Про затвердження уніфікованої форми акта, складеного за результатами проведення планового (позапланового) заходу державного нагляду (контролю) щодо дотримання кваліфікованим надавачем електронних довірчих послуг вимог законодавства у сфері електронних довірчих послуг

Тип: Наказ

№ 204

Дата: 13 квітня 2020 р.

Статус: Втратив чинність

АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ'ЯЗКУ ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ

НАКАЗ

13.04.2020

м. Київ

N 204

Зареєстровано в Міністерстві юстиції України

28 квітня 2020 р. за N 385/34668

Про затвердження уніфікованої форми акта, складеного за результатами проведення планового (позапланового) заходу державного нагляду (контролю) щодо дотримання кваліфікованим надавачем електронних довірчих послуг вимог законодавства у сфері електронних довірчих послуг

Відповідно до вимог абзацу восьмого частини другої статті 5 Закону України "Про основні засади державного нагляду (контролю) у сфері господарської діяльності", частини другої статті 33 Закону України "Про електронні довірчі послуги", Методики розроблення уніфікованих форм актів, що складаються за результатами проведення планових (позапланових) заходів державного нагляду (контролю), затвердженої постановою Кабінету Міністрів України від 10 травня 2018 року N 342, пункту 36 Порядку перевірки дотримання вимог законодавства у сфері електронних довірчих послуг, затвердженого постановою Кабінету Міністрів України від 07 листопада 2018 року N 992, та пункту 10 Положення про Адміністрацію Державної служби спеціального зв'язку та захисту інформації України, затвердженого постановою Кабінету Міністрів України від 03 вересня 2014 року N 411,

НАКАЗУЮ:

1. Затвердити уніфіковану форму акта, складеного за результатами проведення планового (позапланового) заходу державного нагляду (контролю) щодо дотримання кваліфікованим надавачем електронних довірчих послуг вимог законодавства у сфері електронних довірчих послуг, що додається.

2. Директору Департаменту державного контролю у сфері захисту інформації Адміністрації Державної служби спеціального зв'язку та захисту інформації України забезпечити подання цього наказу в установленому порядку на державну реєстрацію до Міністерства юстиції України.

3. Цей наказ набирає чинності з дня його офіційного опублікування.

4. Контроль за виконанням цього наказу залишаю за собою.

Голова Служби

полковник

В. Петров

ЗАТВЕРДЖЕНО

Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України

13 квітня 2020 року N 204

АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ'ЯЗКУ

ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ

вул. Солом'янська, 13, м. Київ, 03110,

тел. (044) 281-92-10, факс: (044) 281-94-83, e-mail: info@dsszzi.gov.ua

_____________________________________________________________________________________

(найменування органу державного контролю, його місцезнаходження, номер телефону та адреса електронної пошти)

АКТ,

від ____________________

(дата складення акта)

складений за результатами проведення планового (позапланового) заходу державного нагляду (контролю) щодо дотримання кваліфікованим надавачем електронних довірчих послуг вимог законодавства у сфері електронних довірчих послуг

_____________________________________________________________________________________

(найменування юридичної особи (відокремленого підрозділу) або прізвище, власне ім'я

_____________________________________________________________________________________

фізичної особи - підприємця)

код згідно з ЄДРПОУ, або реєстраційний номер облікової картки платника податків , або серія та номер паспорта*

_____________________________________________________________________________________

(місцезнаходження кваліфікованого надавача електронних довірчих послуг, номер телефону,

_____________________________________________________________________________________

телефаксу та адреса електронної пошти)

вид суб'єкта господарювання за класифікацією суб'єктів господарювання (суб'єкт мікро-, малого, середнього або великого підприємництва), ступінь ризику:

_____________________________________________________________________________________

види об'єктів та/або види господарської

діяльності (із зазначенням коду згідно з КВЕД), щодо яких проводиться захід:

_____________________________________________________________________________________

Загальна інформація про проведення заходу державного нагляду (контролю):

Розпорядчий документ, на виконання якого проводиться захід державного нагляду (контролю),

від N

Посвідчення (направлення)

від N

Тип заходу державного нагляду (контролю):

плановий

позаплановий

Форма заходу державного нагляду (контролю):

перевірка

ревізія

обстеження

огляд

інша форма, визначена законом

_____________________

(найменування форми заходу)

____________

* Для фізичних осіб, які через свої релігійні переконання відмовилися від прийняття реєстраційного номера облікової картки платника податків, повідомили про це відповідний орган доходів і зборів та мають відмітку в паспорті.

Строк проведення заходу державного нагляду (контролю):

Початок

Завершення

число

місяць

рік

години

хвилини

число

місяць

рік

години

хвилини

Дані про останній проведений захід державного нагляду (контролю):

Плановий

Позаплановий

не проводився

проводився з по

Акт перевірки

Припис щодо усунення порушень:

не видавався; видавався;

його вимоги: виконано;

не виконано

проводився з по

Акт перевірки

Припис щодо усунення порушень:

не видавався; видавався;

його вимоги: виконано;

не виконано

Особи, що беруть участь у проведенні заходу державного нагляду (контролю):

посадові особи органу державного нагляду (контролю):

_____________________________________________________________________________________

(посада, прізвище, власне ім'я)

керівник кваліфікованого надавача електронних довірчих послуг або уповноважена ним особа:

_____________________________________________________________________________________

(посада, прізвище, власне ім'я)

треті особи:

_____________________________________________________________________________________

(посада, прізвище, власне ім'я)

Процес проведення заходу (його окремої дії) фіксувався:

кваліфікованим надавачем електронних довірчих послуг

засобами аудіотехніки

засобами відеотехніки

посадовою особою органу державного нагляду (контролю)

засобами аудіотехніки

засобами відеотехніки

ПЕРЕЛІК

питань щодо проведення заходу державного нагляду (контролю)

N з/п

Питання щодо дотримання кваліфікованим надавачем електронних довірчих послуг вимог законодавства

Ступінь ризику кваліфікованого надавача електронних довірчих послуг

Позиція кваліфікованого надавача електронних довірчих послуг щодо негативного впливу вимоги законодавства (від 1 до

4 балів)*

Відповіді на питання

Нормативне обґрунтування

так

ні

не розгля-

далося

Загальні вимоги

1.1

Рішення надавача про припинення надання кваліфікованих електронних довірчих послуг повідомлене користувачам, центральному засвідчувальному органу або засвідчувальному центру та контролюючому органу не пізніше ніж через п'ять робочих днів з дня прийняття такого рішення

Високий

Середній

Незначний

Частина друга статті 31 Закону

N 2155-VIII

1.2

Наявний поточний рахунок із спеціальним режимом використання у банку (рахунок в органі, що здійснює казначейське обслуговування бюджетних коштів) або страхової суми із внеском не менше ніж 1000 мінімальних розмірів заробітної плати

Високий

Середній

Незначний

Частина третя статті 16 Закону

N 2155-VIII

1.3

Надавач подав до Адміністрації Держспецзв'язку звіт про діяльність за попередній рік, що містить відомості, визначені у Вимогах N 992

Високий

Середній

Незначний

Пункт 75 Вимог N 992

1.4

Інформування до контролюючого

органу про порушення конфіденційності, цілісності інформації надані не пізніше 24 годин з моменту, коли стало відомо про таке порушення

Високий

Середній

Незначний

Абзац одинадцятий частини другої статті 13 Закону

N 2155-VIII

1.5

Інформування до контролюючого органу про будь-які зміни у діяльності надавача надані протягом 48 годин з моменту настання таких змін

Високий

Середній

Незначний

Абзац дев'ятнадцятий частини другої статті 13 Закону

N 2155-VIII

1.6

Інформування користувачів про порушення конфіденційності та/або цілісності інформації відбувається не пізніше двох годин з моменту, коли їм стало відомо про такі порушення

Високий

Середній

Незначний

Абзаци дванадцятий частини другої статті 13 Закону

N 2155-VIII

1.7

Інформацію, щодо зміни відомостей про надавача, подано до органу, який приймав рішення про внесення відомостей про нього до Довірчого списку протягом п'яти робочих днів з дня настання таких змін

Високий

Середній

Незначний

Абзац другий частини сьомої статті 30 Закону

N 2155-VII

Забезпечення безпеки інформаційних ресурсів у надавача

2.1

Про результати оцінки відповідності у сфері електронних довірчих послуг надавач повідомив контролюючий орган не пізніше трьох робочих днів з дня отримання документа про відповідність

Високий

Середній

Незначний

Частина п'ята статті 32 Закону

N 2155-VIII

2.2

Функціонування програмно-технічного комплексу надавача та захист інформації, що в ньому обробляється, відповідає вимогам законодавства

Високий

Середній

Незначний

Абзац третій частини другої статті 13 Закону

N 2155-VIII

2.3

Службу захисту інформації утворено

Високий

Середній

Незначний

Абзац другий пункту 18 Правил N 373

2.4

Порядок ведення журналу аудиту подій дотримується

Високий

Середній

Незначний

Підпункт 11 пункту 39 Вимог N 992

Кадрові ресурси

3.1

Найманими працівниками надавача є адміністратор реєстрації; адміністратор сертифікації; адміністратор безпеки та аудиту; системний адміністратор

Високий

Середній

Незначний

Пункт 6 Вимог N 992

3.2

Адміністратор сертифікації, адміністратор безпеки та аудиту, системний адміністратор - особа, яка має вищу освіту за спеціальністю у сферах інформаційних технологій, захисту інформації або кібербезпеки, а також стаж роботи за фахом у зазначених сферах не менше трьох років

Високий

Середній

Незначний

Абзац другий пункту 7 Вимог N 992

3.3

Посадові інструкції містять вимоги інформаційної безпеки та методи її забезпечення

Високий

Середній

Незначний

Абзац другий пункту 8 Вимог N 992

3.4

Керівник і наймані працівники надавача ознайомлені з положеннями їх посадових інструкцій

Високий

Середній

Незначний

Пункт 9 Вимог N 992

3.5

Керівник надавача забезпечує умови для безперервної особистої освіти та постійне підвищення кваліфікації найманих працівників надавача у сферах інформаційних технологій, захисту інформації або кібербезпеки та захисту персональних даних

Високий

Середній

Незначний

Пункт 20 Вимог N 992

3.6

Установлено систему дисциплінарних стягнень за недотримання найманими працівниками надавача своїх посадових обов'язків, вимог нормативно-правових актів у сфері електронних довірчих послуг і вимог внутрішньої організаційно-

розпорядчої документації надавача та документації щодо комплексної системи захисту інформації або системи управління інформаційною безпекою

Високий

Середній

Незначний

Пункт 21 Вимог N 992

Експлуатація засобів кваліфікованого електронного підпису (далі - ЗКЕП) чи печатки

4.1

Генерація пари ключів надавача здійснюється адміністратором сертифікації під контролем адміністратора безпеки та аудиту

Високий

Середній

Незначний

Абзац перший пункту 23 Вимог N 992

4.2

Усі події, пов'язані з генерацією, використанням та знищенням пари ключів надавача, протоколюються

Високий

Середній

Незначний

Пункт 24 Вимог N 992

4.3

Після закінчення строку дії кваліфікованого сертифіката

відкритого ключа надавача особистий ключ надавача та всі його резервні копії знищуються способом, що не дає змоги їх відновити

Високий

Середній

Незначний

Пункт 30 Вимог N 992

4.4

Право власності або право користування засобами кваліфікованого електронного підпису чи печатки, які використовуватимуться для надання кваліфікованих електронних довірчих послуг, підтверджено чинними документами

Високий

Середній

Незначний

Пункт 132 Вимог N 992

4.5

Відповідність ЗКЕП чи печатки надавачів підтверджується документами про відповідність або позитивними експертними висновками за результатами їх державної експертизи у сфері криптографічного захисту інформації

Високий

Середній

Незначний

Абзац другий частини третьої статті 19 Закону

N 2155-VIII

4.6

Особисті ключі надавача використовуються виключно у засобі кваліфікованого електронного підпису чи печатки, що є апаратно-програмним або апаратним пристроєм, розташованим в окремому, спеціально призначеному для цього приміщенні

Високий

Середній

Незначний

Пункт 29 Вимог N 992

4.7

Особисті ключі надавача розміщуються у засобі кваліфікованого електронного підпису чи печатки, що є апаратно-програмним або апаратним пристроєм, за допомогою якого проводилася генерація пари ключів

Високий

Середній

Незначний

Абзац перший пункту 25 Вимог N 992

4.8

Експлуатація ЗКЕП, здійснюється відповідно до вимог експлуатаційної документації, інструкції із забезпечення безпеки експлуатації ЗКЕП, а також інструкції щодо порядку генерації ключових даних та поводження з ключовими документами

Високий

Середній

Незначний

Пункт 5 розділу IV Положення N 141

4.9

Кожний екземпляр ЗКЕП взято на облік з дати їх отримання

Високий

Середній

Незначний

Пункт 3

розділу IV Положення

N 141

4.10

Особисті ключі надавача використовуються для формування кваліфікованих сертифікатів відкритих ключів та інформації про статус кваліфікованого сертифіката відкритого ключа

Високий

Середній

Незначний

Пункт 28 Вимог N 992

4.11

Резервне копіювання особистих ключів надавача здійснюється шляхом перенесення на ЗКЕП, який є апаратно-програмним або апаратним пристроєм у захищеному вигляді, що забезпечує їх цілісність та конфіденційність

Високий

Середній

Незначний

Абзац перший пункту 26 Вимог N 992

4.12

Резервне копіювання та відновлення особистих ключів надавача здійснюються адміністратором сертифікації під контролем адміністратора безпеки та аудиту

Високий

Середній

Незначний

Абзац другий пункту 26 Вимог N 992

Організація надання електронних довірчих послуг

5.1

Надавач надає кваліфіковані електронні довірчі послуги відповідно до вимог законодавства в сфері електронних довірчих послуг та Регламенту роботи надавача

Високий

Середній

Незначний

Пункт 35 Вимог N 992

5.2

Регламент роботи надавача розроблений та затверджений до початку роботи надавача

Високий

Середній

Незначний

Пункт 36 Вимог N 992

5.3

Ідентифікація заявника здійснюється за умови її особистої присутності за паспортом громадянина України або за іншими документами, які унеможливлюють виникнення будь-яких сумнівів щодо особи

Високий

Середній

Незначний

Частина друга статті 22 Закону

N 2155-VIII

5.4

Під час повторного формування кваліфікованого сертифіката електронного підпису чи печатки користувача актуальність інформації, що надавалася для попереднього формування кваліфікованого сертифіката електронного підпису чи печатки заявника, перевіряється

Високий

Середній

Незначний

Пункт 89 Вимог N 992

5.5

Заява про скасування або блокування кваліфікованого сертифіката електронного підпису чи печатки подається користувачем надавачеві в будь-який спосіб, що забезпечує підтвердження особи-користувача

Високий

Середній

Незначний

Абзац перший пункту 94 Вимог N 992

5.6

Кваліфіковані електронні довірчі послуги надаються на підставі укладеного між надавачем і заявником договору про надання кваліфікованої електронної довірчої послуги, який

містить істотні умови, визначені Вимогами N 992

Високий

Середній

Незначний

Абзац перший пункту 66, пункт 68 Вимог N 992

5.7

Резервне копіювання особистого ключа підписувача або створювача електронної печатки з метою його зберігання здійснюється з дотриманням Вимог N 992

Високий

Середній

Незначний

Пункт 80 Вимог N 992

5.8

Надавач забезпечив доступ до інформації про дату та час зміни статусу кваліфікованого сертифіката відкритого ключа

Високий

Середній

Незначний

Частина чотирнадцята статті 25 Закону

N 2155-VIII

5.9

Список відкликаних сертифікатів надавача відповідає Вимогам N 992

Високий

Середній

Незначний

Абзаци 2 - 5 пункту 99 Вимог N 992

5.10

Інформування користувача про зміну статусу кваліфікованого сертифіката електронного підпису чи печатки проводиться невідкладно

Високий

Середній

Незначний

Пункт 96 Вимог 992

5.11

Управління статусом кваліфікованого сертифіката електронного підпису чи печатки та поширення відповідної інформації доступні для користувача цілодобово

Високий

Середній

Незначний

Пункт 100 Вимог N 992

Вимоги до надання електронних довірчих послуг

6.1

Політика сертифіката дотримується у такій частині:

6.1.1

інформація на офіційному вебсайті відповідає переліку, визначеному в Регламенті роботи надавача

Високий

Середній

Незначний

Підпункт 3 пункту 39 Вимог N 992

6.1.2

ведення архівів надавача дотримується із зазначенням видів документів та даних, що підлягають архівуванню, строків зберігання архівів, механізму та порядку зберігання і захисту архівів

Високий

Середній

Незначний

Підпункт 12 пункту 39 Вимог N 992

6.2

Положення сертифікаційних практик дотримується у такій частині:

6.2.1

процес подання запиту на формування кваліфікованого сертифіката відкритого ключа відповідає Регламенту роботи надавача

Високий

Середній

Незначний

Підпункт 1 пункту 40 Вимог N 992

6.2.2

порядок надання сформованого кваліфікованого сертифіката відкритого ключа користувачу відповідає Регламенту роботи надавача

Високий

Середній

Незначний

Підпункт 2 пункту 40 Вимог N 992

6.2.3

процедура подання запиту на формування кваліфікованого сертифіката відкритого ключа для користувачів, які мають чинний кваліфікований сертифікат відкритого ключа, сформований надавачем, відповідає Регламенту роботи надавача

Високий

Середній

Незначний

Підпункт 5 пункту 40 Вимог N 992

6.3

Під час надання кваліфікованої електронної довірчої послуги із створення, перевірки та підтвердження кваліфікованих електронних підписів чи печаток надавачем забезпечено:

6.3.1

використання підписувачем або створювачем електронної печатки виключно ЗКЕП та кваліфікованого сертифіката електронного підпису чи печатки

Високий

Середній

Незначний

Підпункт 1 пункту 77 Вимог N 992

6.3.2

створення умов для генерації пари ключів підписувача або створювача електронної печатки

Високий

Середній

Незначний

Підпункт 3 пункту 77 Вимог N 992

6.3.3

допомогу під час генерації пари ключів підписувача або створювача електронної печатки у спосіб, що не допускає порушення конфіденційності та цілісності особистого ключа, а також ознайомлення із значенням параметрів особистого ключа та їх копіювання

Підпункт 4 пункту 77 Вимог N 992

6.4

Кваліфікований електронний підпис чи печатка відповідає Вимогам N 992

Високий

Середній

Незначний

Пункт 81 Вимог N 992

6.5

Унікальність серійного номера кваліфікованого сертифіката електронного підпису чи печатки заявника щодо інших кваліфікованих сертифікатів електронного підпису чи печатки, сформованих цим самим надавачем, забезпечено

Високий

Середній

Незначний

Пункт 87 Вимог N 992

6.6

Збереження усіх сформованих надавачем кваліфікованих сертифікатів електронного підпису чи печатки, а також їх резервних копій забезпечено

Високий

Середній

Незначний

Пункт 88 Вимог N 992

6.7

Вільний доступ до кваліфікованого сертифіката електронного підпису чи печатки користувача

після його формування надавачем забезпечено

Високий

Середній

Незначний

Пункт 90 Вимог N 992

6.8

Відомості про кваліфіковані сертифікати електронного підпису чи печатки, сформовані надавачем, їх статус та списки відкликаних сертифікатів містяться у реєстрі чинних, блокованих та скасованих сертифікатів відкритих ключів

Високий

Середній

Незначний

Пункт 98 Вимог N 992

6.9

Час, що використовується надавачем в процесі обслуговування кваліфікованих сертифікатів електронного підпису чи печатки користувачів, синхронізований із Всесвітнім координованим часом (UTC) з точністю до секунди

Високий

Середній

Незначний

Абзац перший пункту 103 Вимог N 992

6.10

Кваліфікований сертифікат автентифікації вебсайту відповідає Вимогам N 992

Високий

Середній

Незначний

Пункт 108 Вимог N 992

6.11

Кваліфікована електронна позначка часу відповідає Вимогам N 992

Високий

Середній