Orden FAPSI N° 158..

Orden FAPSI N 158..

FAPSI Orden N 158.

FAPSI

Orden
Sobre la aprobación del Reglamento sobre el procedimiento para el desarrollo, producción, implementación y uso de la protección criptográfica de la información
con acceso limitado que no contiene información que constituye un secreto de estado
de fecha 23 de septiembre de 1999 N 158

Reglamento
Sobre el procedimiento para el desarrollo, producción, implementación y uso de herramientas de protección de información criptográfica
con acceso limitado, que no contienen información que constituya un secreto de estado
(Reglamento PKZ-99)

De conformidad con la Ley Federal del 20 de febrero de 1995 No. 24-FZ «Sobre Información, Informatización y Protección de la Información», Ley de la Federación de Rusia del 19 de febrero de 1993 N 4524-1 «Sobre Organismos federales comunicaciones e información gubernamentales» y con el fin de determinar el procedimiento para el desarrollo, producción, implementación y uso de medios de protección criptográfica de información de acceso limitado que no contenga información que constituya un secreto de estado, dispongo:

Aprobar el Reglamento sobre el procedimiento para el desarrollo, producción, implementación y uso de medios de protección criptográfica de la información de acceso limitado que no contienen información que constituye un secreto de estado (Reglamento PKZ-99) (adjunto).

Director General de la Agencia
V. Matyukhin

Este Reglamento define un procedimiento uniforme en el territorio de la Federación de Rusia para el desarrollo, producción, venta y uso de medios de protección criptográfica certificados por FAPSI sujetos, de conformidad con la legislación vigente de la Federación de Rusia, a la protección obligatoria de información con acceso limitado. que no contenga información que constituya un secreto de estado (medios de cifrado), si se procesa, almacena y transmite a través de canales de comunicación si se decide sobre la necesidad de protección criptográfica de esta información.

También se recomienda seguir este procedimiento en el desarrollo, producción, venta y uso de medios de protección criptográfica certificados por FAPSI para información de acceso limitado que no esté sujeta a protección obligatoria y que no contenga información que constituya un secreto de estado, cuyo acceso esté restringido. limitada de acuerdo con la legislación vigente de la Federación de Rusia o por decisión del usuario (consumidor) de esta información (excepto la información que contenga información a la que, de acuerdo con la legislación vigente de la Federación de Rusia, el acceso no pueda limitarse), durante su procesamiento, almacenamiento y transmisión a través de canales de comunicación en caso de que se decida sobre la necesidad de protección criptográfica de esta información (la información de acceso limitado que no contiene información que constituya un secreto de estado se denomina información confidencial).
Los medios de protección criptográfica de información confidencial certificados por FAPSI se denominan CIPF en este Reglamento. CIPF incluye:

— herramientas, sistemas y complejos de hardware, software y hardware-software que implementan algoritmos criptográficos para convertir información, garantizando la seguridad de la información durante su procesamiento, almacenamiento y transmisión a través de canales de comunicación, incluido CIPF;
— implementar algoritmos criptográficos para convertir información, hardware, software y hardware-software, sistemas y complejos para proteger contra el acceso no autorizado a la información durante su procesamiento y almacenamiento;
— implementar algoritmos criptográficos para convertir información, hardware, software y hardware-software, sistemas y complejos de protección contra la imposición de información falsa, incluidos medios de protección por imitación y «firma electrónica»;
— herramientas, sistemas y complejos de hardware, software y hardware-software para la producción y distribución de documentos clave para CIPF, independientemente del tipo de soporte de información clave.]

Este Reglamento no se aplica a los medios de protección de la información criptográfica, que contiene información que constituye un secreto de estado, así como información que no contiene información de carácter confidencial e información que constituye un secreto de estado.

Este Reglamento no define las relaciones asociadas con la exportación e importación de CIPF, y no se aplica al uso de herramientas de cifrado importadas.

El procedimiento para la protección criptográfica de la información de pago confidencial durante su procesamiento y transmisión a través de los sistemas de liquidación (redes) del Banco de Rusia (si es necesario) está determinado por decisiones conjuntas del Banco de Rusia y FAPSI.

El acceso de los organismos encargados de hacer cumplir la ley de la Federación de Rusia a la información confidencial protegida mediante CIPF se lleva a cabo de conformidad con la legislación vigente de la Federación de Rusia.

I. Disposiciones generales

1. Al organizar el intercambio de información confidencial sujeta a protección obligatoria, cuyos participantes sean órganos gubernamentales, organizaciones gubernamentales, otras organizaciones, independientemente de su forma jurídica y forma de propiedad cuando ejecuten órdenes de defensa estatal, así como personas jurídicas. -usuarios (consumidores) de información confidencial, que no son organismos gubernamentales u organizaciones gubernamentales y otras organizaciones que ejecutan órdenes de defensa estatal (en el caso de su intercambio de información con organismos gubernamentales, organizaciones gubernamentales y otras organizaciones que ejecutan órdenes de defensa estatal) e individuos quiénes son usuarios (consumidores) de información confidencial (en el caso de su intercambio de información con agencias gubernamentales, organizaciones gubernamentales y otras organizaciones que ejecutan órdenes de defensa gubernamentales), la necesidad de protección criptográfica de la información confidencial y el tipo de CIPF utilizado (si se toma una decisión). realizadas sobre protección criptográfica de la información) están determinadas por agencias gubernamentales u organizaciones gubernamentales.

2. Al organizar el intercambio de información confidencial que no está sujeta a protección obligatoria, la necesidad de su protección criptográfica y el tipo de CIPF utilizado (si se toma una decisión sobre la protección criptográfica de la información) se determinan mediante acuerdos entre los participantes en el intercambio.

3. La necesidad de protección criptográfica de la información confidencial (tanto sujeta a protección obligatoria como no sujeta a protección obligatoria) durante su procesamiento, almacenamiento y transmisión a través de canales de comunicación en ausencia de intercambio de información confidencial con agencias gubernamentales, organizaciones gubernamentales u otras organizaciones. ejecución de órdenes de defensa gubernamental y la elección del tipo CIPF están determinadas por su usuario (en el caso de que el propietario de los recursos de información o su persona autorizada no haya determinado previamente la necesidad de protección criptográfica de la información confidencial y no haya seleccionado el requerido tipo CIPF).

4. A la hora de decidir sobre la necesidad de protección criptográfica de la información confidencial sujeta a protección obligatoria de acuerdo con la legislación vigente, los requisitos de este Reglamento son obligatorios para:

organismos gubernamentales y organizaciones gubernamentales;
entidades jurídicas y empresarios individuales que realicen actividades sujetas a licencia de FAPSI de conformidad con la legislación de la Federación de Rusia;
organizaciones no gubernamentales e individuos cuando sea necesario intercambiar información confidencial con agencias gubernamentales, organizaciones gubernamentales u otras organizaciones que ejecuten órdenes de defensa gubernamentales;
otras organizaciones, independientemente de su forma organizativa y jurídica y de propiedad, cuando ejecuten órdenes de defensa del Estado.

En relación con otras personas, los requisitos de las Disposiciones de PKZ-99 son de naturaleza consultiva.

5. CIPF debe cumplir con los requisitos desarrollados por FAPSI y su uso debe permitirse después de que FAPSI lo haya examinado.

6. Para la protección criptográfica de información confidencial se pueden utilizar CIPF que tengan certificado FAPSI (CIPF certificados).

El procedimiento de certificación de CIPF está determinado por el sistema de certificación correspondiente.

II. Procedimiento para desarrollar CIPF

7. La orden para el desarrollo del CIPF para las necesidades de los estados federales la lleva a cabo la FAPSI u otro órgano ejecutivo federal de acuerdo con la FAPSI.

8. La orden para el desarrollo de CIPF la llevan a cabo personas jurídicas y (o) empresarios individuales que posean licencias FAPSI.

9. El desarrollo de CIPF se lleva a cabo mediante la creación y realización del trabajo de investigación (I+D) necesario para desarrollar un nuevo tipo de CIPF y el trabajo de desarrollo (I+D) para crear un nuevo tipo o modernizar el modelo existente de CIPF.

10. El trabajo de investigación sobre el desarrollo de un nuevo tipo de CIPF se lleva a cabo de acuerdo con las especificaciones tácticas y técnicas (TTZ) o especificaciones técnicas (TOR), desarrolladas sobre la base de los estándares vigentes para la realización de trabajos de investigación.

11. Se recomienda incluir información en el TTZ o TOR para realizar la investigación:

sobre el cliente del CIPF (para una entidad legal — nombre de la entidad legal que indica la FAPSI número de licencia y su período de validez, dirección de la persona jurídica, teléfono del empresario individual — apellido, nombre, patronímico, datos del documento de identificación, número de licencia FAPSI y su período de validez, dirección del empresario individual y teléfono; número);
sobre el ámbito de aplicación previsto del nuevo tipo de CIPF previsto para el desarrollo (indica el sistema de comunicación en el que se prevé utilizar el modelo de CIPF creado, sus principales características técnicas, así como el tipo de información protegida (voz, datos, etc.);
sobre las etapas planificadas del trabajo de investigación (se proporcionan datos sobre las etapas planificadas y el calendario del trabajo de investigación);sobre el ejecutor propuesto del trabajo de investigación (se proporciona información sobre el ejecutor propuesto (nombre de la persona jurídica, su dirección, número de teléfono) y coejecutor (si lo hubiera), indicando los números de licencia FAPSI y sus períodos de validez (si los hubiera).

12. El cliente envía el CIPF para su consideración a FAPSI dentro de los dos meses siguientes a la fecha de recepción de los documentos. la aprobación de FAPSI TTZ o TOR para realizar investigaciones es la base para realizar investigaciones

13. El TTZ o TOR para la realización de trabajos de investigación, acordado con FAPSI, es aprobado por el cliente del CIPF. El cliente del CIPF envía a FAPSI una copia del TTZ o TOR aprobado para la realización de trabajos de investigación.

14. El resultado del trabajo de investigación es un proyecto TTZ o especificaciones técnicas para realizar trabajos de I+D para crear un nuevo tipo de sistema de protección de información criptográfica o modernizar un tipo existente de sistema de protección de información criptográfica y un estudio de viabilidad para este trabajo de I+D.

15. Los trabajos de diseño y desarrollo para crear un nuevo tipo o modernizar un tipo existente de CIPF se llevan a cabo de acuerdo con las especificaciones técnicas o especificaciones técnicas desarrolladas sobre la base de las normas vigentes para la realización de trabajos de diseño y desarrollo.

16. El desarrollo de especificaciones técnicas o especificaciones técnicas para la realización de I+D podrá realizarse sin la finalización previa de los trabajos de investigación.

17. TTZ o TOR para la realización de I+D deben desarrollarse de acuerdo con los documentos reglamentarios vigentes con la indicación obligatoria de la siguiente información:

sobre protección de información criptográfica — el nivel de protección criptográfica de la información confidencial, determinado de acuerdo con los requisitos establecidos por el cliente de CIPF para las propiedades de CIPF para garantizar la seguridad de la información confidencial, o el propósito de la protección criptográfica de la información confidencial con una descripción del modelo propuesto de acceso no autorizado al mismo;
según los términos de uso de CIPF — requisitos para las condiciones de uso de un nuevo tipo que se está creando o de un modelo existente que se está modernizando de CIPF en un esquema estándar para organizar comunicaciones confidenciales, o datos iniciales en una red (sistema) confidencial, como parte del cual se planea utilizar un creación de un nuevo tipo o actualización de un modelo existente de CIPF (tipos de canales de comunicación, velocidad de transferencia de información, número esperado de usuarios de la red, intensidad planificada del intercambio de información, etc.);
por claves CIPF — el período de validez previsto de la clave, el número de claves utilizadas en el CIPF, la organización de su sustitución, el tipo de portador de claves, etc.;
según el avance esperado de la obra — información sobre el procedimiento planificado para la realización del trabajo, incluidas las pruebas de certificación del sistema de protección de información criptográfica, indicando las etapas del trabajo de desarrollo en las que se debe realizar el trabajo planificado.

Además, se recomienda incluir la siguiente información en las especificaciones técnicas o especificaciones técnicas de I+D:

sobre el cliente CIPF: para una entidad jurídica — nombre de la persona jurídica indicando el número de licencia FAPSI y su período de vigencia, dirección de la persona jurídica y número de teléfono; para empresario individual — apellido, nombre, patronímico, datos del documento de identidad, número de licencia FAPSI y su período de validez, dirección del empresario individual y número de teléfono;
sobre el ámbito de aplicación previsto de la muestra CIPF creada (actualizada): el sistema de comunicación en el que se planea utilizar la muestra CIPF creada (actualizada), sus principales características técnicas, así como el tipo de información protegida (voz, datos , etc.) está indicado. Al actualizar un CIPF, también se proporciona el nombre completo y el índice de una muestra de CIPF producida o desarrollada en serie;
sobre el desarrollador y fabricante propuesto de las muestras de protección de información criptográfica creadas (actualizadas): información sobre el desarrollador propuesto (nombre de la entidad legal, su dirección, número de teléfono) y el co-desarrollador (si corresponde) , así como al fabricante de la información de protección de información criptográfica, con indicación de los números de licencia, se les proporciona FAPSI y sus períodos de validez;
sobre el volumen planificado de producción de muestras de protección de información criptográfica creadas (actualizadas): se indica el número de muestras de seguridad de información criptográfica creadas (actualizadas) planificadas para su lanzamiento;
sobre el costo planificado de una única muestra creada (actualizada) de CIPF: se proporcionan datos sobre el costo planificado de una sola muestra de CIPF al organizar la producción en serie;
sobre la venta de muestras creadas (actualizadas) de información de protección de información criptográfica: se indica una lista de entidades legales y empresarios individuales con la ayuda de los cuales se planea vender muestras creadas (actualizadas) de información de seguridad de información criptográfica, indicando la licencia FAPSI números y sus períodos de validez;
sobre el mantenimiento del servicio de CIPF: se indica una lista de personas jurídicas y empresarios individuales con cuya ayuda se planea llevar a cabo el mantenimiento del servicio (técnico) de las muestras creadas (actualizadas) de CIPF en el proceso de su utilización, indicando los números de licencia FAPSI y sus períodos de validez;
sobre propuestas para la interfaz con sistemas confidenciales gubernamentales: se dan si es necesario organizar el intercambio de información confidencial con organismos gubernamentales, organizaciones gubernamentales y (u) organizaciones, independientemente de su forma legal y forma de propiedad, que lleven a cabo órdenes de defensa gubernamental.

18. Requisitos para CIPF (nivel especificado de protección criptográfica de información confidencial o el propósito de la protección criptográfica de información confidencial, requisitos de hardware, firmware y software de una red (sistema) confidencial, junto con los cuales se pretende utilizar un nuevo tipo de CIPF que se está creando o una muestra existente mejorada, los requisitos para el sistema CIPF clave, etc.) se pueden redactar en una especificación técnica especial (ST), que es una parte integral de la especificación técnica general o la especificación técnica para llevar a cabo el desarrollo. trabajar.

19. El cliente envía el CIPF para su consideración a FAPSI para la consideración de especificaciones técnicas o especificaciones técnicas para la realización de trabajos de desarrollo. FAPSI, dentro de los dos meses a partir de la fecha de recepción de los documentos, está obligada a acordar el TTZ o TOR o dar una negativa motivada indicando una muestra específica del CIPF recomendada al cliente del CIPF para su uso o modernización.

La aprobación por escrito de FAPSI TTZ o TOR para realizar I+D es la base para llevar a cabo I+D.

20. El TTZ o TOR para la realización de I+D, acordado con FAPSI, es aprobado por el cliente del CIPF. El cliente del CIPF envía a FAPSI una copia del TTZ o TOR aprobado para la realización de I+D.

Por decisión del cliente, la I+D de CIPF se puede combinar con la I+D asignando trabajos de investigación y desarrollo (I+D). El procedimiento de asignación de I+D es similar al procedimiento de asignación de I+D.

21. Al desarrollar CIPF, se deben utilizar algoritmos criptográficos recomendados por FAPSI, es decir, definidos por estándares estatales o desarrollados (acordados) por FAPSI.

22. La composición del hardware, firmware y software de la red (sistema) confidencial, junto con los cuales se espera el normal funcionamiento del nuevo tipo que se crea o de la muestra actual del sistema de protección de información criptográfica que se crea, afectando el cumplimiento de Los requisitos especificados para el sistema de protección de información criptográfica son determinados por el desarrollador del sistema de protección de información criptográfica y se acuerdan con el cliente del sistema de protección de información criptográfica, el laboratorio de pruebas de certificación (centro) y FAPSI.

La evaluación del impacto del hardware, firmware y software de la red (sistema) confidencial, junto con el cual se supone que funciona normalmente el sistema de protección de información criptográfica, en el cumplimiento de los requisitos especificados para ellos, la lleva a cabo el sistema de protección de información criptográfica. desarrollador de sistemas junto con un laboratorio de pruebas de certificación (centro).

23. Los prototipos de CIPF y el hardware, firmware y software necesarios para el funcionamiento normal de CIPF se transfieren a FAPSI para realizar un examen de los resultados de las comprobaciones de cumplimiento de los requisitos de seguridad de la información confidencial. Su uso posterior lo determina el cliente del CIPF.

24. Las reglas para usar un nuevo tipo de CIPF que se está creando o un modelo existente que se está modernizando son desarrolladas por el desarrollador de CIPF y acordadas con FAPSI. El desarrollador del sistema de protección de información criptográfica hace la entrada correspondiente sobre el acuerdo con FAPSI en la última página de las reglas para el uso de protección de información criptográfica. Por ejemplo: «C FAPSI acordó (carta N 123 del 21 de noviembre de 1998)».

25. Al desarrollar un CIPF, se crea un prototipo de CIPF y la documentación de diseño de trabajo (DDC) para él de acuerdo con las especificaciones o las especificaciones técnicas del cliente de CIPF.

26. La documentación de diseño del dispositivo de protección de información criptográfica se transfiere a producción si las pruebas de certificación del prototipo de herramienta de protección de información criptográfica son positivas, el certificado FAPSI está disponible y las reglas para el uso de la información de protección de información criptográfica se acuerdan con la FAPSI.

III. El procedimiento para la producción de protección de información criptográfica

27. La producción de CIPF se lleva a cabo en presencia de reglas de uso acordadas con FAPSI y prototipos que hayan superado con éxito las pruebas de certificación y tengan un certificado FAPSI.

28. La producción del CIPF se realiza de acuerdo con las condiciones técnicas acordadas con FAPSI y el laboratorio de pruebas de certificación (centro) que realizó las pruebas de certificación del prototipo del CIPF.

29. Los CIPF se fabrican en total conformidad con la tecnología de diseño y fabricación de prototipos de CIPF que han pasado las pruebas de certificación y han recibido un certificado FAPSI.

30. Todos los cambios en el diseño y la tecnología de fabricación de los dispositivos de protección de información criptográfica deben ser acordados por el fabricante del dispositivo de protección de información criptográfica con el laboratorio de pruebas de certificación (centro) que realizó las pruebas de certificación y con la FAPSI. La coordinación de los cambios en el diseño y la tecnología de fabricación del dispositivo de protección de información criptográfica se lleva a cabo presentando al fabricante del dispositivo de protección de información criptográfica al laboratorio de pruebas de certificación (centro) y a la lista justificada de cambios propuestos por FAPSI.

IV. El procedimiento para la implementación (distribución) de CIPF

31. Los CIPF se implementan (distribuyen) junto con las reglas para su uso, acordadas con FAPSI.

32. La venta (distribución) de CIPF y (o) RCD sobre ellos la realiza una persona sobre la base de una licencia FAPSI adecuada.

Los operadores de telecomunicaciones que prestan servicios de comunicaciones confidenciales utilizando CIPF sobre la base de una licencia FAPSI (en adelante, operadores de comunicaciones confidenciales) pueden vender (distribuir) CIPF a suscriptores de sus redes de comunicaciones confidenciales sin que estos últimos obtengan una licencia FAPSI.

33. La persona que vende CIPF y (o) RKD sobre ellos notifica a FAPSI por escrito sobre esto, indicando los detalles de las contrapartes en virtud del contrato.

34. La adquisición de RKD en CIPF (incluida la replicación del software CIPF) la llevan a cabo personas jurídicas que son desarrolladores y (o) fabricantes de CIPF.

V. Procedimiento para utilizar CIPF

35. Los CIPF se utilizan de acuerdo con las normas para su uso. Todos los cambios en las condiciones de uso de CIPF especificadas en las reglas para su uso deben ser acordados por FAPSI y el laboratorio (centro) de pruebas de certificación que realizó las pruebas de certificación.

36. El uso de CIPF es realizado por personas autorizadas por FAPSI.

37. Las personas que no tengan una licencia FAPSI podrán recibir servicios de protección criptográfica de su información confidencial utilizando CIPF por parte de personas que posean licencias FAPSI sobre la base de un acuerdo apropiado.

38. El operador de comunicaciones confidenciales y (o) FAPSI lleva a cabo el seguimiento del cumplimiento de las reglas de uso de CIPF y las condiciones para su uso especificadas en el certificado FAPSI.

39. El mantenimiento, la reparación y la destrucción (eliminación) de CIPF después de la garantía son realizados por personas que tienen la licencia FAPSI correspondiente.

40. La persona que destruyó el sistema de seguridad de la información criptográfica notifica a FAPSI enviándole un acta de destrucción de la información de seguridad de la información criptográfica.

41. Sobre la pérdida de la protección de la información criptográfica, así como otras circunstancias en las que se desconocen las condiciones para el uso de la protección de la información criptográfica, las personas que utilizan la información de protección de la información criptográfica notifican a FAPSI dentro de los tres días.

42. Los documentos clave utilizados en CIPF, o la información clave inicial para el desarrollo de documentos clave, son preparados por FAPSI o personas que poseen la licencia FAPSI correspondiente.

La producción de documentos clave o información clave inicial para el desarrollo de documentos clave por parte de personas titulares de la licencia FAPSI adecuada debe realizarse con medios técnicos certificados por FAPSI.

43. CIPF y sus prototipos están sujetos a registro de copia por instancia utilizando índices o nombres convencionales y números de registro. La lista de índices (nombres convencionales) y números de registro de cada ejemplar del CIPF y sus prototipos la determina la FAPSI.

La unidad de contabilidad de copias para los CIPF y sus prototipos es:

para los CIPF de hardware y software-hardware y sus prototipos — dispositivo técnico estructuralmente completo;
para el software CIPF y sus prototipos — disquete de instalación o disco compacto (CD-ROM).

44. La organización del registro copia por copia de los prototipos de CIPF es responsabilidad del desarrollador de CIPF.

La organización de la contabilidad copia por instancia del CIPF fabricado se confía al fabricante del CIPF.

La organización del registro copia por copia del CIPF utilizado se confía al operador de comunicaciones confidenciales y (o) a una persona que tenga una licencia FAPSI y utilice el CIPF.

La organización de la contabilidad centralizada (cuantitativa) copia por instancia de los prototipos de CIPF, así como de los CIPF certificados fabricados y usados, la lleva a cabo FAPSI.

45. El desarrollador de CIPF, en la etapa de desarrollo de la documentación de diseño para un prototipo de CIPF, envía una solicitud a FAPSI para la asignación de un índice (nombre convencional) y el número requerido de números de registro por copia del prototipo de CIPF fabricado, indicando el tipo. del prototipo CIPF y el volumen previsto de su producción (Apéndice 1).

El fabricante de CIPF, a más tardar un trimestre antes del inicio de la producción en serie de CIPF, envía una solicitud a FAPSI para la asignación de índices (nombres convencionales) y el número requerido de números de registro por copia del CIPF fabricado, indicando el tipo. de CIPF y el volumen previsto de su producción.

46. FAPSI, dentro de un mes a partir de la fecha de recepción de la solicitud, informa al solicitante (desarrollador de prototipos de CIPF o fabricante de CIPF) un índice (nombre del símbolo) y una lista de números de registro de CIPF fabricados (prototipos desarrollados del CIPF).

47. El número de registro se aplica en el cuerpo de la unidad de registro para cada copia del CIPF fabricado (el prototipo del CIPF en desarrollo).

La ubicación de la marca debe brindar la posibilidad de su revisión visual, y el método de marcación — su seguridad desde el momento de la aplicación hasta el final del plazo de uso del dispositivo de protección de información criptográfica (un prototipo del dispositivo de protección de información criptográfica).

48. El fabricante (desarrollador) del CIPF (prototipos del CIPF), la persona que implementa el CIPF, lleva a cabo el registro copia por copia del CIPF emitido (muestras de preproducción del CIPF) en la copia por- Copiar el libro de registro del CIPF (muestras de prototipos del CIPF) indicando las direcciones de las personas titulares de licencias FAPSI a quienes se les ha vendido el CIPF (prototipos de CIPF), y anualmente, antes del 31 de marzo, envía a la FAPSI la información del año pasado. sobre la producción y venta de CIPF (prototipos de CIPF) en la forma prescrita (Apéndice 2).

Los operadores de comunicaciones confidenciales y las personas titulares de licencias FAPSI y que utilizan información de protección de información criptográfica llevan a cabo una contabilidad copia por copia de la información criptográfica y de la que utilizan o almacenan ellos y los suscriptores de sus redes de comunicaciones confidenciales, en un libro de contabilidad CIPF copia por copia y anualmente antes del 31 de marzo envían a FAPSI información del año pasado sobre la nomenclatura y cantidad de CIPF disponibles en la forma prescrita.

49. El control sobre el orden de registro de copia por instancia de CIPF (prototipos de CIPF) lo lleva a cabo FAPSI.