Лицензия ФСТЭК на экспорт  продукции

Лицензия - это разрешение на право работать в сфере защиты информации. Лицензия выдается на три года для определенных видов деятельности. После этого она будет повторно зарегистрирована способом, предусмотренным для выдачи лицензии.

Лицензия выдается, если предприятие, подавшее заявку на лицензию, соответствует условиям лицензирования: производственной и испытательной базе, нормативной и методической документации, а также научно - техническому персоналу.

Организационная структура системы государственного лицензирования предприятий в сфере защиты информации состоит из:

· Государственные Разрешительные Органы;

· Лицензионные центры;

· Заявители компании.

Государственные Разрешительные Органы:

· Организация государственных разрешительных обязательств для предприятий;

· Выдача государственных лицензий компаниям-заявителям;

· Соглашение о составе экспертных комиссий, представленных центрами лицензирования;

· Следить и следить за полнотой и качеством работ, выполняемых лицензиатами в области защиты информации.

Лицензионные центры:

· Сформировать экспертные комиссии и представить их состав руководителям соответствующих государственных приемных органов, ФСТЕК и ФСБ, для утверждения;

· Планирование и проведение работ по аудиту предприятий-заявителей;

· Контроль полноты и качества работ, выполняемых лицензиатами.

Центры лицензирования при государственных лицензионных органах создаются по распоряжению руководителей этих органов. Экспертные комиссии состоят из ряда экспертов в соответствующей области специалистов по защите информации из промышленности, правительства, других организаций и учреждений. Экспертные комиссии формируются в одной или нескольких областях защиты информации.

лицензия ФСТЭК является лицензионным:

· Сертификация, сертификационные испытания защищенных технических средств обработки информации (TSOI), аппаратная и программная защита, средства мониторинга эффективности мер защиты информации, обработки программного обеспечения, защиты и контроля безопасности;

· Сертификация систем информатики, автоматизированных систем управления, систем связи и передачи данных, компьютерных устройств и назначенных помещений для соблюдения требований политик и нормативных документов по информационной безопасности;

· Разработка, производство, продажа, установка, ввод в эксплуатацию, установка, ремонт, обслуживание защищенных информационных объектов, технических средств защиты и контроль эффективности мер защиты информации, защищенной обработки программного обеспечения, защиты и контроля информационной безопасности;

· Проведение специальных исследований электромагнитного помех и звукоснимателей (ПЕМИН) цои;

· Проектирование объектов в защищенном исполнении.

Уполномоченный орган имеет следующие задачи:

· Разработка правил, процедур и нормативных документов по лицензионным вопросам;

· Внедрение научно-методического управления лицензионной деятельностью;

· Публикация необходимой информации о лицензионной системе;

· Рассмотрение заявок организаций и воинских частей на выдачу лицензий;

· Согласование заявок с военными подразделениями, ответственными за соответствующие области защиты информации;

· Координация состава экспертных комиссий;

· Организация и проведение специальных проверок;

· Принять решение о выдаче лицензии;

· Выдача лицензий;

· Решение о приостановлении, продлении или аннулировании лицензии;

· Ведение каталога выданных, приостановленных, возобновленных и отмененных лицензий;

· Приобретение, выставление счетов и хранение лицензионных форм;

· Организация работы органов сертификации;

· Мониторинг полноты и качества работ, выполняемых лицензиатами.

В соответствии со статьей 17 Федерального закона от 08.08.2001 № 128-ФЗ „О лицензии отдельных видов деятельности“ (изменения Федеральным законом от 02.07.2005 № 80-ФЗ) являются лицензированию следующие виды деятельности (в области защиты Информации):

· Распределение инструментов шифрования (криптографические инструменты);

· Обслуживание инструментов шифрования (криптографические инструменты);

· Предоставление услуг по шифрованию информации;

· Разработка, производство шифровальных (криптографических) средств, защищенных шифровальными (криптографическими) информационными и телекоммуникационными системами;

· Разработка и (или) производство инструментов для защиты конфиденциальной информации; техническая защита конфиденциальной информации;

· Выявление электронных устройств, предназначенных для секретного получения информации в помещениях и технических учреждениях (за исключением случаев, когда эта деятельность осуществляется с целью обеспечения собственных нужд юридического лица или индивидуального предпринимателя).

В рамках рассматриваемых сфер деятельности были изданы отдельные постановления Правительства Российской Федерации, в которых объяснялась процедура утверждения. Среди них:

· Постановление правительства Российской Федерации от 26. Января 2006 г. № 45 „Об организации лицензирования отдельных видов деятельности“; постановление правительства Российской Федерации от 15. Августа 2006 г. № 504 „Об утверждении деятельности по технической защите конфиденциальной информации“;

· Постановление правительства Российской Федерации от 31. Августа 2006 г. № 532 „о лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации“;

· Постановление правительства Российской Федерации от 23. Сентября 2002 года № 691 „Об утверждении положений о лицензировании отдельных видов деятельности, связанных с шифрованием (криптографическими) средствами“.

Согласно этим документам, лицензиаты должны ежегодно представлять лицензионному органу или центру сертификации информацию о количестве работ, выполненных по определенным видам деятельности, указанным в лицензии. Лицензиаты несут ответственность за полноту и качество выполненных работ и обеспечивают безопасность государственных секретов, вверенных им в рамках практической деятельности.

Лицензирование мероприятий по технической защите конфиденциальной информации

В последние годы правовая база в сфере информационной безопасности создала дорогостоящие, сложные и противоречивые механизмы, не учитывающие ни особенностей обработки конфиденциальной информации в различных сферах деятельности, ни способности операторов выполнять установленные требования. Кроме того, требования к операторам информационных систем, обрабатывающих конфиденциальную информацию, в том числе персональные, со стороны ФСТЭС России содержат механизм государственного регулирования, например, деятельность по технической защите конфиденциальной информации, для которой у большинства операторов нет достаточных материальных и людских ресурсов. Особенно это касается бюджетных организаций в сфере образования, медицинской помощи, ЖКХ и муниципальных услуг. Юридические вопросы получались от отсутствия законов Федерального законодательства по защите конфиденциальной информации, например, amtsgeheim секреты, Профессиональные тайны, двусмысленных положений, а также рассмотрели Изменения и дополнения Федерального закона № 152 „О персональных данных“ и другими нормативными законами . При этом федеральные законы требуют дальнейшего уточнения и уточнения постановлениями Правительства Российской Федерации и методическими документами ФСТЭК и Федеральной службы безопасности России.

Принятие указа от 3. Февраля 2012 года № 79 „упоминается О лицензии на деятельность по технической защите конфиденциальной информации“ правительством Российской Федерации при утверждении „положения о лицензирования деятельности по технической защите конфиденциальной информации“ (далее „регламент“) и отмене ранее действующего указа от 15. Августа 2006 Года № 504 вновь возникает вопрос, Что нового в указанном постановлении и нужна ли ФСТЭК России лицензия, если организация защищает конфиденциальную информацию „для собственных нужд“, а не предоставляет уги за деньги?

В соответствии с разделом 1 регламент определяет порядок лицензирования деятельности по технической защите конфиденциальной информации (не содержащей сведений, представляющих государственную тайну, но охраняемых законодательством Российской Федерации), осуществляемой юридическими лицами и индивидуальными предпринимателями.

И тут же возникает вопрос с термином "конфиденциальная информация", который указан в постановлениях и используется в документах ФСТЭК России, но отсутствует в федеральном законодательстве. Федеральный закон №149 от 27.07. 2006 "Об информации, информационных технологиях и защите информации" в пункте 7 ст.. 2 содержит только определение конфиденциальности информации, которое является обязательным для лица, имеющего доступ к определенной информации, и обязательство не передавать эту информацию третьим лицам без согласия владельца. Конфиденциальность на латинском языке означает“ доверие " (т. е., передавая такую информацию, мы надеемся на вашу безопасность и нераспространение, поскольку ваше раскрытие может нанести ущерб сторонам). Следует отметить, что отсутствие ясности отдельных терминов, а также иногда необоснованные изменения определений и понятий информационного права не способствуют совершенствованию законодательства в информационной сфере. В то же время лицензия ФСТЕК России продолжает использовать термин "конфиденциальная информация", который законодатель уже отверг.

В соответствии с законодательством Российской Федерации обязательными знаками для получения информации с ограниченным доступом должны быть:

• информация имеет фактическую или потенциальную ценность для владельца из-за ее неизвестности третьим лицам. Такими лицами могут быть государство, юридические лица или физические лица;

• информация юридически недоступна. Возможность передачи их третьим лицам регулируется федеральным законодательством;

• владелец информации принимает меры для его защиты.
  
  

6. В марте 1997 года президент Российской Федерации издал указ № 188, которым "перечень конфиденциальной информации" утверждено, что следующая информация как конфиденциальная информация была засекречена :

• о фактах, событиях и обстоятельствах личной жизни гражданина, позволяющих установить его личность (персональные данные), за исключением информации, распространяемой в средствах массовой информации в случаях, установленных федеральными законами;

• представлять секретное расследование и судебное разбирательство;

• доступ, ограниченный государственными органами в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (должностная тайна) ;

• в связи с профессиональной деятельностью, доступ к которому ограничивается в соответствии с Конституцией Российской Федерации и федеральными законами (медицина, нотариальной конторы, адвокатской тайной, секретной переписки, телефонных переговоров, Почтовых, телеграфии или иных сообщений и т. д.) ;

• в связи с коммерческой деятельностью, доступ к которой ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна) ;

• о сущности изобретения, полезной модели или вкусовой модели до официального опубликования информации о нем.

Новая резолюция также уточняет термин „техническая защита конфиденциальной информации“ (далее именуемый TKKI), который в соответствии с пунктом 2 постановления означает следующее:

Выполнение работ и (или) оказание услуг по их защите от несанкционированного доступа, от утечки технических каналов, а также от особого воздействия на такую информацию с целью ее уничтожения, фальсификации или блокировки доступа к ней.

Таким образом, речь идет либо о проведении работ на ЦКИ, либо об оказании услуг на ЦКИ, либо о совместной деятельности.

При осуществлении мероприятий по технической защите конфиденциальной информации следующие виды работ и услуг являются лицензионными.:

• контроль безопасности конфиденциальной информации от потери техническими каналами в:

- Средства и системы информатизации;

Технические средства (системы), которые не являются конфиденциальными

информация, которая, однако, находится в помещениях, где она обрабатывается;

Помещения с защитными сооружениями (системами);

Помещения для конфиденциальных переговоров (далее: охраняемые помещения);

• контроль безопасности конфиденциальной информации от несанкционированного доступа и ее изменения в средствах и системах информатизации;

• сертификационные проверки соответствия информации продуктам защиты конфиденциальной информации (технические средства защиты информации, защищенные технические средства обработки информации, технические средства мониторинга эффективности мер защиты информации, программное обеспечение (программное обеспечение и оборудование), средства защиты информации (далее ГИС) , защищенное программное обеспечение (программное обеспечение и оборудование) средства обработки информации, программное обеспечение (программное обеспечение и оборудование) контроль безопасности inf rmatsii);

• сертификационный экзамен и сертификация для соблюдения политики конфиденциальности:

Охраняемые Помещения;

• безопасный дизайн:

- Инструменты и информационные системы;

Помещения с защищаемыми информационно-информационными установками (системами);

Охраняемые Помещения;

• установка, монтаж, испытания, ремонт средств защиты Информации (технических ГИС, защищенных технических средств обработки информации, технических средств Контроля эффективности мер защиты Информации, программных (программно-технические) инструменты защиты Информации, защищенных программных (программно-технические) инструменты обработки Информации, программных (программно - аппаратных) проверок информационной безопасности).

В то же время, в отличие от эксплуатации криптографических средств защиты, в которых Министерство финансов России является уполномоченным органом, эксплуатация SZI не применяется к утвержденной деятельности. Эта позиция российского ФСТЭК вызывает вопросы. Почему лицензированы только первые шаги в создании системы безопасности-проектирование системы безопасности и установка инструментов безопасности? Почему ежедневная работа специалистов и служб информационной безопасности по эксплуатации и мониторингу эффективности ГИС не подпадает под лицензирование? Ведь это не менее важно, чем создание системы защиты, поскольку задача разрешения отдельных видов деятельности является предупреждение, выявление и пресечение нарушений юридическим лицом, их руководителя и других сотрудников нарушают требования Федерального закона от 4.5.2011. № 99-ФЗ „О лицензировании отдельных видов деятельности“, другие федеральные законы и другие нормативные законодательные акты РФ, принятые в Соответствии с ним.
По пункту 1 ст. 49 ГК РФ определенные виды деятельности, перечень которых установлен законом, юридическое лицо может быть прекращено только на основании специального разрешения (лицензии). Виды деятельности, на осуществление которых требуется разрешение, определенных в Федерального закона от 4.05.2011 N 99-ФЗ "О лицензии отдельных видов деятельности", п. 5 ст. 12 из них включены в число этих видов и видов деятельности ТККИ.

Термин "услуги" сам по себе означает определенный тип договора (глава 39, статьи 779-783 Гражданского кодекса), то есть многостороннюю сделку, в которой должна присутствовать и другая сторона (пункт 1 статьи 154 Гражданского кодекса). Но термин" труд "в законе не определен и может быть определен в русском языке только на основе многих значений:"профессия, труд, деятельность".

Таким образом, из приведенной выше формулировки можно сделать вывод, что деятельность по ТЦКИ является лицензионной как для третьих лиц („услуги“), так и для собственных нужд („работы“).

Если организация выполняет работы по своей технической защите в рамках защиты внутренней конфиденциальной информации, она, соответственно, обязана получить соответствующую лицензию. Например, в отношении защиты персональных данных оператор не имеет „собственных потребностей“ для их защиты и не может существовать в соответствии с законом. Федеральный закон № 152 „О персональных данных“ служит исключительно защите прав и свобод человека и гражданина при обработке его персональных данных. Закон не устанавливает никаких других целей (в том числе удовлетворения потребностей операторов). Кроме того, Федеральный закон 99-ФЗ „О лицензировании определенных видов деятельности“ включает в себя для лицензируемых видов деятельности мероприятия, которые могут привести к ущемлению прав, законных интересов и здоровья граждан. Закон не различает интересы субъекта персональных данных (работника) и субъекта персональных данных (третьих лиц) с точки зрения основного права гражданина на личные секреты. Законодатель (через институт лицензирования) защищает все персональные данные от последствий некачественного выполнения работ по ЦКИ.

С решением от 28.08.07 утвержденного административного регламента в ФСТЭК России для осуществления государственной функции в области лицензирования TZKI (далее административного регламента). № 181 с последними Изменениями от 30. Сентября 2011 года в Соответствии с постановлением № 515 определяет сроки и последовательность действий (административных процедур) Федеральной службы по техническому развитию и развитию экспорта России при осуществлении своих полномочий в части лицензирования TKKI деятельности. Деятельность по ТЗКИ, осуществляемая юридическими лицами и индивидуальными предпринимателями, является лицензионной.

Анализ положений Административного регламента показывает, что процедура получения лицензии на ТККИ требует много времени, усилий и денег. Для получения лицензии на деятельность ТЗКИ необходимо подтвердить возможность соответствия лицензионным требованиям и условиям, установленным в постановлениях.

Требования к допуску заявителя на получение лицензии на осуществление деятельности ТККИ (статья 5 постановлений):

а) претендент на лицензию имеет юридическое лицо-специалистов по статусу претендента на лицензию, имеющих высшее профессиональное образование в области технической защиты информации или высшее техническое или среднее профессиональное (техническое) образование и прошедших переподготовку или Повышение квалификации в области технической защиты информации.

б) лицензия заявителя (лицензиата) имеет помещения для лицензионной деятельности, соответствующие техническим стандартам и требованиям технической защиты информации, установленных в правовых актах Российской Федерации и находящихся в собственности заявителя или по иным правовым основаниям;

в) наличие производственного, испытательного и испытательного оборудования на любой правовой основе, прошедшей в соответствии с законодательством Российской Федерации, метрологическая калибровка (калибровка), маркировка и сертификация;

г) использование автоматизированных систем, обрабатывающих конфиденциальную информацию, а также средств защиты этой информации, прошедших процедуру оценки соответствия (сертифицированную и / или сертифицированную по требованиям информационной безопасности) в соответствии с законодательством Российской Федерации;

e) использование программ для осуществления лицензионной деятельности для электронных компьютеров и баз данных на основе соглашения с их владельцем авторских прав;

д) наличие правовых актов, нормативных и методических документов для технической защиты информации в соответствии со списком, составленным ФСТЭК России.