Основные виды деятельности лицензируемые ФСТЭК России

Основные виды деятельности, лицензируемые ФСТЭК России

В соответствии с Указом Президента Российской Федерации от 16.08.2004 № 1085 «Положение о Федеральной службы по техническому контролю» на ФСТЭК России возложены задачи по реализации государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

— обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере;

— противодействия иностранным техническим разведкам на территории Российской Федерации;

— обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;

— осуществления экспортного контроля.

Какие же виды деятельности подлежат лицензированию ФСТЭК России?

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части противодействия иностранным техническим разведкам).

Эта лицензия будет необходима организациям (предприятиям), выполняющим работы (составные части работ, НИРы, ОКРы, НИОКРы) с образцами вооружения и военной техники, имеющими охраняемые параметры. В данной лицензии указываются конкретные виды разведок, противодействие которым будет осуществляться самостоятельно организацией (предприятием), а также могут быть указаны отдельно виды разведок, по противодействию которым организация-соискатель может оказывать услуги сторонним организациям.

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части технической защиты информации).

Эта лицензия понадобится организациям, профессионально занимающимся технической защитой информации (имеется в виду защита информации, составляющей государственную тайну). Виды работ предусмотренные данной лицензией разнообразны. Это и сертификация и сертификационные испытания (технических средств защиты информации; защищенных технических средств обработки информации; технических средств контроля защищенности информации; защищенных программных (программно-технических) средств контроля обработки информации) и контроль защищенности информации, составляющей государственную тайну и аттестация средств и систем на соответствие требованиям по безопасности информации (автоматизированных систем различного уровня и назначения; систем связи, приема, обработки и передачи данных; систем отображения и размножения; технических средств (систем), не обрабатывающих информацию, составляющую государственную тайну, но размещенных в помещениях, где она обрабатывается; помещений со средствами (системами), подлежащими защите; помещений, предназначенных для ведения секретных переговоров) и проведение специсследований на побочные электромагнитные излучения и наводки технических средств обработки информации и проектирование объектов в защищенном исполнении. Организация соискатель лицензии вправе выбирать как полный комплект видов деятельности, так и отдельные виды в соответствии со своим профессиональным предназначением.

  1. Проведение работ, связанных с созданием средств защиты информации. Также как и предыдущая лицензия понадобится организациям, профессионально занимающимся технической защитой информации, поэтому эти две лицензии обычно получаются одновременно. Так же как и в предыдущей есть возможность выбора необходимых видов деятельности (разработка, установка, монтаж, испытания, наладка, сервисное обслуживание технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля защищенности информации, защищенных программных (программно-технических) средств контроля обработки информации.

Необходимо отметить, что для выполнения полного комплекта работ по аттестации объектов информатизации, включая выдачу конечного разрешительного документа – аттестата соответствия на объект информатизации, организации необходимо получить дополнительно к двум предыдущим лицензиям еще один разрешительный документ ФСТЭК России – аттестат аккредитации органа по аттестации в системе сертификации средств защиты информации № РОСС RU.0001.01БИ00. Аттестат аккредитации, кстати говоря, выдается на срок до 3 лет, в отличии от лицензий, которые выдаются на срок до 5 лет.

  1. На деятельность по технической защите конфиденциальной информации. Виды деятельности почти аналогичны видам деятельности лицензии по п.2, только касаются защиты конфиденциальной информации, а не информации, содержащей сведения, составляющей государственную тайну.
  2. На деятельность по разработке, производству средств защиты конфиденциальной информации. Виды деятельности похожи на указанные в п.3 только в части защиты именно конфиденциальной информации.

Лицензии по п.4 и п.5 получаются, как правило, одновременно, так как они «дополняют» друг друга. Эти лицензии бессрочны и получаются один раз. Наличие данных лицензий дает право организации выполнения полного комплекта работ по технической защите конфиденциальной информации (без аттестата аккредитации органа по аттестации).

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны в части проведения специальных экспертиз организаций соискателей лицензий ФСТЭК России. Лицензия достаточно редко встречаемая, выдается организациям, наделенным полномочиями ФСТЭК России в части проведения специальных экспертиз, т.н. аттестационным центрам.

Считаем важным отметить, что вышеперечисленные лицензии ФСТЭК России по п.п.1,2,3,6 могут быть получены после выполнения определенных лицензионных требований, первым из которых является наличие у организации-соискателя действующей лицензии ФСБ России на осуществление работ, связанных с использованием сведений, составляющими государственную тайну. Окончание срока действия данной лицензии (приостановление действия, аннулирование) автоматически останавливает сроки действия разрешительных документов ФСТЭК России.

Остальными лицензионными требованиями являются:

готовность к осуществлению лицензируемой деятельности специалистами, имеющими высшее профессиональное образование в области защиты информации, либо специалистами, имеющими высшее или среднее профессиональное (техническое) образование и прошедшими переподготовку или повышение квалификации по вопросам технической защиты информации. Квалификация специалистов проверяется по документам о высшем (среднем) профессиональном (техническом) образовании, переподготовке или повышении квалификации по соответствующим вопросам технической защиты информации и (или) противодействия иностранным техническим разведкам (дипломам, удостоверениям, свидетельствам).

Уровень подготовки специалистов определяется на основании проверки знания нормативных правовых актов Российской Федерации, нормативных и методических документов ФСТЭК России, регламентирующих проведение конкретных работ, связанных с созданием средств защиты информации, осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны (в части технической защиты информации и (или) противодействия иностранным техническим разведкам), а также проверки практических навыков эксплуатации производственного, испытательного, контрольно-измерительного оборудования, средств защиты и средств контроля защищенности информации.

наличие нормативных правовых актов, национальных стандартов, нормативных и методических документов, необходимых для обеспечения выполнения работ, осуществления мероприятий и (или) оказания услуг по заявленному виду деятельности;

наличие производственного, испытательного и контрольно-измерительного оборудования, средств контроля защищенности информации, средств защиты информации, необходимых для выполнения работ, осуществления мероприятий и (или) оказания услуг по заявленному виду деятельности;

Читайте также:  Тест Промежуточная аттестация по географии 9 класс за 2019 2020 учебный год тестирование

соответствие контрольно-измерительного и испытательного оборудования, средств контроля защищенности информации и средств защиты информации требованиям законодательства Российской Федерации о государственной тайне, о техническом регулировании и в области обеспечения единства измерений. Наличие производственного, испытательного и контрольно-измерительного оборудования, средств защиты и средств контроля защищённости информации, средств разработки средств защиты информации проверяется с учётом указанных в заявлении конкретных работ, связанных с созданием средств защиты информации, мероприятий и (или) услуг по защите государственной тайны (в части технической защиты информации и (или) противодействия иностранным техническим разведкам), а также возможности выполнения требований по организации содержания, обслуживания и поверки данного оборудования. Производственное и контрольно-измерительное оборудование, средства контроля защищённости информации должны в полном объёме обеспечивать проведение измерений параметров технических средств и контроля технических каналов утечки информации в соответствии с действующими методическими документами и национальными стандартами.

Помещения, предназначенные для проведения специальных
исследований (сертификационных испытаний) технических средств должны соответствовать требованиям нормативных правовых актов, соответствующих нормативных и методических документов.

наличие аттестованных по требованиям безопасности информации объектов информатизации, предназначенных для обработки, передачи и хранения информации, содержащей сведения, составляющую государственную тайну, помещений для ведения секретных переговоров;

наличие документов, подтверждающих право собственности или иное законное основание на владение и использование имущества, необходимого для осуществления заявленного вида деятельности.

Организация лицензирования, порядок проведения специальных экспертиз для получения лицензий ФСТЭК России (имеются в ввиду лицензии, связанные со сведениями, составляющими государственную тайну), также как и в ФСБ России регламентированы постановлением Правительства Российской Федерации от 15.04.1995 № 333 «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и(или) оказанием услуг по защите государственной тайны» и существенно друг от друга не отличается.

Отличие состоит в том, что территориальные управления ФСБ России являются лицензирующим органом, а территориальные управления ФСТЭК России не являются. Соответственно направлять заявление на получение лицензий ФСТЭК России, а в дальнейшем и получать лицензии придется в Центральном аппарате ФСТЭК России в
г. Москва. Специальные экспертизы могут быть проведены по поручению ФСТЭК России территориальными управлениями (бесплатно) или аттестационными центрами (за деньги) или же самим Центральным аппаратом ФСТЭК России (большая редкость).

В случае проведения специальной экспертизы аттестационным центром, материалы ее сначала попадут для проверки и оформления лицензионного дела в территориальное управление ФСТЭК России.

Существующими Инструкциями и Методическими рекомендациями по порядку проведения специальных экспертиз ФСТЭК России определены временные рамки прохождения отдельных этапов лицензирования:

решение ФСТЭК России о проведении специальной экспертизы – 5 дней со дня получения заявления соискателя лицензии;

формирование экспертной комиссии территориальным управлением – 5 дней со дня получения поручения Центрального аппарата ФСТЭК России;

оформление заключения территориальным управлением – 5 дней со дня получения материалов от аттестационного центра;

оформление бланка лицензии Центральным аппаратом ФСТЭК России (или отказ в выдачи лицензии) – 5 дней со дня получения лицензионного дела от территориального управления.

Общий срок от поступления заявления до получения лицензии не должен превышать 60 дней. В зависимости от сложности и объема подлежащих экспертизе материалов срок может быть продлен еще до 30 дней (п. 6 ПП РФ № 333).

Процесс получения лицензий ФСТЭК России на деятельность по технической защите конфиденциальной информации и на разработку и производство средств защиты конфиденциальной информации иной. Регламентирован он:

Федеральным Законом от 4.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности»;

Постановлением Правительства РФ от 03.02.2012 № 79 «О лицензировании деятельности по технической защите конфиденциальной информации»;

Постановление Правительства РФ от 03.03.2012 № 171 «О лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации»;
и вышедших на основе указанных постановлений Правительства РФ приказов ФСТЭК России от 12.07.2012 № 83 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по лицензированию деятельности по технической защите конфиденциальной информации» и от 12.07.2012 № 84 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по лицензированию деятельности по разработке и производству средств защиты конфиденциальной информации».

В данном случае принятие решения о предоставлении лицензий (отказе в предоставлении лицензий) принимается без проведения специальных экспертиз, а по результатам документального рассмотрения полноты и качества представленных соискателем документов (приложений к заявлению – весь исчерпывающий перечень приложений – в вышеуказанных Административных регламентах ФСТЭК России).

Источник



Лицензия фстэк для аттестации испдн

Об актуальных изменениях в КС узнаете, став участником программы, разработанной совместно с АО «Сбербанк-АСТ». Слушателям, успешно освоившим программу выдаются удостоверения установленного образца.

Программа разработана совместно с АО «Сбербанк-АСТ». Слушателям, успешно освоившим программу, выдаются удостоверения установленного образца.

Обзор документа

Информационное сообщение Федеральной службы по техническому и экспортному контролю от 31 июля 2018 г. № 240/13/3330 «О необходимости получения лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации в случаях, связанных с обработкой персональных данных»

В ФСТЭК России поступают обращения от организаций и физических лиц по вопросу о необходимости получения лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации в случаях, связанных с обработкой персональных данных.

ФСТЭК России информирует, что в соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ "О лицензировании отдельных видов деятельности" и Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" обработка персональных данных не является лицензируемым видом деятельности.

Вместе с тем в соответствии с частью 1 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных.

В пункте 3 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, установлено, что безопасность персональных данных при их обработке в информационный системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключенного с этим лицом договора. Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

Читайте также:  6 Специальное обучение поверителей

Оператору не требуется получать лицензию на деятельность по технической защите конфиденциальной информации при обработке персональных данных в информационной системе персональных данных для собственных нужд.

Оператору необходимо иметь указанную лицензию при оказании другому оператору услуг по обработке персональных данных по его поручению в собственной информационной системе персональных данных на основании заключенного между ними договора при наличии в таком договоре хотя бы одной из услуг, предусмотренных в пункте 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79:

1. Услуги по контролю защищенности конфиденциальной информации от утечки по техническим каналам:

в средствах и системах информатизации;

в технических средствах (системах), не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается;

в помещениях со средствами (системами), подлежащими защите;

в помещениях, предназначенных для ведения конфиденциальных переговоров (далее — защищаемые помещения).

2. Услуги по контролю защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации.

3. Услуги по мониторингу информационной безопасности средств и систем информатизации.

4. Услуги по аттестационным испытаниям и аттестации на соответствие требованиям по защите информации:

средств и систем информатизации;

помещений со средствами (системами) информатизации, подлежащими защите;

5. Услуги по проектированию в защищенном исполнении:

средств и систем информатизации;

помещений со средствами (системами) информатизации, подлежащими защите;

6. Услуги по установке, монтажу, наладке, испытаниям, ремонту средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля эффективности защиты информации).

Одновременно сообщаем, что согласно пункту 17 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, контроль за их выполнением организуется и проводится оператором (уполномоченным лицом) самостоятельно и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанный контроль проводится не реже 1 раза в 3 года в сроки, определяемые оператором (уполномоченным лицом).

Исполняющий
обязанности начальника
1 управления ФСТЭК России		 О. Кузнеченков

Обзор документа

Обработка персональных данных не является лицензируемым видом деятельности.

Однако оператор обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных.

Оператору не требуется получать лицензию на деятельность по технической защите конфиденциальной информации в ИС персональных данных для собственных нужд.

Оператору необходимо иметь указанную лицензию при оказании другому оператору услуг по обработке персональных данных по его поручению в собственной ИС на основании заключенного между ними договора при наличии в нем хотя бы одной из услуг, предусмотренных Положением о лицензировании деятельности по технической защите конфиденциальной информации.

Разъяснен порядок контроля за выполнением требований к защите персональных данных при их обработке в ИС.

Источник

Как получить лицензию ФСТЭК?

Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности» обязывает организации получать лицензию ФСТЭК России на оказание услуг в области технической защиты конфиденциальной информации. Для этого необходимо подготовить обширный пакет документов и выполнить ряд требований. Что следует принять во внимание, чтобы лицензирование прошло максимально безболезненно и эффективно?

Какие документы требуются для получения лицензии ФСТЭК?

Процесс лицензирования подробно описан в Постановлении Правительства РФ от 03.02.2012 № 79 «О лицензировании деятельности по технической защите конфиденциальной информации». В документе детально указано, какие документы в каком виде и порядке требуется представлять лицензирующему органу (ЛО).

На бумаге все выглядит достаточно просто.

  1. Юридическое лицо подает полностью сформированное заявление в соответствии с требованиями Постановления № 79.
  2. В течение трех дней лицензирующий орган должен его рассмотреть и сообщить, какие ошибки есть в заявлении или каких документов не хватает. Если у ЛО есть замечания, то заявитель должен в течение 30 дней устранить недоработки.
  3. Если заявление оформлено верно, то в течение пяти дней начиная со дня принятия заявления ЛО проводит проверку полноты дополняющих заявление документов, а это обычно примерно 200–300 страниц.
  4. При недостатке в дополняющих документах ЛО отказывает организации в приеме заявления до устранения нарушений. На это у юридического лица есть те же 30 дней.
  5. Признав пакет документов полным, ЛО должен в течение 45 рабочих дней принять решение о выдаче лицензии либо об аргументированном отказе в ее выдаче.

Однако в реальности все сложнее. Лицензирующий орган один на всю страну, и находится он в Москве, рассмотрением заявлений занимаются несколько человек, а число организаций, желающих получить лицензию, растет с каждым годом. По телефону задавать вопросы можно, для этого дается два часа два раза в неделю, не более пяти минут на один сеанс связи, много выяснить не получится. Все это означает, что в считанные дни и даже недели провести лицензирование практически невозможно, особенно если есть недопонимания в правилах лицензирования или затруднения с выполнением хотя бы одного из требований. Кроме того, по некоторым видам услуг один только перечень правовых актов, которые должны быть приложены к заявлению, может состоять из 15 страниц.

К заявлению на получение лицензии необходимо приложить:

  • документы на автоматизированные системы, на защищаемое помещение, на право законного владения помещением, оборудованием, программным обеспечением либо о том, что они взяты в аренду (с подтверждением факта передачи);
  • документы на допуски к тайне (к конфиденциальной информации, доступ к которой ограничен);
  • копии трудовых книжек, договоров подряда, документов об образовании сотрудников соискателя лицензии;
  • документы на правообладание оборудованием, на поверочные работы, подтверждающие факт правильной работоспособности этого оборудования, на ПО, и т.д.;
  • сведения о нормативных документах, необходимых для осуществления деятельности по защите информации;
  • описание технологического процесса обработки конфиденциальной информации по установленной форме.
Читайте также:  Аттестация сварочного производства и процедуры

Те, кто впервые получает лицензию, должны представить нотариально заверенные учредительные документы организации.

Камни преткновения

Во время работ по лицензированию организации сталкиваются с тремя основными сложностями:

  1. Оборудование. Для выполнения работ и оказания услуг по аттестации защищаемых помещений и автоматизированных систем необходимо закупить (иметь в собственности или на любом ином законном основании) оборудование. Стоимость комплекта варьируется, но составляет около миллиона рублей. И если начать работы по лицензированию с покупки оборудования, то к моменту подачи заявления может оказаться так, что его придется заново поверять (сертификаты о поверке действительны один год). Можно попытаться сэкономить и взять оборудование в аренду, но она должна быть специальным образом оформлена. Требуется периодически подтверждать владение оборудованием, заключать дополнительные соглашения к договорам аренды о том, что оборудование находится именно у арендатора. Минус варианта с арендой в том, что он снижает шансы на получение лицензии — велика вероятность оформить отношения неверно и получить отказ.
  2. Аренда помещений. Если соискатель лицензии арендует помещение у субарендатора, то необходимо представлять всю цепочку документов вплоть до владельца помещения. Также необходимо следить за тем, чтобы фактические номера помещений совпадали с кадастровыми, чтобы помещения однозначно идентифицировались исходя из одних лишь документов.
  3. Кадровая документация. У сотрудников должны быть дипломы о высшем профессиональном образовании в области технической защиты информации и стаж более трех лет либо диплом о высшем образовании с курсов переподготовки / о высшем техническом образовании и стаж более пяти лет. Сотрудников должно быть не менее трех, и они должны быть трудоустроены у соискателя по основному месту работы.

Комплекс услуг по подготовке организаций к лицензированию ФСТЭК

Лайфхак по успешному лицензированию

Для того чтобы получить лицензию, а затем успешно проходить в случае необходимости плановые проверки ФСТЭК на соблюдение требований, предлагаем учесть ряд моментов:

  1. Оборудование (если оно необходимо для выбранного вами вида деятельности) лучше покупать, а не брать в аренду.
  2. Постоянно следить за изменениями в законодательной базе и поддерживать документацию в актуальном состоянии, в том числе периодически обновлять и докупать ГОСТы (информация об этом не является тайной, официальный сайт ФСТЭК России открыт для всех).
  3. Своевременно обновлять антивирусное ПО и лицензии на контрольно-измерительное программное обеспечение и оборудование.
  4. Вовремя проводить переаттестацию помещений и автоматизированных систем, поскольку аттестаты действительны максимум три года.

Первичное получение лицензии и плановая проверка: отличия

Когда соискатель впервые получает лицензию, то связь с лицензирующим органом дистанционная: стороны обмениваются документами и общаются по телефону. Никаких личных визитов контролирующие органы соискателю не наносят.

Плановая проверка может проводиться через три года после получения лицензии. В этом случае представители ФСТЭК изучают, существуют ли в реальности кадры, помещения, оборудование и ПО, которые были заявлены при получении лицензии. В том числе проводится оценка знаний и компетенций кадров, заявленных в документах на получение лицензии. Проверяющие могут запросить перечень аттестатов, которые выдала аттестующая организация (в случае если такой виде деятельности есть в лицензии), а также перечень клиентов, которым выданы эти аттестаты. Таким образом контролирующие органы удостоверяются, действительно ли аттестующая организация оказала эти услуги и насколько они качественные.

Возможна также внеплановая проверка, которая проводится в любое время по заявлению граждан, юридических лиц, прокуратуры или по решению суда.

Работы по лицензированию: цена вопроса

С 1 января 2015 года госпошлина за первичное получение лицензии ФСТЭК на деятельность по технической защите конфиденциальной информации составляет 7 500 рублей, за продление — 3 500 рублей. Это неизбежные расходы и наименее затратная часть работ.

В соответствии с требованиями регламента по лицензированию необходимо провести аттестации и разработку документов по аттестации защищаемого помещения и автоматизированной системы обработки конфиденциальной информации. Эти услуги оказывают лицензиаты ФСТЭК, например представители проекта Контур.Безопасность.

Источник

Лицензия ФСТЭК в Москве «под ключ»

Все услуги в России, которые касаются обеспечения сохранности конфиденциальных данных, согласно постановлению № 99, принятому 04.05.2011 года могут осуществляться после получения специального разрешения.

Специальное разрешение доказывает существование права применять программные средства или технологии для сохранения сведений, а также для создания данных.

К секретной информации, требующей защиты от несанкционированного доступа, относятся:

  • личные сведения сотрудников фирм и любых предприятий, независимо от их формы организации;
  • коммерческая информация и любые другие сведения, являющиеся секретными.

Государственное разрешение позволяет компаниям оказывать специальные услуги, которые связаны с предоставлением ограниченного права доступа к указанным сведениям.

Для участия в любом конкурсе или тендере компания обязательно должна иметь лицензию. И при непрофильной деятельности организации, лицензия ФСТЭК сделает ее еще более конкурентной на рынке.

Производство работ или услуг, связанных с обеспечением сохранности сведений, без необходимого разрешения будет расцениваться как нарушение прав.

В статьях 171 и 180 УК РФ указаны составы, за которые возбуждается уголовная ответственность, когда такие услуги вызывают вред жителям страны, российским компаниям, стране, становятся причиной получения незаконной прибыли.

Лицензия ФСТЭК недорого

Кому нужна лицензия ФСТЭК

Лицензия ФСТЭК необходима любому юридическому лицу или ИП, предоставляющему услуги в области защиты информации, признанной конфиденциальной.

Каждая фирма, которая занимается обработкой личных сведений сотрудников или клиентов, может заполучить такую лицензию. Согласно законодательству в некоторых случаях такое разрешение обязательно.

Сохранить конфиденциальность информации необходимо в медицинской области, транспортной сфере, банковском деле, образовательной сфере, IT-технологии.

Любая компания или индивидуальный предприниматель, оказывающие услуги по сохранению важных и секретных данных, нуждаются в специальном разрешении.

По законодательству время для изучения бумаг и предоставления окончательного ответа составляет 30-45 дней. В действительности получается, что лицензию можно получить почти за два месяца.

Выданное разрешение имеет бессрочный период действия. Оно подлинно по всей России, без учета места и времени получения.

Лицензирование ФСТЭК происходит на основе определенных нормативных документов:

Источник

Основные виды деятельности лицензируемые ФСТЭК России

Сертификация в области информационной безопасности

Постановление Правительства от 1 декабря 2009 года N 982 содержит исчерпывающий перечень позиций, которые подлежат обязательной сертификации. Но информационные системы в этом списке не упоминаются. Это означает, что на них не распространяется правило об обязательной оценке соответствия, то есть сертификация в области информационной безопасности в Российской Федерации не требуется. В соответствии с положениями федерального закона от 6 октября 1999 г. N 184-ФЗ оценка соответствия таких объектов проводится в добровольном порядке по инициативе заявителя.

Исключение из этого правила зафиксировано в статье 19 федерального закона от 20 февраля 1995 года № 24-ФЗ, посвященного вопросам защиты данных и информатизации. Этот раздел данного нормативного документа устанавливает, что для информационных комплексов федеральных и региональных органов власти, и программ, содержащих данные, находящиеся в ограниченном доступе, сертификация в информационной сфере осуществляется в обязательном порядке.

Вместе с тем, для некоторых видов деятельности в нашей стране государственный контроль осуществляется в форме лицензирования. Список направлений, для которых применяется это требование, приведен в статье 12 федерального закона от 4 мая 2011 года № 99-ФЗ. Он включает следующие позиции:

  • создание, изготовление и распространение телекоммуникационных продуктов, выполненных с использованием шифровальных (криптографических) методов или средств;
  • техническое обслуживание таких продуктов;
  • создание и изготовление специальных средств, используемых для защиты конфиденциальной информации;
  • деятельность по защите конфиденциальной информации при помощи технических средств.

Компании, которые занимаются одним или несколькими видами деятельности из приведенного списка, обязаны получать лицензию.

Виды сертификатов

Поскольку обязательная сертификация информационных средств в России не применяется, все виды сертификатов в этой области выдаются в добровольном порядке. Их делят на две укрупненные категории:

  • корпоративные, которые подтверждают соответствие политики компании требованиям информационной безопасности;
  • персональные, подтверждающие уровень квалификации конкретного специалиста в этой сфере.

Корпоративные сертификаты

Одним из самых авторитетных инструментов в этой сфере является сертификация систем менеджмента информационной безопасности ISO 27001. Она признана во всем мире в качестве эталонной при оценке политики компании в данной предметной области. Кроме этого, в реестре зарегистрированных систем добровольной оценки соответствия, ведение которого осуществляет Росстандарт, значатся еще несколько десятков комплексов критериев, которые применяются компаниями для подтверждения своей ответственной позиции в этом вопросе.

Персональные сертификаты

Список популярных систем, применяющихся для оценки индивидуального профессионального уровня, более широк. В зависимости от области своей деятельности специалист выбирает сертификат информационной безопасности, наилучшим образом подтверждающий его компетенции. В перечень востребованных документов в данной области входят:

  • CISSP — безопасность IT-продуктов;
  • ISSAP — архитектура безопасности;
  • ISSEP — инженерия в IT-безопасности;
  • ISSMP — управление продуктами в области безопасности;
  • CISM — информационная безопасность;
  • другие сертификаты.

Система управления информационной безопасностью

Комплексная система, внедряемая организацией для обеспечения собственной IT-безопасности, должна охватывать все аспекты ее деятельности в этой области, включая создание продуктов, их отладку и ввод в эксплуатацию, функционирование, регулярный мониторинг работы, анализ алгоритмов и ошибок при ее применении, поддержку и улучшение рабочих механизмов. Выбираемые инструменты и методы должны отвечать особенностям технологического цикла предприятия, а также стоящим перед ним задачам.

Преимущества внедрения стандарта ISO 27001 для предприятия

Общепризнанная система добровольной сертификации информационных технологий ISO 27001 не зря завоевала свою популярность. Она вобрала в себя лучшие мировые практики по обеспечению защиты информации и используемых технологий. Ее внедрение дает предприятию безопасность по трем основным направлениям:

  • конфиденциальность — предотвращение несанкционированного использования информации, которое способно навредить компании;
  • целостность — достижение необходимой степени полноты и корректности информации, а также соответствия способов ее обработки поставленным задачам;
  • доступность — обеспечение бесперебойного доступа к информации для авторизованных пользователей.

Эти преимущества широко известны специалистам в данной области. По этой причине сертификат соответствия информационной безопасности сразу же воспринимается как свидетельство грамотной и ответственной позиции компании в вопросах обеспечения защиты данных.

Обратите внимание!

Компания может пройти сертификацию на соответствие требованиям международного стандарта ISO 27001 или национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 27001-2006. Первый вариант подойдет организациям, которые работают преимущественно на внутреннем рынке. Второй тип сертификата станет полезен компаниям, которые ориентированы на взаимодействие с международными партнерами.

Оценочные критерии и требования по ISO 27001

Требования, которые предъявляет к компаниям стандартизация и сертификация информационных систем по критериям ISO 27001, являются многоуровневыми и комплексными. Основными из них становятся следующие:

  • продуманная политика IT-безопасности;
  • структурированная программа управления IT-безопасностью в организации;
  • гарантия защищенности информации при необходимости обеспечения доступа к ней третьих лиц;
  • предотвращение потерь, повреждений, хищения информации и ее компрометации;
  • обеспечение безопасного функционирования инструментов обработки информации;
  • минимизация рисков появления сбоев в работе комплекса;
  • поддержание безопасности каналов обмена информацией;
  • внедрение эффективных методов обнаружения несанкционированной активности;
  • организация системы контроля доступа к информации;
  • обеспечение безопасности системных файлов.

Процедура сертификации на соответствие требованиям ISO 27001

Процесс сертификации организуется после полноценного внедрения системы на предприятии и отладки ее функционирования. Добровольная информационная сертификация по стандартам ISO 27001 проводится только аккредитованной организацией, имеющей право выполнять проверку на соответствие требованиям системы.

Стандарты системы ISO 27001 во многом основываются на базовой системе менеджмента качества ISO 9001. Так что если компания уже сертифицирована на соответствие требованиям этого стандарта, ей станет проще пройти процедуру сертификации, воспользовавшись имеющимися документами и наработками.

Этапы

Прежде, чем подать заявление в органы сертификации информационных систем, заявителю следует выполнить следующие шаги.

  1. Внедрение системы, оформление документации по стандартам ISO 20071, обучение сотрудников, подготовка к сертификации.
  2. Предварительный аудит системы силами сертифицированного аудитора. Проводится в формате документарной или выездной проверки.
  3. Основной этап сертификационного аудита на соответствие требованиям системы. Включает детальное тестирование внедренных стандартов, проверку документации, оценку эффективности реализованных мер.
  4. Оформление сертификационной документации.
  5. Проведение периодического инспекционного аудита для подтверждения выполнения требований стандартов сертифицированной организацией.

Документы по итогам сертификации

Компания, которая успешно прошла проверку на соответствие требованиям системы и подтвердила выполнение обязательных стандартов, получает сертификат установленного образца. Он оформляется аккредитованным сертификационным органом, который проводил аудит на предприятии. Документ выдается на бумажном носителе, чтобы его владелец мог предъявить сертификат любому заинтересованному лицу — например, потенциальному партнеру или контрагенту.

Стоимость

Стоимость работ по сертификации в сфере информационной безопасности не регламентируется действующим законодательством. Аккредитованные агентства вправе самостоятельно определять цену своих услуг. Чаще всего в этом процессе принимаются во внимание масштаб организации, сложность информационных процессов и используемых технологий и другие факторы. В среднем эксперты оценивают общую стоимость работ по сертификации на соответствие стандартам ISO 27001 в сумму от 30 до 60 тысяч долларов.

Источник

Средствами защиты информации подлежащими сертификации

В соответствии с возложенными полномочиями Восьмое управление Генерального штаба Вооруженных Сил Российской Федерации осуществляет сертификацию средств защиты информации по требованиям безопасности информации.

Правовую основу сертификацию средств защиты информации в Министерстве обороны Российской Федерации составляют:

  1. Закон Российской Федерации от 21 июля 1993 г. № 5485-1 « О государственной тайне » .
  2. Федеральный закон от 27 декабря 2002 г. № 184-ФЗ « О техническом регулировании » (статья 5).
  3. Постановление Правительства Российской Федерации от 26 июня 1995 г. № 608 « О сертификации средств защиты информации » .
  4. Постановление Правительства Российской Федерации от 15 мая 2010 г. № 330 « Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, а также процессов ее проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения » .
  5. Приказ Министра обороны Российской Федерации от 5 сентября 1996 г. № 058 « О создании системы сертификации средств защиты информации Министерства обороны Российской Федерации по требования безопасности информации » (Приложение № 2).
  6. Приказ Министра обороны Российской Федерации от 29 сентября 2020 г. № 488 «Об утверждении Положения о системе сертификации средств защиты информации Министерства обороны Российской Федерации».

Для проведения сертификации заявитель направляет в Восьмое управление Генерального штаба ВС РФ заявку на проведение сертификации (приложение № 1) с приложением необходимых документов. Заявка на проведение сертификации подписывается руководителем заявителя.

Читайте также:  2 Какие требования к квалификации учитывать строителям квалификационного стандарта или профстандарта

Заявка на проведение сертификации направляется не ранее завершения заявителем предварительных испытаний образца средства защиты информации.

В заявке на проведение сертификации указываются:

  • полное и сокращенное (при наличии) наименования заявителя, адрес юридического лица в пределах места нахождения юридического лица, указанный в едином государственном реестре юридических лиц (далее – адрес места нахождения);
  • наименование и обозначение средства защиты информации;
  • степень секретности защищаемой (обрабатываемой) информации;
  • требования по безопасности информации, установленные в отношении средства защиты информации, и реквизиты документов, устанавливающих эти требования;
  • схема проведения сертификации;
  • полное и сокращенное (при наличии) наименования испытательной лаборатории, в которой планируется проведение испытаний, адрес места нахождения, номер и дата выдачи аттестата аккредитации;
  • заявляемый срок действия сертификата соответствия.

К заявке на проведение сертификации прилагаются следующие документы:

  • информационная справка (приложение 2) ;
  • тактико-техническое (техническое) задание на создание (модернизацию) средства защиты информации (при наличии);
  • схема деления средства защиты информации на составные части (при наличии);
  • задание по безопасности в двух экземплярах (в случае необходимости его разработки в соответствии с требованиями по безопасности информации);
  • технические условия (проект технических условий) на средство защиты информации (при наличии);
  • формуляр (паспорт) средства защиты информации.

Сертификат соответствия выдается на срок, указанный заявителем в заявке на проведение сертификации, но не более 5 лет.

Для продления срока действия сертификата соответствия заявитель подготавливает заявку на продление срока действия сертификата соответствия (приложение 3), согласовывает ее с военным представительством Министерства обороны на предприятии заявителя (при наличии) для подтверждения сведений об отсутствии изменений средства защиты информации и направляет заказчику для подтверждения потребности заказчика в дальнейшем производстве (при наличии сертификата соответствия на серийное производство средства защиты информации), эксплуатации средства защиты информации и сведений об отсутствии изменений средства защиты информации. Заявка на продление срока действия сертификата соответствия подписывается руководителем заявителя.

Порядок продления срока действия сертификата соответствия представлен в прилагаемой информационной справке (приложение № 4).

Источник

Основные виды деятельности, лицензируемые ФСТЭК России

В соответствии с Указом Президента Российской Федерации от 16.08.2004 № 1085 «Положение о Федеральной службы по техническому контролю» на ФСТЭК России возложены задачи по реализации государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

— обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере;

— противодействия иностранным техническим разведкам на территории Российской Федерации;

— обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;

— осуществления экспортного контроля.

Какие же виды деятельности подлежат лицензированию ФСТЭК России?

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части противодействия иностранным техническим разведкам).

Эта лицензия будет необходима организациям (предприятиям), выполняющим работы (составные части работ, НИРы, ОКРы, НИОКРы) с образцами вооружения и военной техники, имеющими охраняемые параметры. В данной лицензии указываются конкретные виды разведок, противодействие которым будет осуществляться самостоятельно организацией (предприятием), а также могут быть указаны отдельно виды разведок, по противодействию которым организация-соискатель может оказывать услуги сторонним организациям.

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части технической защиты информации).

Эта лицензия понадобится организациям, профессионально занимающимся технической защитой информации (имеется в виду защита информации, составляющей государственную тайну). Виды работ предусмотренные данной лицензией разнообразны. Это и сертификация и сертификационные испытания (технических средств защиты информации; защищенных технических средств обработки информации; технических средств контроля защищенности информации; защищенных программных (программно-технических) средств контроля обработки информации) и контроль защищенности информации, составляющей государственную тайну и аттестация средств и систем на соответствие требованиям по безопасности информации (автоматизированных систем различного уровня и назначения; систем связи, приема, обработки и передачи данных; систем отображения и размножения; технических средств (систем), не обрабатывающих информацию, составляющую государственную тайну, но размещенных в помещениях, где она обрабатывается; помещений со средствами (системами), подлежащими защите; помещений, предназначенных для ведения секретных переговоров) и проведение специсследований на побочные электромагнитные излучения и наводки технических средств обработки информации и проектирование объектов в защищенном исполнении. Организация соискатель лицензии вправе выбирать как полный комплект видов деятельности, так и отдельные виды в соответствии со своим профессиональным предназначением.

  1. Проведение работ, связанных с созданием средств защиты информации. Также как и предыдущая лицензия понадобится организациям, профессионально занимающимся технической защитой информации, поэтому эти две лицензии обычно получаются одновременно. Так же как и в предыдущей есть возможность выбора необходимых видов деятельности (разработка, установка, монтаж, испытания, наладка, сервисное обслуживание технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля защищенности информации, защищенных программных (программно-технических) средств контроля обработки информации.

Необходимо отметить, что для выполнения полного комплекта работ по аттестации объектов информатизации, включая выдачу конечного разрешительного документа – аттестата соответствия на объект информатизации, организации необходимо получить дополнительно к двум предыдущим лицензиям еще один разрешительный документ ФСТЭК России – аттестат аккредитации органа по аттестации в системе сертификации средств защиты информации № РОСС RU.0001.01БИ00. Аттестат аккредитации, кстати говоря, выдается на срок до 3 лет, в отличии от лицензий, которые выдаются на срок до 5 лет.

  1. На деятельность по технической защите конфиденциальной информации. Виды деятельности почти аналогичны видам деятельности лицензии по п.2, только касаются защиты конфиденциальной информации, а не информации, содержащей сведения, составляющей государственную тайну.
  2. На деятельность по разработке, производству средств защиты конфиденциальной информации. Виды деятельности похожи на указанные в п.3 только в части защиты именно конфиденциальной информации.

Лицензии по п.4 и п.5 получаются, как правило, одновременно, так как они «дополняют» друг друга. Эти лицензии бессрочны и получаются один раз. Наличие данных лицензий дает право организации выполнения полного комплекта работ по технической защите конфиденциальной информации (без аттестата аккредитации органа по аттестации).

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны в части проведения специальных экспертиз организаций соискателей лицензий ФСТЭК России. Лицензия достаточно редко встречаемая, выдается организациям, наделенным полномочиями ФСТЭК России в части проведения специальных экспертиз, т.н. аттестационным центрам.

Считаем важным отметить, что вышеперечисленные лицензии ФСТЭК России по п.п.1,2,3,6 могут быть получены после выполнения определенных лицензионных требований, первым из которых является наличие у организации-соискателя действующей лицензии ФСБ России на осуществление работ, связанных с использованием сведений, составляющими государственную тайну. Окончание срока действия данной лицензии (приостановление действия, аннулирование) автоматически останавливает сроки действия разрешительных документов ФСТЭК России.

Читайте также:  Тест Промежуточная аттестация по географии 9 класс за 2019 2020 учебный год тестирование

Остальными лицензионными требованиями являются:

готовность к осуществлению лицензируемой деятельности специалистами, имеющими высшее профессиональное образование в области защиты информации, либо специалистами, имеющими высшее или среднее профессиональное (техническое) образование и прошедшими переподготовку или повышение квалификации по вопросам технической защиты информации. Квалификация специалистов проверяется по документам о высшем (среднем) профессиональном (техническом) образовании, переподготовке или повышении квалификации по соответствующим вопросам технической защиты информации и (или) противодействия иностранным техническим разведкам (дипломам, удостоверениям, свидетельствам).

Уровень подготовки специалистов определяется на основании проверки знания нормативных правовых актов Российской Федерации, нормативных и методических документов ФСТЭК России, регламентирующих проведение конкретных работ, связанных с созданием средств защиты информации, осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны (в части технической защиты информации и (или) противодействия иностранным техническим разведкам), а также проверки практических навыков эксплуатации производственного, испытательного, контрольно-измерительного оборудования, средств защиты и средств контроля защищенности информации.

наличие нормативных правовых актов, национальных стандартов, нормативных и методических документов, необходимых для обеспечения выполнения работ, осуществления мероприятий и (или) оказания услуг по заявленному виду деятельности;

наличие производственного, испытательного и контрольно-измерительного оборудования, средств контроля защищенности информации, средств защиты информации, необходимых для выполнения работ, осуществления мероприятий и (или) оказания услуг по заявленному виду деятельности;

соответствие контрольно-измерительного и испытательного оборудования, средств контроля защищенности информации и средств защиты информации требованиям законодательства Российской Федерации о государственной тайне, о техническом регулировании и в области обеспечения единства измерений. Наличие производственного, испытательного и контрольно-измерительного оборудования, средств защиты и средств контроля защищённости информации, средств разработки средств защиты информации проверяется с учётом указанных в заявлении конкретных работ, связанных с созданием средств защиты информации, мероприятий и (или) услуг по защите государственной тайны (в части технической защиты информации и (или) противодействия иностранным техническим разведкам), а также возможности выполнения требований по организации содержания, обслуживания и поверки данного оборудования. Производственное и контрольно-измерительное оборудование, средства контроля защищённости информации должны в полном объёме обеспечивать проведение измерений параметров технических средств и контроля технических каналов утечки информации в соответствии с действующими методическими документами и национальными стандартами.

Помещения, предназначенные для проведения специальных
исследований (сертификационных испытаний) технических средств должны соответствовать требованиям нормативных правовых актов, соответствующих нормативных и методических документов.

наличие аттестованных по требованиям безопасности информации объектов информатизации, предназначенных для обработки, передачи и хранения информации, содержащей сведения, составляющую государственную тайну, помещений для ведения секретных переговоров;

наличие документов, подтверждающих право собственности или иное законное основание на владение и использование имущества, необходимого для осуществления заявленного вида деятельности.

Организация лицензирования, порядок проведения специальных экспертиз для получения лицензий ФСТЭК России (имеются в ввиду лицензии, связанные со сведениями, составляющими государственную тайну), также как и в ФСБ России регламентированы постановлением Правительства Российской Федерации от 15.04.1995 № 333 «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и(или) оказанием услуг по защите государственной тайны» и существенно друг от друга не отличается.

Отличие состоит в том, что территориальные управления ФСБ России являются лицензирующим органом, а территориальные управления ФСТЭК России не являются. Соответственно направлять заявление на получение лицензий ФСТЭК России, а в дальнейшем и получать лицензии придется в Центральном аппарате ФСТЭК России в
г. Москва. Специальные экспертизы могут быть проведены по поручению ФСТЭК России территориальными управлениями (бесплатно) или аттестационными центрами (за деньги) или же самим Центральным аппаратом ФСТЭК России (большая редкость).

В случае проведения специальной экспертизы аттестационным центром, материалы ее сначала попадут для проверки и оформления лицензионного дела в территориальное управление ФСТЭК России.

Существующими Инструкциями и Методическими рекомендациями по порядку проведения специальных экспертиз ФСТЭК России определены временные рамки прохождения отдельных этапов лицензирования:

решение ФСТЭК России о проведении специальной экспертизы – 5 дней со дня получения заявления соискателя лицензии;

формирование экспертной комиссии территориальным управлением – 5 дней со дня получения поручения Центрального аппарата ФСТЭК России;

оформление заключения территориальным управлением – 5 дней со дня получения материалов от аттестационного центра;

оформление бланка лицензии Центральным аппаратом ФСТЭК России (или отказ в выдачи лицензии) – 5 дней со дня получения лицензионного дела от территориального управления.

Общий срок от поступления заявления до получения лицензии не должен превышать 60 дней. В зависимости от сложности и объема подлежащих экспертизе материалов срок может быть продлен еще до 30 дней (п. 6 ПП РФ № 333).

Процесс получения лицензий ФСТЭК России на деятельность по технической защите конфиденциальной информации и на разработку и производство средств защиты конфиденциальной информации иной. Регламентирован он:

Федеральным Законом от 4.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности»;

Постановлением Правительства РФ от 03.02.2012 № 79 «О лицензировании деятельности по технической защите конфиденциальной информации»;

Постановление Правительства РФ от 03.03.2012 № 171 «О лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации»;
и вышедших на основе указанных постановлений Правительства РФ приказов ФСТЭК России от 12.07.2012 № 83 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по лицензированию деятельности по технической защите конфиденциальной информации» и от 12.07.2012 № 84 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по лицензированию деятельности по разработке и производству средств защиты конфиденциальной информации».

В данном случае принятие решения о предоставлении лицензий (отказе в предоставлении лицензий) принимается без проведения специальных экспертиз, а по результатам документального рассмотрения полноты и качества представленных соискателем документов (приложений к заявлению – весь исчерпывающий перечень приложений – в вышеуказанных Административных регламентах ФСТЭК России).

Источник



Сертификация средств защиты информации

Есть определенный перечень программного обеспечения и технических средств, которые подлежат сертификации средств защиты информации (СЗИ). Без наличия разрешения нельзя заниматься импортом, реализацией и оборотом такой продукции.

Контрольные мероприятия регулируются ПП РФ №608 от 26.06.1995 г., Положением ФСТЭК №55 от 03.04.2018 г.

Помимо оценки безопасности дополнительно может потребоваться проверка в системе ТР ТС (к примеру, если речь идет о техническом средстве, работающем от сети – в этом случае необходимо провести оценку согласно ТР ТС 004/2011).

Если же средство не подлежит контролю качества в системах ТР ТС, то можно провести добровольную проверку соответствия государственным стандартам или другим нормативным документам.

Перечень продукции, подлежащей сертификации ФСТЭК

Федеральная служба по техническому и экспортному контролю предусматривает необходимость оценки качества для средств противодействия иностранным разведкам, устройств для защиты государственной тайны и обеспечения безопасности информационных технологий. Это могут быть отечественные и импортные IT-продукты.

Речь идет о следующих типах продукции:

  1. программные и программно-технические средства защиты информации от нарушения целостности;
  2. программные средства, которые разграничивают доступ к данным, контролируют единство инфо-данных, уничтожают остатки данных на информационных носителях, имитируют работу ОС или блокируют ее при необходимости;
  3. защитные программы, встроенные в ОС;
  4. средства, цель которых предотвратить незаконное копирование данных;
  5. операционные системы;
  6. экраны для межсетевого доступа;
  7. средства доступа к виртуальным локальным сетям;
  8. системы контроля эффективности;
  9. системы, которые используют защищенные методы обработки данных.
Читайте также:  6 Специальное обучение поверителей

Это лишь часть товаров, которые подлежат обязательной проверке в рамках требований ФСТЭК. Точный перечень средств, на которые потребуется получить сертификат СЗИ, уточните у специалистов центра «Рос-Тест».

Схемы сертификации

Пройти оценку можно в соответствии с требованиями, установленными законодательно. Наиболее актуальными для предпринимателей являются такие схемы:

  1. оценка качества единичного оборудования;
  2. проверка партии изделий (в случае, если речь идет об ограниченном тираже копий);
  3. сертификация серийного выпуска.

Какую именно выбрать схему, зависит от типа производства и конкретной ситуации.

Участники системы оценки

Основными звеньями осуществления контроля продукции являются:

  1. федеральный орган (Росаккредитация);
  2. аккредитованные органы (центры), наделенные специальными полномочиями;
  3. испытательные лаборатории;
  4. изготовители (поставщики) товара.

Право на проведение проверки СЗИ имеют только аккредитованные органы. Аккредитация выдается при наличии у них лицензии на соответствующие виды деятельности.

Добровольный сертификат

На сегодняшний день предприниматели обладают широким спектром возможностей в плане продвижения своего бизнеса. Актуально оформление сертификатов для получения дополнительных преимуществ. Так, заказать документ можно для подтверждения соответствия ГОСТ (на продукцию), ИСО (на систему менеджмента качества). Проверка СМК может быть осуществлена в рамках системы «Промтехсертификация», которая имеет официальную аккредитацию Росстандарта и высоко ценится в России.

Наличие добровольного документа способно принести следующие преимущества:

  1. выход на новые рынки (если речь идет о международном сертификате ISO, то это поможет выйти на иностранный рынок);
  2. увеличение интереса со стороны потенциальных партнеров по бизнесу;
  3. укрепление имиджа;
  4. привлечение средств на развитие проекта, улучшение инвестиционных показателей;
  5. более простое прохождение надзорных экспертиз;
  6. формирование доверительного отношения к компании;
  7. возможность применять знаки соответствия в сопроводительной документации, в рекламе, на упаковке программных продуктов;
  8. рост продаж, повышение рентабельности и многое другое.

Важно! Наличие добровольного документа не избавляет от необходимости проводить обязательную оценку качества, а служит лишь инструментом для продвижения.

Пакет документов для подачи в центр «Рос-Тест»

Чтобы пройти оценку соответствия ГОСТ Р, ИСО или ФСТЭК, потребуется предоставить специалистам «Рос-Тест» полный пакет документов для проверки.

В него необходимо включить:

  • наименование и описание подконтрольной продукции, коды ТН ВЭД и ОКПД 2;
  • перечень продукции, которая будет проходить проверку (номера партии, артикулы, другая информация);
  • идентификационный налоговый номер, основной государственный регистрационный номер, учредительные и уставные документы, юридический и фактический адреса компании-заявителя;
  • техническую документацию, которая используется на предприятии – технологические регламенты и инструкции, стандарт организации, документацию ИСО, технические условия;
  • ранее выданные сертификаты (ТР ТС, иностранные, завершившие действие);
  • документы, указывающие на законность владения производственными площадями (договор аренды, свидетельство о собственности);
  • контракт на поставку, сведения об изготовителе, сопроводительные транспортные документы (если осуществляется поставка оборудования).

Если документы предоставляются на другом языке, следует выполнить их перевод на русский. В некоторых случаях предоставляется возможность подать документы в электронном порядке.

Этапы сертификации

Чтобы стать обладателем подтверждающего документа, предприниматель должен пройти все предусмотренные в этом случае проверки. Как правило, алгоритм действий следующий:

  1. подача заявки в центр «Рос-Тест», оказание консультационных услуг: идентификация товара, определение необходимости проведения оценки качества, выбор схемы;
  2. подготовка комплекта документации – на этой стадии наши сотрудники помогут вам разработать техдокументацию, если это понадобится;
  3. после этого осуществляются лабораторные испытания – провести их можно только в аккредитованной лаборатории, по результатам она должна выдать протоколы (они также направляются в аккредитованный орган на проверку);
  4. если того требует схема, то также осуществляются производственные экспертизы. Для этого на объект выезжают эксперты, оценивают соответствие производства установленным требованиям;
  5. по факту контрольных мероприятий выдается разрешительный документ, ему присваивают идентификационный номер, сведения о нем вносятся в специальный реестр.

За более подробной информацией об оценке соответствия СЗИ обращайтесь в центр «Рос-Тест». Просто позвоните по телефону 8 (800) 100-20-85 или оставьте сообщение в форме обратной связи. Наши сотрудники проведут для вас бесплатную консультацию и помогут в оформлении сертификата.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Источник

Сертификация средств защиты информации

В настоящий момент актуальной является проблема защиты персональных данных. С ней сталкиваются как государственные учреждения, так и частные компании. Гарантировать функциональность и надежность IT-программ, отвечающих за сохранность сведений, можно с помощью сертификации средств защиты информации (СЗИ). Поэтому оценка соответствия пользуется большой популярностью во всем мире.

Виды СЗИ

Выделяют несколько категорий IT-продуктов:

  • технические — маскируют и перекрывают каналы утечки данных;
  • программные — способны зашифровывать информацию, идентифицировать пользователя, уничтожать файлы, вести контроль доступа;
  • смешанные — объединяют в себе характеристики вышеперечисленных категорий;
  • организационные — заключаются в правильной прокладке кабельной системы, создании свода правил выполнения работы.

Нормативная база

В отношении оценки соответствия СЗИ действуют несколько нормативно-правовых актов:

  • Закон РФ №5485-1 “О государственной тайне” от 21.07.93 г.;
  • Федеральный закон №184-ФЗ “О техническом регулировании” от 27.12.02 г.;
  • ПП РФ №608 “О сертификации СЗИ” от 26.06.95 г.;
  • Положение о системе сертификации СЗИ, утвержденное приказом ФСТЭК России от 3.04.18 г. №55.

Необходимость обязательной оценки соответствия

Сертификацию в обязательном порядке должны проводить разработчики следующих программных продуктов:

  1. технические, криптографические, программные и другие средства, которые осуществляют противодействие зарубежным разведкам;
  2. программы, в которых применяются вышеназванные IT-продукты;
  3. программы контроля эффективности технической защиты данных.

Отказ от оформления разрешительной документации грозит административной ответственностью, которая выражается в значительных штрафах и конфискации нелегальной продукции.

Система сертификации ФСТЭК

Основными участниками оценки соответствия средств защиты данных выступают:

  • уполномоченные органы и испытательные лаборатории, имеющие соответствующую аккредитацию;
  • компании-изготовители СЗИ;
  • Росаккредитация.

Для каждого участника предусмотрены определенные функции. Например, производители средств защиты данных обязаны руководствоваться установленными правилами изготовления программных продуктов. Предприятия, выпускающие СЗИ для сведений, составляющих государственную тайну или имеющих ограниченный доступ, должны получить лицензию ФСТЭК на ведение деятельности.

Заявителями могут быть как предприятия-изготовители, так и органы управления всех уровней.

Применяемые схемы

Выбор определенной схемы зависит от формы выпуска СЗИ:

  • для единичного экземпляра – осуществление экспертизы образца и проверки организации технической поддержки;
  • для поставки партии – проведение испытаний выборки образцов и оценка техподдержки;
  • для серийного изготовления – контроль выборки образцов, анализ производства и технической поддержки.

Срок действия выданного сертификата не может превышать пять лет. Далее законом предусмотрена возможность подачи заявки на продление срока законной силы документа.

Внешний вид документа

Отличает сертификат специальная голограмма, которая обеспечивает надежную защиту от подделок.

В документе представлена важная информация:

  1. реквизиты, адрес и контакты заявителя;
  2. название и область применения товара, нормативы изготовления;
  3. протоколы лабораторных исследований;
  4. сведения о специализированной лаборатории;
  5. отметки об инспекционном контроле и маркировке;
  6. регистрационный номер;
  7. дата регистрации и срок действия;
  8. подпись руководителя подразделения ФСТЭК и печать.

Добровольное оформление сертификационной документации

Если предприятие выпускает СЗИ, не связанные с охраной государственной тайны, есть возможность оформить сертификат соответствия в добровольном порядке. Это повысит конкурентоспособность товара и привлечет массу новых покупателей.

Документальное подтверждение качества увеличит инвестиционную привлекательность фирмы и позволит заключать выгодные контракты с требовательными заказчиками.

Уровни доверия СЗИ

В марте 2019 г. было опубликовано Информационное сообщение ФСТЭК России № 240/24/1525. Документ устанавливает уровни доверия средств технической защиты информации. Всего насчитывается шесть позиций: 1-й (самый высокий), а 6-й (самый низкий).

Нововведение актуально для разработчиков и изготовителей IT-продуктов, заявителей на проведение оценки соответствия, а также для испытательных центров и уполномоченных органов. Выполнение требований к уровню доверия обязательно при сертификации:

Источник

Основные виды деятельности лицензируемые ФСТЭК России

Лицензия ФСТЭК

предоставление комплексных услуг по получению данного документа, которые включают в себя все необходимые консультации правового характера, подготовительные работы по оформлению нужных документов, приведение их в полное соответствие требованиям российских стандартов, предъявляемых к технической документации, постоянное сопровождение при прохождении проверок, непосредственное оформление лицензии;

Основные наши достоинства:

  1. предоставление комплексных услуг по получению данного документа, которые включают в себя все необходимые консультации правового характера, подготовительные работы по оформлению нужных документов, приведение их в полное соответствие требованиям российских стандартов, предъявляемых к технической документации, постоянное сопровождение при прохождении проверок, непосредственное оформление лицензии;
  2. сопровождение по прохождению каждого этапа до того момента, пока не будет получено окончательное официальное разрешение от ФСТЭК.

Лицензия предоставляет право деятельности:

  • по организации защиты информации конфиденциального характера:

к подобным сведениям относят информацию, имеющую ограничения по доступу и находящуюся в информационных ресурсах государства. Исключение составляют данные, относящиеся к государственным секретам и персональным данным.

В защищенности нуждается информация речевого и технического характера, представляемая в форме информативных электросигналов, физических полей, бумажных, оптических и магнитных носителей данных.

Главными направлениями защиты сведений считаются:

  • создание защиты для информации от хищений, утрат, утечек, уничтожений, искажений данных, подделок;
  • обеспечение защищенности сведений от утери их по техническим каналам в момент ее обрабатывания, сохранности и передачи по связным каналам.

В перечень предоставляемых нами услуг по оформлению лицензии входит полноценное сопровождение организации на каждом подготовительном этапе.

На начальной стадии по вводу в работу объекта информатизации и систем защиты сведений организовано проведение:

  • первичная эксплуатация средств по защите данных вместе с иными средствами технического и программного характера с целью проверки их на работоспособность;
  • проверочные испытания системы защиты данных по показателям опытной проверки;
  • аттестование объекта информатизации на предмет его соответствия безопасности.

Для сохранности сведений в период эксплуатации автоматизированных систем рекомендуют предусмотреть соблюдение некоторых основополагающих правил и требований: допуск к защищенной информации людей, являющихся работниками АС, должен осуществляться в полном соответствии с определенным разрешающей системой допусков порядком; на момент обрабатывания защищаемых данных в кабинетах, где располагаются главные техсредства и системы, имеют право находиться работники, обладающие допуском соответствующей формы, разрешающим им обработку сведений.

Показателем выполнения мероприятий по подготовке предприятия к оформлению лицензии считается:

  • классификационный акт на автоматизированную систему обработки сведений;
  • аттестат на соответствие автосистем требованиям по соблюдению безопасности;
  • документ на соответствие помещения требованиям по безопасности;
  • техпаспорт помещения.

По разрабатыванию средств защиты конфиденциальных данных, в число которых входят:

  • техсредства для защиты данных;
  • защищенные техсредства обработки сведений;
  • средства по контролю за эффективностью мер защиты данных;
  • программного обеспечения по защите сведений, их контролю и обработке.

По производству средств защиты данных, в число которых входят:

  • защитные техсредства;
  • средства обработки сведений;
  • контрольные средства, программное обеспечение обрабатываемых данных, система контроля.

Оформленная ФСТЭК лицензия действует в течение пяти лет в любом регионе Российской Федерации.

Источник

Таможенное оформление грузов двойного назначения

Таможенное оформление грузов двойного назначения

Для грузов двойного назначения процедура таможенного оформления усложнена. Вся внешнеэкономическая деятельность с их участием подлежит обязательному контролю со стороны ФСТЭК. Этот контроль предполагает оформление специальной лицензии. Она необходима для товаров, которые могут использоваться и в гражданских целях, и при производстве вооружения. Лицензирование обязательно выполняется для товаров, используемых для изготовления бактериологического, ракетного, ядерного, химического оружия, а также вооружения, военной техники. Всего действует шесть контрольных списков, товары из которых подлежат обязательному экспортному контролю. Такие же ограничения действуют и в других странах. При импорте товаров двойного назначения нужно проходить экспортный контроль по нормам законодательства страны-экспортера, а также дополнительно обращаться во ФСТЭК за лицензией.

Как проверить, имеет ли груз двойное назначение?

Двойным может быть назначение сырья, оборудования, конструкций, технологий — например, подшипников или фрезеровочных станков с некоторыми характеристиками. Участник ВЭД, осуществляющий экспорт, должен сам определять, может ли продукция иметь двойное назначение. Один из критериев, по которому это можно сделать — код ТН ВЭД. ФСТЭК составляет списки соответствия товаров и технологий двойного назначения и кодов ТН ВЭД. Если экспортируемый товар есть в этом перечне, проводится дополнительная проверка. В ходе нее технические характеристики продукции сравнивают с характеристиками изделий, материалов или технологий из контрольных списков. Если они совпадают, необходимо лицензирование. Если характеристики не соответствуют друг другу, продукция не имеет двойного назначения, и получать лицензию не нужно.

Если ситуация является спорной, нужно получать идентификационное заключение (эксконт). Для этого проводят идентификационную экспертизу, проверяя, попадает ли конкретный товар под процедуру экспортного контроля. Возможно три результата:

  • лицензия не требуется, товар не попадает под обязательный экспортный контроль. Таможенное оформление выполняется по стандартной процедуре;
  • товар относится к позициям контрольного списка, и тогда для его экспорта обязательно выполняется оформление лицензии ФСТЭК;
  • товар отсутствует в контрольном списке, но экспортный контроль для него необходим. В этом случае для вывоза оформляют разрешение комиссии по экспортному контролю.

В некоторых случаях лицензирование грузов не нужно, даже если у них есть двойное назначение. Лицензия не оформляется при вывозе временно ввезенных товаров, грузов, которые экспортируются в рамках исполнения гарантийных обязательств, а также для техобслуживания или ремонта морского, воздушного транспорта. В этих случаях необходимо получать письменное разрешение от ФСТЭК на вывоз без лицензирования.

Контейнеры с грузами

Получение лицензии для груза двойного назначения

Такая лицензия может быть генеральной или разовой. Решения о выдаче генеральных лицензий принимаются на уровне Правительства РФ. Такие лицензии выдаются на определенный период, позволяют выполнять экспорт в течение этого периода многократно и могут действовать в отношении определенных товаров (указывается максимально возможное количество) и стран-импортеров (без указания покупателя). Получить генеральную лицензию может только компания, имеющая внутреннюю систему экспортного контроля и государственную аккредитацию.

ФСТЭК может выдавать только разовые лицензии. Их действие ограничено:

  • указан единственный код ТН ВЭД, который может фигурировать в контракте;
  • срок действия не дольше 12 месяцев;
  • информация о продавце и покупателе должна быть заранее известна и указана в лицензии вместе с данными о стране-импортере;
  • объем поставляемой продукции лимитирован, определяется по условиям контракта.

Такие лицензии необходимо оформлять в том числе для товаров, которые экспортируются на условиях временного вывоза. В ходе лицензирования представители ФСТЭК проводят государственную экспертизу.

Лицензирование выполняется после предоставления следующих документов:

  • заявление;
  • подробные данные о продукции (технические характеристики, область применения, подтвержденные копиями документов);
  • сопроводительное письмо с указанием данных заявителя, ОГРН или ГРН, реквизиты документов, подтверждающих право на ведение деятельности, связанной с обращением со списочной продукцией и реквизиты квитанции об оплате госпошлины;
  • данные об экспортере, включая копии уставных документов;
  • информация о предстоящей сделке (копия контракта);
  • сведения о получателе товара и о его конечном пользователе;
  • при передаче продукции или раскрытии технологии иностранному получателю предоставляется документ, определяющий, является ли эта продукция или технология носителем составляющих государственную тайну сведений;
  • обязательства конечного пользователя по использованию продукции или технологии;
  • квитанции об оплате государственной пошлины.

После регистрации документов ФСТЭК проверяет их правильность в течение трех рабочих дней. По результатам проверки документация может быть возвращена для доработки. Также ФСТЭК вправе запросить дополнительные сведения или документы.

Читайте также:  Какие прокурорские работники подлежат аттестации

Товар двойного назначения

В выдаче лицензии будет отказано, если:

  • заявление оформлено неправильно;
  • представленные документы не соответствуют требованиям ФСТЭК;
  • сведения в документах неполные или недостоверные;
  • заключение сделки наносит ущерб (или угрожает причинением ущерба) интересам Российской Федерации, угрожает нарушением ее международных обязательств;
  • заключение сделки нарушает права Российской Федерации на полученные с использованием средств федерального бюджета результаты интеллектуальной собственности;
  • заключение государственной экспертизы является отрицательным;
  • в отношении товара действуют специальные запреты или ограничения;
  • заявитель лишен права заниматься отдельными видами ВЭД, если это затрагивает операции, для которых проводится лицензирование.

Государственная экспертиза внешнеэкономической сделки проводится в срок до 12 рабочих дней с момента поступления полного комплекта документов. Решение о выдаче лицензии принимается на основании результатов экспертизы. Лицензия выдается не позже, чем через один рабочий день после принятия решения, если оплачена пошлина за ее предоставление. Если в выдаче лицензии отказано, уведомление об этом направляется в письменной форме с указанием причин отрицательного решения. В некоторых случаях получение лицензии может занять 4 месяца.

После получения лицензии груз двойного назначения проходит таможенное оформление стандартным способом: с подготовкой грузовой таможенной декларации, представлением документов о сделке и перевозке, оплатой таможенных сборов, пошлин и налогов. Если груз может попадать в категорию товаров двойного назначения, компания «СТТ Логистика» рекомендует начинать процедуру получения лицензии во ФСТЭК заранее, чтобы к моменту таможенного оформления лицензирование уже было завершено.

Источник

Основные виды деятельности, лицензируемые ФСТЭК России

В соответствии с Указом Президента Российской Федерации от 16.08.2004 № 1085 «Положение о Федеральной службы по техническому контролю» на ФСТЭК России возложены задачи по реализации государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

— обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере;

— противодействия иностранным техническим разведкам на территории Российской Федерации;

— обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;

— осуществления экспортного контроля.

Какие же виды деятельности подлежат лицензированию ФСТЭК России?

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части противодействия иностранным техническим разведкам).

Эта лицензия будет необходима организациям (предприятиям), выполняющим работы (составные части работ, НИРы, ОКРы, НИОКРы) с образцами вооружения и военной техники, имеющими охраняемые параметры. В данной лицензии указываются конкретные виды разведок, противодействие которым будет осуществляться самостоятельно организацией (предприятием), а также могут быть указаны отдельно виды разведок, по противодействию которым организация-соискатель может оказывать услуги сторонним организациям.

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (в части технической защиты информации).

Эта лицензия понадобится организациям, профессионально занимающимся технической защитой информации (имеется в виду защита информации, составляющей государственную тайну). Виды работ предусмотренные данной лицензией разнообразны. Это и сертификация и сертификационные испытания (технических средств защиты информации; защищенных технических средств обработки информации; технических средств контроля защищенности информации; защищенных программных (программно-технических) средств контроля обработки информации) и контроль защищенности информации, составляющей государственную тайну и аттестация средств и систем на соответствие требованиям по безопасности информации (автоматизированных систем различного уровня и назначения; систем связи, приема, обработки и передачи данных; систем отображения и размножения; технических средств (систем), не обрабатывающих информацию, составляющую государственную тайну, но размещенных в помещениях, где она обрабатывается; помещений со средствами (системами), подлежащими защите; помещений, предназначенных для ведения секретных переговоров) и проведение специсследований на побочные электромагнитные излучения и наводки технических средств обработки информации и проектирование объектов в защищенном исполнении. Организация соискатель лицензии вправе выбирать как полный комплект видов деятельности, так и отдельные виды в соответствии со своим профессиональным предназначением.

  1. Проведение работ, связанных с созданием средств защиты информации. Также как и предыдущая лицензия понадобится организациям, профессионально занимающимся технической защитой информации, поэтому эти две лицензии обычно получаются одновременно. Так же как и в предыдущей есть возможность выбора необходимых видов деятельности (разработка, установка, монтаж, испытания, наладка, сервисное обслуживание технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля защищенности информации, защищенных программных (программно-технических) средств контроля обработки информации.

Необходимо отметить, что для выполнения полного комплекта работ по аттестации объектов информатизации, включая выдачу конечного разрешительного документа – аттестата соответствия на объект информатизации, организации необходимо получить дополнительно к двум предыдущим лицензиям еще один разрешительный документ ФСТЭК России – аттестат аккредитации органа по аттестации в системе сертификации средств защиты информации № РОСС RU.0001.01БИ00. Аттестат аккредитации, кстати говоря, выдается на срок до 3 лет, в отличии от лицензий, которые выдаются на срок до 5 лет.

  1. На деятельность по технической защите конфиденциальной информации. Виды деятельности почти аналогичны видам деятельности лицензии по п.2, только касаются защиты конфиденциальной информации, а не информации, содержащей сведения, составляющей государственную тайну.
  2. На деятельность по разработке, производству средств защиты конфиденциальной информации. Виды деятельности похожи на указанные в п.3 только в части защиты именно конфиденциальной информации.

Лицензии по п.4 и п.5 получаются, как правило, одновременно, так как они «дополняют» друг друга. Эти лицензии бессрочны и получаются один раз. Наличие данных лицензий дает право организации выполнения полного комплекта работ по технической защите конфиденциальной информации (без аттестата аккредитации органа по аттестации).

  1. Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны в части проведения специальных экспертиз организаций соискателей лицензий ФСТЭК России. Лицензия достаточно редко встречаемая, выдается организациям, наделенным полномочиями ФСТЭК России в части проведения специальных экспертиз, т.н. аттестационным центрам.

Считаем важным отметить, что вышеперечисленные лицензии ФСТЭК России по п.п.1,2,3,6 могут быть получены после выполнения определенных лицензионных требований, первым из которых является наличие у организации-соискателя действующей лицензии ФСБ России на осуществление работ, связанных с использованием сведений, составляющими государственную тайну. Окончание срока действия данной лицензии (приостановление действия, аннулирование) автоматически останавливает сроки действия разрешительных документов ФСТЭК России.

Остальными лицензионными требованиями являются:

готовность к осуществлению лицензируемой деятельности специалистами, имеющими высшее профессиональное образование в области защиты информации, либо специалистами, имеющими высшее или среднее профессиональное (техническое) образование и прошедшими переподготовку или повышение квалификации по вопросам технической защиты информации. Квалификация специалистов проверяется по документам о высшем (среднем) профессиональном (техническом) образовании, переподготовке или повышении квалификации по соответствующим вопросам технической защиты информации и (или) противодействия иностранным техническим разведкам (дипломам, удостоверениям, свидетельствам).

Уровень подготовки специалистов определяется на основании проверки знания нормативных правовых актов Российской Федерации, нормативных и методических документов ФСТЭК России, регламентирующих проведение конкретных работ, связанных с созданием средств защиты информации, осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны (в части технической защиты информации и (или) противодействия иностранным техническим разведкам), а также проверки практических навыков эксплуатации производственного, испытательного, контрольно-измерительного оборудования, средств защиты и средств контроля защищенности информации.

наличие нормативных правовых актов, национальных стандартов, нормативных и методических документов, необходимых для обеспечения выполнения работ, осуществления мероприятий и (или) оказания услуг по заявленному виду деятельности;

Читайте также:  5 7 сыныптар а арнал ан тест с ра тары

наличие производственного, испытательного и контрольно-измерительного оборудования, средств контроля защищенности информации, средств защиты информации, необходимых для выполнения работ, осуществления мероприятий и (или) оказания услуг по заявленному виду деятельности;

соответствие контрольно-измерительного и испытательного оборудования, средств контроля защищенности информации и средств защиты информации требованиям законодательства Российской Федерации о государственной тайне, о техническом регулировании и в области обеспечения единства измерений. Наличие производственного, испытательного и контрольно-измерительного оборудования, средств защиты и средств контроля защищённости информации, средств разработки средств защиты информации проверяется с учётом указанных в заявлении конкретных работ, связанных с созданием средств защиты информации, мероприятий и (или) услуг по защите государственной тайны (в части технической защиты информации и (или) противодействия иностранным техническим разведкам), а также возможности выполнения требований по организации содержания, обслуживания и поверки данного оборудования. Производственное и контрольно-измерительное оборудование, средства контроля защищённости информации должны в полном объёме обеспечивать проведение измерений параметров технических средств и контроля технических каналов утечки информации в соответствии с действующими методическими документами и национальными стандартами.

Помещения, предназначенные для проведения специальных
исследований (сертификационных испытаний) технических средств должны соответствовать требованиям нормативных правовых актов, соответствующих нормативных и методических документов.

наличие аттестованных по требованиям безопасности информации объектов информатизации, предназначенных для обработки, передачи и хранения информации, содержащей сведения, составляющую государственную тайну, помещений для ведения секретных переговоров;

наличие документов, подтверждающих право собственности или иное законное основание на владение и использование имущества, необходимого для осуществления заявленного вида деятельности.

Организация лицензирования, порядок проведения специальных экспертиз для получения лицензий ФСТЭК России (имеются в ввиду лицензии, связанные со сведениями, составляющими государственную тайну), также как и в ФСБ России регламентированы постановлением Правительства Российской Федерации от 15.04.1995 № 333 «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и(или) оказанием услуг по защите государственной тайны» и существенно друг от друга не отличается.

Отличие состоит в том, что территориальные управления ФСБ России являются лицензирующим органом, а территориальные управления ФСТЭК России не являются. Соответственно направлять заявление на получение лицензий ФСТЭК России, а в дальнейшем и получать лицензии придется в Центральном аппарате ФСТЭК России в
г. Москва. Специальные экспертизы могут быть проведены по поручению ФСТЭК России территориальными управлениями (бесплатно) или аттестационными центрами (за деньги) или же самим Центральным аппаратом ФСТЭК России (большая редкость).

В случае проведения специальной экспертизы аттестационным центром, материалы ее сначала попадут для проверки и оформления лицензионного дела в территориальное управление ФСТЭК России.

Существующими Инструкциями и Методическими рекомендациями по порядку проведения специальных экспертиз ФСТЭК России определены временные рамки прохождения отдельных этапов лицензирования:

решение ФСТЭК России о проведении специальной экспертизы – 5 дней со дня получения заявления соискателя лицензии;

формирование экспертной комиссии территориальным управлением – 5 дней со дня получения поручения Центрального аппарата ФСТЭК России;

оформление заключения территориальным управлением – 5 дней со дня получения материалов от аттестационного центра;

оформление бланка лицензии Центральным аппаратом ФСТЭК России (или отказ в выдачи лицензии) – 5 дней со дня получения лицензионного дела от территориального управления.

Общий срок от поступления заявления до получения лицензии не должен превышать 60 дней. В зависимости от сложности и объема подлежащих экспертизе материалов срок может быть продлен еще до 30 дней (п. 6 ПП РФ № 333).

Процесс получения лицензий ФСТЭК России на деятельность по технической защите конфиденциальной информации и на разработку и производство средств защиты конфиденциальной информации иной. Регламентирован он:

Федеральным Законом от 4.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности»;

Постановлением Правительства РФ от 03.02.2012 № 79 «О лицензировании деятельности по технической защите конфиденциальной информации»;

Постановление Правительства РФ от 03.03.2012 № 171 «О лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации»;
и вышедших на основе указанных постановлений Правительства РФ приказов ФСТЭК России от 12.07.2012 № 83 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по лицензированию деятельности по технической защите конфиденциальной информации» и от 12.07.2012 № 84 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по предоставлению государственной услуги по лицензированию деятельности по разработке и производству средств защиты конфиденциальной информации».

В данном случае принятие решения о предоставлении лицензий (отказе в предоставлении лицензий) принимается без проведения специальных экспертиз, а по результатам документального рассмотрения полноты и качества представленных соискателем документов (приложений к заявлению – весь исчерпывающий перечень приложений – в вышеуказанных Административных регламентах ФСТЭК России).

Источник



Как получить лицензию ФСТЭК?

Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности» обязывает организации получать лицензию ФСТЭК России на оказание услуг в области технической защиты конфиденциальной информации. Для этого необходимо подготовить обширный пакет документов и выполнить ряд требований. Что следует принять во внимание, чтобы лицензирование прошло максимально безболезненно и эффективно?

Какие документы требуются для получения лицензии ФСТЭК?

Процесс лицензирования подробно описан в Постановлении Правительства РФ от 03.02.2012 № 79 «О лицензировании деятельности по технической защите конфиденциальной информации». В документе детально указано, какие документы в каком виде и порядке требуется представлять лицензирующему органу (ЛО).

На бумаге все выглядит достаточно просто.

  1. Юридическое лицо подает полностью сформированное заявление в соответствии с требованиями Постановления № 79.
  2. В течение трех дней лицензирующий орган должен его рассмотреть и сообщить, какие ошибки есть в заявлении или каких документов не хватает. Если у ЛО есть замечания, то заявитель должен в течение 30 дней устранить недоработки.
  3. Если заявление оформлено верно, то в течение пяти дней начиная со дня принятия заявления ЛО проводит проверку полноты дополняющих заявление документов, а это обычно примерно 200–300 страниц.
  4. При недостатке в дополняющих документах ЛО отказывает организации в приеме заявления до устранения нарушений. На это у юридического лица есть те же 30 дней.
  5. Признав пакет документов полным, ЛО должен в течение 45 рабочих дней принять решение о выдаче лицензии либо об аргументированном отказе в ее выдаче.

Однако в реальности все сложнее. Лицензирующий орган один на всю страну, и находится он в Москве, рассмотрением заявлений занимаются несколько человек, а число организаций, желающих получить лицензию, растет с каждым годом. По телефону задавать вопросы можно, для этого дается два часа два раза в неделю, не более пяти минут на один сеанс связи, много выяснить не получится. Все это означает, что в считанные дни и даже недели провести лицензирование практически невозможно, особенно если есть недопонимания в правилах лицензирования или затруднения с выполнением хотя бы одного из требований. Кроме того, по некоторым видам услуг один только перечень правовых актов, которые должны быть приложены к заявлению, может состоять из 15 страниц.

К заявлению на получение лицензии необходимо приложить:

  • документы на автоматизированные системы, на защищаемое помещение, на право законного владения помещением, оборудованием, программным обеспечением либо о том, что они взяты в аренду (с подтверждением факта передачи);
  • документы на допуски к тайне (к конфиденциальной информации, доступ к которой ограничен);
  • копии трудовых книжек, договоров подряда, документов об образовании сотрудников соискателя лицензии;
  • документы на правообладание оборудованием, на поверочные работы, подтверждающие факт правильной работоспособности этого оборудования, на ПО, и т.д.;
  • сведения о нормативных документах, необходимых для осуществления деятельности по защите информации;
  • описание технологического процесса обработки конфиденциальной информации по установленной форме.
Читайте также:  Тест Промежуточная аттестация по географии 9 класс за 2019 2020 учебный год тестирование

Те, кто впервые получает лицензию, должны представить нотариально заверенные учредительные документы организации.

Камни преткновения

Во время работ по лицензированию организации сталкиваются с тремя основными сложностями:

  1. Оборудование. Для выполнения работ и оказания услуг по аттестации защищаемых помещений и автоматизированных систем необходимо закупить (иметь в собственности или на любом ином законном основании) оборудование. Стоимость комплекта варьируется, но составляет около миллиона рублей. И если начать работы по лицензированию с покупки оборудования, то к моменту подачи заявления может оказаться так, что его придется заново поверять (сертификаты о поверке действительны один год). Можно попытаться сэкономить и взять оборудование в аренду, но она должна быть специальным образом оформлена. Требуется периодически подтверждать владение оборудованием, заключать дополнительные соглашения к договорам аренды о том, что оборудование находится именно у арендатора. Минус варианта с арендой в том, что он снижает шансы на получение лицензии — велика вероятность оформить отношения неверно и получить отказ.
  2. Аренда помещений. Если соискатель лицензии арендует помещение у субарендатора, то необходимо представлять всю цепочку документов вплоть до владельца помещения. Также необходимо следить за тем, чтобы фактические номера помещений совпадали с кадастровыми, чтобы помещения однозначно идентифицировались исходя из одних лишь документов.
  3. Кадровая документация. У сотрудников должны быть дипломы о высшем профессиональном образовании в области технической защиты информации и стаж более трех лет либо диплом о высшем образовании с курсов переподготовки / о высшем техническом образовании и стаж более пяти лет. Сотрудников должно быть не менее трех, и они должны быть трудоустроены у соискателя по основному месту работы.

Комплекс услуг по подготовке организаций к лицензированию ФСТЭК

Лайфхак по успешному лицензированию

Для того чтобы получить лицензию, а затем успешно проходить в случае необходимости плановые проверки ФСТЭК на соблюдение требований, предлагаем учесть ряд моментов:

  1. Оборудование (если оно необходимо для выбранного вами вида деятельности) лучше покупать, а не брать в аренду.
  2. Постоянно следить за изменениями в законодательной базе и поддерживать документацию в актуальном состоянии, в том числе периодически обновлять и докупать ГОСТы (информация об этом не является тайной, официальный сайт ФСТЭК России открыт для всех).
  3. Своевременно обновлять антивирусное ПО и лицензии на контрольно-измерительное программное обеспечение и оборудование.
  4. Вовремя проводить переаттестацию помещений и автоматизированных систем, поскольку аттестаты действительны максимум три года.

Первичное получение лицензии и плановая проверка: отличия

Когда соискатель впервые получает лицензию, то связь с лицензирующим органом дистанционная: стороны обмениваются документами и общаются по телефону. Никаких личных визитов контролирующие органы соискателю не наносят.

Плановая проверка может проводиться через три года после получения лицензии. В этом случае представители ФСТЭК изучают, существуют ли в реальности кадры, помещения, оборудование и ПО, которые были заявлены при получении лицензии. В том числе проводится оценка знаний и компетенций кадров, заявленных в документах на получение лицензии. Проверяющие могут запросить перечень аттестатов, которые выдала аттестующая организация (в случае если такой виде деятельности есть в лицензии), а также перечень клиентов, которым выданы эти аттестаты. Таким образом контролирующие органы удостоверяются, действительно ли аттестующая организация оказала эти услуги и насколько они качественные.

Возможна также внеплановая проверка, которая проводится в любое время по заявлению граждан, юридических лиц, прокуратуры или по решению суда.

Работы по лицензированию: цена вопроса

С 1 января 2015 года госпошлина за первичное получение лицензии ФСТЭК на деятельность по технической защите конфиденциальной информации составляет 7 500 рублей, за продление — 3 500 рублей. Это неизбежные расходы и наименее затратная часть работ.

В соответствии с требованиями регламента по лицензированию необходимо провести аттестации и разработку документов по аттестации защищаемого помещения и автоматизированной системы обработки конфиденциальной информации. Эти услуги оказывают лицензиаты ФСТЭК, например представители проекта Контур.Безопасность.

Источник

Лицензия ФСТЭК на техническую защиту информации в России

Деятельность, связанная с защитой конфиденциальных сведений от несанкционированного доступа, технических сбоев, способных привести к утечке важных данных и иных видов воздействия в России предусматривает оформление лицензии ФСТЭК (Постановление Правительства № 79). Этот документ удостоверяет то, что обработкой конфиденциальной информации занимаются исключительно объекты информатизации (ОИ), которые применяют эффективные механизмы защиты сведений.

Получить лицензию ФСТЭК на техническую защиту информации

Что такое лицензия на техническую защиту информации?

Лицензия на проведение работ по защите информации, отнесенной к государственной или коммерческой тайне – это разрешительный документ, который переводит в законное русло деятельность компаний, занятых в данной сфере. Лицензирующим органом выступает Федеральная служба по техническому и экспортному контролю (ФСТЭК).

Лицензия ФСТЭК затрагивает технические вопросы работы с конфиденциальной информацией, которая при этом может являться как государственной, так и коммерческой тайной.

Объектами информатизации могут выступать криптографические устройства, биллинговые сети, CRM-системы, специальные программы и иные способы защиты сведений аппаратного и программного типа.

Процедура аттестации, предшествующая выдаче лицензии, весьма непростая, поскольку речь идет о сложных системах и механизмах. Она предполагает:

  • Оценку помещения, в рамках которого проводятся мероприятия с информацией;
  • Проверку технических средств, участвующих в обработке сведений или выполняющих иные задачи в рабочем помещении;
  • Определение наличия специальных средств защиты сведений;
  • Аттестацию персонала организации.

Лицензия ФСТЭК, связанная с государственной тайной выдается на 3 года, после чего может быть пролонгирована по желанию компании. В случае смены названия, рода деятельности, юридического адреса фирмы документ переоформляется.

Действие разрешительного документа, связанного конфиденциальной коммерческой информацией – бессрочно.

Кому необходима лицензия ФСТЭК?

Оформление лицензии ФСТЭК – обязательная процедура для тех, кто планирует заниматься технической защитой информации, составляющей государственную или коммерческую тайну. При обеспечении безопасности сведений такие организации применяют автоматизированные механизмы защиты в специально подготовленных помещениях.

Лицензированию в обязательном порядке должны подвергаться такие виды деятельности (Постановление Правительства №79):

  1. Защита особо важных сведений от утечки по техническим каналам;
  2. Предупреждение несанкционированного доступа к данным;
  3. Проведение испытаний программных и аппаратных средств защиты информации в целях их сертификации;
  4. Аттестация средств защиты данных и обеспеченных объектами информатизации помещений;
  5. Проектирование систем технической защиты информации;
  6. Установка, текущее обслуживание и ремонт средств защиты информации, представляющей собой государственную или коммерческую тайну.

Таким образом, лицензирование охватывает технические, аппаратные и программные средства, приемы и механизмы защиты конфиденциальных сведений.

Какие выгоды обеспечивает организации лицензия ФСТЭК?

Организация, которая получила лицензию на техническую защиту информации получает легальное право ведения любого из видов деятельности, перечисленных выше, на территории России (№19-ФЗ).

Кроме того, она формирует для себя новые перспективы развития, привлекая в число своих клиентов государственные структуры, которые заинтересованы в защите значительных объемов данных, составляющих государственную тайну. Достигается это через право на участие в закрытых государственных тендерах.

Источник

Adblock
detector