Пункт 5.5 приложения 3 к ПТКЗИ: защита личных ключей ЭЦП

Смысл требования

Пункт 5.5 приложения 3 к ПТКЗИ – практический разбор требования «защита личных ключей». Пункт 5.5 относится к защите личных ключей, которые используются при выработке электронной цифровой подписи. Его смысл состоит в том, что владелец информационной системы должен обеспечить такой порядок обращения с личными ключами, при котором ключ не становится доступным посторонним лицам, не копируется бесконтрольно, не используется несколькими пользователями и не изменяется либо не подменяется без обнаружения.

Практически это требование защищает основу доверия к электронной цифровой подписи. Если личный ключ подписанта доступен другому лицу, хранится в открытом файле, передаётся по почте, лежит на общем сетевом ресурсе, используется без PIN-кода или находится на рабочей станции без контроля, сама ЭЦП теряет доказательную ценность. В такой ситуации невозможно уверенно утверждать, что документ подписал именно тот субъект, которому принадлежит ключ, а не лицо, получившее доступ к ключевому материалу.

Формулировка требования

Приложение 3 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утверждённому приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 20 февраля 2020 г. № 66, в редакции приказа от 10 декабря 2024 г. № 259, с учётом изменений, внесённых приказом от 27 мая 2026 г. № 98 (далее – Приложение 3 к ПТКЗИ), раздел «Обеспечение криптографической защиты информации», пункт 5.5: «обеспечение конфиденциальности и контроля целостности личных ключей, используемых при выработке электронной цифровой подписи (криптографический токен и (или) средства выработки электронной цифровой подписи)».

Обязательность применения

По таблице приложения 3 требование пункта 5.5 является обязательным для всех классов типовых ИС: 4-ин, 4-спец, 4-бг, 4-юл, 4-дсп, 3-ин, 3-спец, 3-бг, 3-юл, 3-дсп. Рекомендательного режима применения для этого требования не предусмотрено.

При этом требование должно применяться осмысленно. Если в конкретной ИС электронная цифровая подпись не используется и отсутствуют личные ключи, применяемые для её выработки, это должно быть отражено в проектной логике, техническом задании и анализе применимости требований. Положение допускает не включать отдельные обязательные требования в техническое задание при отсутствии соответствующего актива или технологии либо при согласовании с ОАЦ обоснованных компенсирующих мер. Но если ЭЦП используется, защита личных ключей становится обязательной частью эксплуатации СЗИ.

Практическая трактовка требования

Личный ключ ЭЦП – криптографический ключ, используемый для выработки подписи. Его нельзя смешивать с PIN-кодом токена, паролем пользователя или сертификатом открытого ключа. PIN и пароль ограничивают доступ к средству, сертификат используется при проверке подписи, а личный ключ должен оставаться конфиденциальным и использоваться только уполномоченным владельцем.

Защита должна охватывать не только носитель, но и весь путь использования ключа: генерацию, выдачу или привязку к владельцу, хранение, аутентификацию перед использованием, работу на подписывающем устройстве, журналирование, прекращение использования и уничтожение. Наличие токена само по себе недостаточно, если токен передаётся между сотрудниками, PIN известен нескольким лицам либо подпись может формироваться без контроля владельца.

Контроль целостности касается ключевого контейнера, токена и среды, в которой выполняется операция подписи. При этом не следует без необходимости создавать экспортируемые копии личного ключа. Если резервирование допускается применяемой технологией, оно должно быть прямо предусмотрено эксплуатационной документацией, ТЗ и установленным порядком обращения с ключевой информацией.

Что именно должно быть защищено

Ошибка в реализации пункта 5.5 часто состоит в том, что защищают только физический токен, но не весь жизненный цикл личного ключа. На практике требуется контролировать не только носитель, но и выпуск, получение, хранение, использование, резервирование, блокировку, отзыв, уничтожение и действия при компрометации.

• Личный ключ подписанта. Основной криптографический материал, с помощью которого вырабатывается ЭЦП.
• Криптографический токен. Носитель или устройство, в котором хранится ключ и через которое выполняется операция подписи.
• PIN-код, пароль или иной секрет доступа к токену. Должен защищаться не слабее самого носителя, поскольку даёт возможность использовать ключ.
• Ключевой контейнер. Файл, область памяти или иной объект хранения ключа, если применяется программная или программно-аппаратная модель.
• Резервные копии ключевого материала. Если резервирование допускается, оно должно быть отдельно регламентировано и защищено.
• Рабочее место подписанта. Должно исключать несанкционированное использование токена, перехват PIN-кода, подмену средства подписи или выполнение подписи без ведома владельца ключа.
• Средства выработки ЭЦП. Программные, аппаратные или аппаратно-программные средства, через которые выполняется операция подписания.
• Журналы операций с ЭЦП. Должны позволять выявлять подозрительные операции, ошибки, отказы, попытки использования и административные действия.

Практический критерий простой: если объект позволяет использовать личный ключ, восстановить его, скопировать, заменить, разблокировать или повлиять на операцию подписи, он должен быть включён в режим защиты по пункту 5.5.

Что следует подтвердить при проверке

При проверке пункта 5.5 оценивается не только наличие токена у пользователя. Проверяющий смотрит, как владелец ИС организовал полный режим обращения с личными ключами: кто их получает, где они хранятся, кто имеет право использовать, как защищается PIN-код, как фиксируются операции, что происходит при увольнении, утрате токена, компрометации ключа или окончании срока действия сертификата.

• определён ли перечень пользователей и должностных лиц, которым выдаются личные ключи для выработки ЭЦП;
• закреплён ли порядок обращения с личными ключами в ЛПА, регламенте применения ЭЦП, инструкции пользователя, инструкции администратора или ином ОРД;
• используются ли криптографические токены и (или) средства выработки ЭЦП, соответствующие принятой модели защиты;
• исключено ли хранение личных ключей в открытом виде на рабочих станциях, сетевых ресурсах, в почте, мессенджерах или общих файловых папках;
• определён ли порядок хранения, использования, выдачи, возврата, блокировки и уничтожения токенов и ключевых контейнеров;
• защищены ли PIN-коды, пароли и иные секреты доступа к ключам;
• есть ли порядок действий при утрате токена, раскрытии PIN-кода, подозрении на копирование ключа или иной компрометации;
• ведутся ли журналы операций подписания, ошибок, попыток использования, административных действий и событий, связанных с ключами;
• проверяется ли, что личные ключи используются только владельцами и только в пределах установленной области применения;
• можно ли показать подтверждающие документы: акты выдачи, журналы учёта, настройки средств ЭЦП, инструкции, сведения о сертификатах, акты блокировки или уничтожения.

Слабая реализация – когда токены есть, но их PIN-коды известны администраторам, токены хранятся в общем сейфе без индивидуального учёта, пользователи передают их друг другу, а порядок действий при утрате или компрометации не описан. В такой модели формальное наличие средства ЭЦП не обеспечивает надлежащую защиту личного ключа.

Компрометация ключа и немедленное прекращение использования

Пункт 20 Положения устанавливает прямое требование: при компрометации криптографических ключей средств криптографической защиты информации их использование для обработки информации должно быть незамедлительно прекращено. Для личного ключа ЭЦП практическими признаками компрометации могут быть утрата токена, раскрытие PIN-кода, несанкционированное копирование контейнера, использование подписи без ведома владельца или иное событие, при котором исключить доступ постороннего лица невозможно.

Реакция должна быть заранее определена: блокирование доступа к средству, прекращение подписания, уведомление ответственных лиц, обращение по установленной процедуре для прекращения действия или отзыва сертификата, анализ уже сформированных подписей и выпуск нового ключевого материала. Нельзя ограничиваться сменой PIN-кода, если существует вероятность копирования или использования самого личного ключа.

Варианты реализации

Организационный вариант.

Владелец ИС утверждает порядок обращения с личными ключами ЭЦП: кто имеет право получать ключи, как они выдаются, где хранятся, как используется токен, как защищается PIN-код, что запрещено пользователю и как действовать при утрате или компрометации. Такой вариант необходим как процессная основа, но сам по себе не закрывает требование без технического механизма защиты ключевого материала.

Использование криптографического токена.

Наиболее понятный и практически устойчивый вариант. Личный ключ хранится на криптографическом токене, операция подписи выполняется с использованием токена, доступ к нему защищён PIN-кодом или иным секретом. Важно, чтобы токен был индивидуальным, не передавался другим лицам, учитывался при выдаче и возврате, а порядок его блокировки, замены и уничтожения был документально установлен.

Средства выработки электронной цифровой подписи.

Если подпись вырабатывается специализированным программным, аппаратным или аппаратно-программным средством, необходимо обеспечить защиту ключевого контейнера, контроль доступа к средству подписи, журналирование операций и невозможность использования ключа неуполномоченным лицом. Такой вариант требует особенно аккуратной настройки доступа, поскольку программная модель хранения ключей обычно более чувствительна к ошибкам эксплуатации.

Комбинированный вариант.

Для зрелой ИС целесообразно сочетать организационный порядок, индивидуальные криптографические токены, средства выработки ЭЦП, журналирование операций, контроль рабочих мест подписантов и процедуру немедленного реагирования на компрометацию. Такой подход лучше всего соответствует смыслу требования, потому что защищает не только ключ как объект, но и весь процесс его применения.

Что целесообразно закрепить в ТЗ, ЛПА и ОРД

Для пункта 5.5 документы должны описывать не только применение ЭЦП, но и обращение с личными ключами. В Положении прямо указано, что в ЛПА и других ОРД по вопросам применения СЗИ должны регламентироваться особенности выработки и проверки ЭЦП, а также обращения с личными ключами ЭЦП. Поэтому этот раздел должен быть конкретным, а не декларативным.

• перечень ролей и должностных лиц, которым допускается выдача личных ключей ЭЦП;
• порядок получения, выдачи, учёта, хранения, использования, возврата, блокировки и уничтожения ключевых носителей;
• порядок защиты PIN-кодов, паролей и иных секретов доступа к токенам и ключевым контейнерам;
• запрет передачи токена, ключевого контейнера, PIN-кода или иного средства доступа другим лицам;
• порядок применения личного ключа только владельцем и только в установленной области применения;
• порядок резервного копирования ключевого материала, если оно допустимо и необходимо;
• порядок хранения резервных копий ключей и ограничения доступа к ним;
• порядок действий при утрате токена, раскрытии PIN-кода, подозрении на копирование ключа или иной компрометации;
• порядок прекращения использования ключа и средства ЭЦП при компрометации;
• порядок журналирования операций выработки ЭЦП и административных действий со средствами ЭЦП;
• ответственных лиц за сопровождение средств ЭЦП, учёт носителей, контроль использования и реагирование на инциденты.

В техническом задании следует указать не только факт применения средств ЭЦП, но и требования к защите личных ключей: тип носителя, требования к токену или средству выработки подписи, порядок аутентификации владельца ключа, ограничения экспорта ключа, журналирование и действия при компрометации.

Возможность технической реализации и инструменты

Основным способом реализации является применение криптографического токена и (или) средства выработки ЭЦП, указанного в ТЗ и допустимого для конкретной системы. При выборе оцениваются не только удобство и совместимость, но и защита ключа от извлечения, разграничение доступа, аутентификация владельца, журналирование и порядок прекращения использования.

• Неэкспортируемый ключевой материал. Предпочтительна модель, при которой личный ключ создаётся и используется внутри защищённой криптографической границы средства.
• Индивидуальное владение. Токен, PIN-код и право подписания не передаются другим работникам, включая администраторов.
• Защищённое рабочее место. Среда подписания должна исключать несанкционированный доступ к ключевому контейнеру и подмену подписываемых данных.
• Учёт и журналирование. Фиксируются выдача носителя, операции использования, блокирование, возврат и уничтожение.
• Проверка статуса средства. Для применяемого токена и средства ЭЦП проверяются назначение, документация, ограничения и статус в официальных реестрах, если подтверждение соответствия обязательно.

Программное хранение личного ключа может быть допустимо только при документированном и обоснованном решении, обеспечивающем требуемую конфиденциальность и целостность. Оно не должно рассматриваться как равнозначная замена защищённому носителю по умолчанию.

Типичные ошибки при реализации

• личные ключи хранятся в файлах на рабочих станциях без достаточного ограничения доступа;
• ключевой контейнер копируется между компьютерами без учёта и контроля;
• токен используется несколькими сотрудниками или передаётся на время отсутствия владельца;
• PIN-код хранится вместе с токеном или известен администратору, секретарю, замещающему сотруднику либо иному лицу;
• при увольнении или смене роли пользователя ключ и сертификат своевременно не блокируются;
• нет акта выдачи, возврата, блокировки или уничтожения носителя ключевой информации;
• не описан порядок действий при утрате токена или подозрении на компрометацию;
• резервные копии ключей создаются, но не защищаются и не учитываются;
• операции выработки ЭЦП не журналируются или журналы не анализируются;
• средства ЭЦП внедрены технически, но порядок обращения с личными ключами не отражён в ЛПА и инструкциях пользователей;
• ключ используется вне установленной области применения, например для подписания документов, которые не предусмотрены регламентом.

Вывод

Пункт 5.5 защищает доверие к ЭЦП через конфиденциальность и целостность личного ключа. Токен, PIN-код и сертификат являются элементами решения, но не заменяют установленного порядка обращения с ключом.

Требование считается реализованным, когда личный ключ связан с конкретным владельцем, не передаётся другим лицам, используется в контролируемой среде, а при признаках компрометации его применение немедленно прекращается и запускается процедура отзыва или прекращения действия сертификата.

Связанные материалы

• Подлинность и целостность электронных документов
• Издание сертификатов открытых ключей ЭЦП
• Идентификация и аутентификация пользователей

Нормативная основа

• Приказ ОАЦ № 66 в редакции приказа № 259 от 10.12.2024 с учётом изменений, внесённых приказом № 98 от 27.05.2026 с учётом изменений, внесённых приказом № 98 от 27.05.2026 с учётом изменений, внесённых приказом № 98 от 27.05.2026 – приложение 3, пункт 5.5; пункт 13 о регламентации обращения с личными ключами ЭЦП; пункт 20 о прекращении использования средств при компрометации криптографических ключей. Официальный текст
• Закон Республики Беларусь от 28.12.2009 № 113-З «Об электронном документе и электронной цифровой подписи» – правовые основы применения ЭЦП, личных и открытых ключей. Официальный текст
• Реестр средств защиты информации ОАЦ – проверка статуса конкретного криптографического токена или средства ЭЦП. Официальный реестр