографических ключей должны быть
доступны в любое время и там. где они потребуются, включая резервные помещения. Распределение
данных ключей должно быть частью плана организации по восстановлению компьютерной системы или
сети.
12.8 Неприкосновенность частной жизни
Финансовые учреждения обладают некоторой особо важной информацией оботдельныхлицах и орга
низациях. Национальные нормативные правовые акты требуют, чтобы эта информация обрабатывалась и
хранилась в соответствии с определенными правилами обеспечения безопасности и неприкосновенности
частной жизни. Некоторые технические и бизнес-разработки, например сети, графическое представление
документов, целевой маркетинг и совместное использование информации между отделами, вызвали повы
шенный интерес к проблемам обеспечения неприкосновенности внутренней жизнедеятельности банков.
зз