Spacebit X-Control (АОКЗ)
Система автоматизации органов криптографической защиты

Основные статьи:

• Криптография
• Product Lifecycle Management

2024: Учет ключевых носителей и машиночитаемых доверенностей

Компания Spacebit выпустила обновленную версию своего продукта для управления жизненным циклом средств криптографической защиты информации X-Сontrol. В системе реализован учет ключевых носителей и машиночитаемых доверенностей, а также появился сервис самообслуживания пользователей. Об этом разработчик сообщил 16 мая 2024 года.

Помимо сертификатов и лицензий на СКЗИ в X-Control 2.0 теперь можно учитывать и ключевые носители, на которых они установлены. Система автоматически собирает информацию с токенов, контролирует осуществленные изменения и ведет журнал операций, что дает возможность отследить все произведенные пользователями и администраторами действия с ключевыми носителями и сформировать отчетность по требованиям регуляторов. На май 2024 года в X-Control реализован учет токенов JaCarta, в ближайшем будущем пул поддерживаемых аппаратных средств аутентификации будет значительно расширен.Дмитрий Бородачев, DатаРу Облако: Наше преимущество — мультивендорная модель предоставления облачных услуг

В системе появилась поддержка работы с несколькими доменами Active Directory, а также добавлена возможность поиска лицевого счета пользователя СКЗИ по email и логину из AD, что позволит гораздо эффективнее управлять учетными записями, а также упростит доступ к информации пользователей из разных доменов.

Продукт стал значительно удобнее и функциональнее не только для администраторов органа криптографической защиты, но и для пользователей СКЗИ. В данной версии X-Control создан личный кабинет пользователя, в котором он может подтверждать все выданные ему объекты учета, отправлять запрос на изготовление сертификата в УЦ, уведомлять сотрудников ОКЗ о готовности к прохождению тестирования и знакомиться с обучающими материалами по работе с СКЗИ. Благодаря сервису самообслуживания каждый пользователь СКЗИ получил централизованный контроль над своими учетными объектами и инструмент оперативного взаимодействия с различными службами внутри системы.

Наконец, в системе реализована возможность учета машиночитаемых доверенностей (МЧД), подтверждающих полномочия физического лица подписывать в ЭДО официальные документы от имени компании, применение которых станет обязательным с 1 сентября 2024 года. При загрузке электронной доверенности в X-Control, система автоматически обрабатывает и учитывает всю информацию о ней, позволяя отслеживать сроки действия и своевременно информировать ответственных сотрудников о необходимости замены документа.

2023: Усовершенствованный процесс управления сертификатами в УЦ «КриптоПро»

Компания Spacebit 13 декабря 2023 года представила обновленную версию своего продукта для управления жизненным циклом средств криптографической защиты информации X-Сontrol. Система помогает автоматизировать основную деятельность органа криптографической защиты, поддерживать данные об СКЗИ в актуальном состоянии, а также существенно снизить трудозатраты ответственных сотрудников.

Среди обновлений – усовершенствованный процесс управления сертификатами в Удостоверяющем Центре КриптоПро. X-Control теперь позволяет пользователям СКЗИ самостоятельно создавать запросы на получение сертификатов, а сотрудникам УЦ предоставляет широкий функционал для мониторинга и управления запросами всех пользователей. Ответственные сотрудники могут создавать новые запросы на сертификаты, одобрять или отклонять запросы на выпуск, отзыв, приостановление и возобновление сертификатов.

В X-Control появились агенты для сбора информации о сертификатах, установленных на АРМ пользователей СКЗИ с операционными системами Linux и Windows. Агент агрегирует данные о сертификатах и уведомляет ответственных сотрудников о случаях возможной компрометации. Также в системе реализован функционал, позволяющий пользователю собирать информацию об установленных СКЗИ на АРМ, для повышения уровня контроля над всеми используемыми в организации средствами криптозащиты. Таким образом удается достичь прозрачности и порядка в учете СКЗИ и сертификатов, контролировать их установку и отслеживать все изменения. Благодаря автоматизации процесса исчезает необходимость ручного ввода данных для формирования необходимой отчетности в соответствии с 152 Приказом ФАПСИ.

Кроме того, в X-Control добавлен механизм автоматической проверки контрольной суммы для дистрибутивов с помощью утилиты cpverify и эффективного управления данными о результатах этой проверки. Это позволяет обеспечивать высокую степень целостности, надежности и безопасности дистрибутивов заказчика, а также существенно экономит трудозатраты сотрудников органа криптозащиты.

В обновленной версии X-Control настроены автоматизированные уведомления об увольнении пользователя и реализован механизм отзыва у него СКЗИ. В случае обнаружения факта увольнения пользователя в рамках регулярного мониторинга система уведомляет ответственных сотрудников и предоставляет им доступ к управлению ключевыми действиями: составлению акта уничтожения СКЗИ, числившихся за пользователем, и возможности изъятия этих объектов. Эта функциональность помогает отслеживать штатные изменения, гарантирует безопасность данных организации в случае увольнения сотрудников, а также обеспечивает соблюдение требований регулятора по учету СКЗИ.

X-Сontrol предлагает развитую систему уведомлений, которая дает пользователям возможность настраивать уведомления прямо в веб-интерфейсе по индивидуальным требованиям, что обеспечивает контроль и оперативное реагирование на изменения в системе.

Наконец, в системе появился сервис для проверки лицензий. Теперь X-Сontrol поддерживает модульное лицензирование, предоставляя пользователям гибкость в выборе необходимого функционала и возможности для масштабирования системы, которые позволяют оптимизировать и значительно ускорить ее работу.

Новые возможности делают процесс управления жизненным циклом СКЗИ прозрачным и удобным, позволяя легко контролировать и обеспечивать сохранность информации, а также безопасность идентификации и доступа сотрудников в организации, – прокомментировал коммерческий директор Spacebit Вячеслав Трембицкий. – С X-Control заказчик получает мощный инструмент для автоматизации деятельности органа криптозащиты, что помогает значительно оптимизировать ресурсы.

2021: Как автоматизировать деятельность органа криптозащиты. Обзор решения Spacebit X-Control

Средства криптографической защиты информации (СКЗИ) — важная составляющая при обеспечении информационной безопасности на предприятии, способная гарантировать высокий уровень сохранности данных. Новый продукт компании Spacebit, система автоматизации деятельности органов криптозащиты X-Control (АОКЗ), автоматизирует управление жизненным циклом СКЗИ и обеспечивает полное соответствие требованиям регуляторов.

Актуальность использования средств криптографической защиты информации (СКЗИ)

В условиях массового перехода на системы электронного документооборота СЭД/ECM и всеобъемлющей автоматизации деятельности предприятия на основе BPM-систем (Business Process Management, управления бизнес-процессами) особое значение приобретает обеспечение информационной безопасности (ИБ). Важность документов, обрабатываемых в таких системах, требует обязательного обеспечения высокой защищённости информации, что невозможно выполнить без применения средств шифрования. Применение средств криптографической защиты информации (СКЗИ) становится востребовано как в государственных, так и в негосударственных организациях, поскольку законодательством прямо предусмотрена обязательная защита средствами шифрования целых категорий различной информации, в том числе, персональных данных граждан, геоинформационных систем и объектов критической информационной инфраструктуры (КИИ).

Требования к использованию СКЗИ в документообороте

Требования, предъявляемые к процедуре применения СКЗИ в документообороте предприятия для государственных органов или выполнения госзаказов, при наличии лицензии ФСБ, для защиты конфиденциальной информации в соответствии с законодательством установлены двумя ключевыми нормативными актами: Приказом ФАПСИ №152 от 13.06 2001 года и Приказом ФСБ России №66 (Положение ПКХ-2005) от 09.02.2005 г. Эти документы регламентируют процедуру работы с СКЗИ: чёткую последовательность действий и круг допущенных к ним органов и лиц. Прежде всего, для применения СКЗИ необходимо сформировать специальное структурное подразделение — орган криптографической защиты информации (ОКЗ), либо, как правило, на небольших предприятиях, заключить договор с обладателем соответствующей лицензии ФСБ России. ОКЗИ обязаны вести поэкземплярный учёт СКЗИ и ключевых документов. Регулятор предусмотрел многообразие форм отчётности и чёткие требования к периодическому аудиту и регламентным процедурам. ОКЗИ также должны взаимодействовать со связанными организациями — обладателями конфиденциальной информации.

Жизненный цикл СКЗИ от получения документации до уничтожения

Жизненный цикл СКЗИ состоит из строго регламентированных процедур, которые вместо последовательно линейного выполнения в реальности осуществляются в нетривиальном усложнённом порядке.

В целях автоматизации работы органов криптографической защиты, а также соответствия требованиям регулятора в системе реализован жизненный цикл СКЗИ/ключевых документов, состоящий из следующих мероприятий:

• Получение в ОКЗИ
• Передача экземпляра в подведомственный ОКЗИ и/или ОКИ
• Подтверждение получения
• Выдача пользователю
• Ввод в действие (установка)
• Изъятие
• Возврат в ОКЗИ
• Подтверждение возврата
• Уничтожение экземпляра СКЗИ/ключевого документа

Информация о выполнении каждого мероприятия в системе автоматически попадает в журналы поэкземплярного учета.

Реальный жизненный цикл СКЗИ выглядит как на ниже представленной схеме:

Что собой представляет система автоматизации деятельности органов криптозащиты X-Control (АОКЗ)

Во многих организациях до сих пор реализована лишь частичная автоматизация бизнес-процессов. Системы СЭД/ECM, BPM и CRM развёрнуты в отдельных подразделениях и не охватывают всю деятельность предприятия в целом. Это же касается и обеспечения жизненного цикла СКЗИ, учёта и контроля за использованием документов с криптографической защитой. Столь сложный процесс, требующий строгого соблюдения процедуры, обеспечивается «в ручном режиме». Это, в свою очередь, означает его неэффективность, отсутствие оперативного учета и контроля, необходимость подготовки сотрудников для работы над отчётностью, выключенность из электронного документооборота, и повышает вероятность человеческих ошибок.

Для решения задачи учета СКЗИ компания Spacebit разработала систему автоматизации деятельности органов криптозащиты X-Control (АОКЗ).

Spacebit входит в состав ГК «Информзащита» и обладает большой экспертизой в области ИБ, а также глубоким пониманием потребностей рынка. X-Control (АОКЗ) представляет собой единый центр обеспечения жизненного цикла СКЗИ на предприятиях самых разных отраслей, включая госсектор и оборонную промышленность, финансовый сектор и ритейл, автотранспортные и логистические компании, а также удостоверяющие центры.

X-Control (АОКЗ) — это система по учёту СКЗИ, эксплуатационной и технической документации ключевых документов и ключевых носителей, призванная снизить риски нарушения безопасности за счет автоматизации деятельности органа криптографической защиты и ведения учёта и контроля за использованием СКЗИ в полном соответствии с требованиями регулятора. Среди ключевых задач, решаемых X-Control (АОКЗ) - ведение единой базы данных, включающей в себя реестры сертифицированных СКЗИ, экземпляров СКЗИ, ключевой информации, ключевых документов, а также лицевых счетов пользователей СКЗИ). Система позволяет планировать, автоматически формировать и контролировать мероприятия по видам работ с СКЗИ и соответствующим им бизнес-процессам. Наконец, X-Control (АОКЗ), обеспечивает юридическую значимость действий, выполняемых со СКЗИ и минимизирует бумажный документооборот.

АОКЗ включён в Единый реестр отечественного ПО под регистрационным номером 2019614915.

Уникальность X-Control (АОКЗ) на рынке

Присутствующие на рынке системы Avanpost PKI, JaCarta Management System, «Менеджмент безопасности», «КИТ-Журнал» и т.п. в основном сосредоточены на учёте ключевых документов. В отличие от них, X-Control (АОКЗ) охватывает все средства СКЗИ, в том числе в территориально – распределённых организациях. Система помогает в организации единой нормативной базе процессов работы со СКЗИ для распределённых организаций.

X-Control (АОКЗ) осуществляет учёт всего жизненного цикла СКЗИ, включая учёт экземпляров СКЗИ, ключевых документов, ключевых носителей, лицевых счетов, обучения, документации.

Имеется функционал по формированию, ведению и выгрузке необходимых журналов, требуемых регулятором:

• Журнала поэкземплярного учета ОКЗ
• Журнала поэкземплярного учета обладателя конфиденциальной информации
• Журнала учета пользователей
• Технического аппаратного журнала и др.

Основные возможности

Перечислим основные возможности X-Control (АОКЗ):

• Учёт ОКЗИ и ОКИ
• Централизованный поэкземплярный учёт СКЗИ
• Лицевые счета пользователей СКЗИ
• Учёт обучения пользователей СКЗИ и допуск к самостоятельной работе
• Распространение дистрибутивов и документации
• Обеспечения контроля оборота СКЗИ и ключевых документов и связанных с ними действий
• Подписание значимых действий электронной подписью
• Формирование, ведение и выгрузка журналов и отчётов
• Уведомление сотрудников ОКЗИ об истечениии срока действия

Этапы работы в системе

Внедрение X-Control (АОКЗ) предполагает некоторые мероприятия по организации работы по управлению жизненным циклом СКЗИ:

• Создание справочника сертифицированных СКЗИ
• Создание библиотеки учёта версий обновлений
• Формирование иерархического справочника ОКЗИ
• Учёт СКЗИ по всему жизненному циклу в соответствии с требованиями законодательства
• Контроль обязательного обучения пользователей
• Получение уведомление об истечении сроков действия сертификатов СКЗИ
• Формирование отчётов в соответствии с требованиями регуляторов

Интеграция с внешними системами

Система автоматизации деятельности органов криптозащиты X-Control может интегрироваться с внешними системами, а также с внутренними системами заказчика. В планах разработчика — интеграция со сторонними системами электронного документооборота СЭД/ECM.

• Для аутентификации пользователей АОКЗ, получения списка сотрудников и мониторинга акуальностей учётных записей применяется служба каталогов Active Directory компании Microsoft, разработанная для операционных систем семейства Windows Server.
• В качестве сервиса проверки подлинности электронной подписи в системе используется программно-аппаратный комплекс Jinn-Server компании «Код Безопасности», соответствующий требованиям ст.12 № 63-ФЗ «Об электронной подписи» к совершению юридически значимых действий.
• X-Control (АОКЗ) совместима с Удостоверяющими Центрами в целях получения и актуализации информации о ключевых документах.

Требования к инфраструктуре заказчика

На этапе внедрения продукта поставщик может провести:

• Аудит процессов учёта СКЗИ, представить рекомендации по выстраиванию/оптимизации учёта
• Миграцию данных из текущего хранилища заказчика
• Интеграцию с имеющимися у заказчика инструментами

На АРМ пользователя должно быть установлено следующее ПО:

• Браузер Yandex версии 20.2.1 или выше (поддерживающий шифрование защищённых соединений по ГОСТ 34.10-2012, ГОСТ 34.12-2018 и ГОСТ 34.13-2018);
• Криптопровайдер КриптоПро CSP не ниже версии 4.0 и плагин Крипто ПРО ЭЦП Browser plug-in не ниже версии 2.0.
• Разрешение экрана АРМ пользователя должно быть не менее 1920х1080.

Преимущества X-Control (АОКЗ)

Система автоматизации деятельности органов криптозащиты X-Control (АОКЗ) характеризуется пятью ключевыми преимуществами:

• Это единый центр обеспечения жизненного цикла СКЗИ и документации
• Соответствует требованиям регуляторов и снижает риски их нарушений
• Обеспечивает юридическую значимость выполняемых действий с документами и минимизирует бумажный документооборот
• Способен предоставлять услуги ОКЗИ третьим организациям
• Позволяет планировать и обеспечивать контроль за аудитом и регламентными работами

Разработчик X-Control (АОКЗ) компания Spacebit предлагает потенциальным заказчикам калькулятор для оценки стоимости внедрения системы.