Правила разработки, продажи и использования средств криптографии в КНР определены Положением «О коммерческих криптографических средствах» (Постановление Государственного совета КНР № 273), принятым в 1999 г. В соответствии с данным положением разработка, производство и импорт средств коммерческой криптографии требуют разрешения компетентных органов (Государственного управления по делам криптографии или управления по делам криптографии при местном правительстве). Для реализации средств криптографии организации необходимо получить в компетентных органах специальную лицензию.
Средства коммерческой криптографии в соответствии с определением, приведенном в Положении – криптографические технологии и криптографические продукты, используемые в целях криптографической защиты и сертификации безопасности информации, которая не содержит государственную тайну. КНР осуществляет специальное регулирование разработки, производства, реализации и использования средств коммерческой криптографии, но при этом не относит коммерческие криптографические технологии к государственной тайне.
Разработка и производство средств коммерческой криптографии
В соответствии с Положением разработка и производство средств коммерческой криптографии осуществляется организациями, уполномоченными Государственным управлением по делам криптографии. Организации, которые получили разрешение на разработку средств коммерческой криптографии, должны обладать соответствующими техническими возможностями и оборудованием, а также способностью использовать передовые технологии шифрования. Китайские организации и физические лица не вправе создавать собственные средства коммерческой криптографии.
Разрабатываемые коммерческие криптографические алгоритмы должны обеспечивать высокий уровень защиты конфиденциальности информации и иметь высокую криптографическую стойкость. Государственное управление по делам криптографии обязано проводить экспертизу результатов разработки средств коммерческой криптографии в соответствии с техническими стандартами и спецификациями.
Организации, уполномоченные на производство коммерческих криптографических товаров, обязаны обладать соответствующими техническими возможностями по производству коммерческих криптографических продуктов, а также оборудованием, технологиями производства и системой сертификации качества, обеспечивающими качество криптографической продукции. Перечень разрешенных к изготовлению криптографических товаров должен быть утвержден Государственным управлением по делам криптографии.
Законодательство КНР запрещает производство криптографических товаров без соответствующего разрешения Государственного управления по делам криптографии или в превышение утвержденного списка.
Продажа средств коммерческой криптографии
Продажа средств коммерческой криптографии разрешена только при наличии у организации лицензии на реализацию коммерческих криптографических товаров. В соответствии с Положением получить лицензию может организация, которая соответствует следующим требованиям: а) наличие достаточного количества сотрудников, обладающих знаниями в области коммерческой криптографии и ответственных за послепродажное обслуживание; б) наличие полноценной системы управления продажами и обеспечения безопасности; в) статус юридического лица.
При продаже средств коммерческой криптографии организация обязана регистрировать сведения о пользователе и направлять их в соответствующие государственные органы. К сведениям о пользователях относятся: а) для организаций – наименование, место нахождения, номер кода организации; б) для физических лиц – имя и фамилия, место жительства, номер удостоверения личности. Кроме того, в регистрационных данных указывается назначение реализованного средства коммерческой криптографии.
Импорт криптографических продуктов и оборудования с криптографической составляющей и экспорт коммерческих криптографических продуктов осуществляется с разрешения Государственного управления по делам криптографии. Реализация иностранных криптографических продуктов организациями и физическими лицами запрещена.
Использование средств коммерческой криптографии
Организации и физические лица вправе использовать только те коммерческие криптографические товары, которые были удостоверены Государственным управлением по делам криптографии. Китайские организации и физические лица не могут использовать иностранные средства коммерческой криптографии или средства коммерческой криптографии собственной разработки.
Пользователи средств коммерческой криптографии не вправе передавать используемые ими средства другим лицам. В соответствии с Положением при неисправности средства коммерческой криптографии и необходимости ремонта (обновления) пользователь обязан обратиться в организацию, которая вправе оказывать данный вид услуг (обладает разрешением, полученным от соответствующих органов), а при уничтожении средств коммерческой криптографии пользователь обязан уведомить соответствующий орган регулирования в сфере криптографии.
Иностранные организации и физические лица могут использовать в КНР средства коммерческой криптографии при условии получения разрешения от соответствующих органов регулирования в сфере криптографии. Данное разрешение необходимо предъявить при приобретении любого средства криптографии у китайского поставщика. Если иностранная организация планирует использовать импортные средства криптографии, то она обязана получить лицензию на импорт средств коммерческой криптографии (данная лицензия необходима для таможенного оформления при ввозе средств коммерческой криптографии на территорию КНР).
Юридическая ответственность
В случае самостоятельного производства, реализации или импорта средств коммерческой криптографии без необходимых лицензий и разрешений органы государственного регулирования обязаны конфисковать незаконные средства криптографии и незаконно полученный доход (при наличии). При наличии отягчающих обстоятельств правонарушитель обязан уплатить штраф, который может составлять от 100% до 500% от незаконно полученного дохода.
Если организация, получившая разрешение на производство средств коммерческой криптографии, занимается изготовлением средств коммерческой криптографии, которые не были включены в утвержденный перечень, то Государственное управление по делам криптографии аннулирует ранее выданное разрешение на производство, а также другие виды разрешений и лицензии, выданные данной организации.
В случае раскрытия тайны коммерческой криптографической технологии, незаконного взлома коммерческих криптографических средств или использования коммерческих криптографических средств в деятельности, наносящей вред государственной безопасности и интересам, при наличии отягчающих обстоятельств и состава преступления виновное лицо в соответствии с законодательством привлекается к уголовной ответственности.
