В каких случаях требуется лицензия ФСТЭК России на деятельность по технической защите к...
В каких случаях требуется лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации и лицензия ФСБ России на деятельность с использованием средств криптографической защиты информации? В соответствии с требованиями законодательства Российской Федерации лицензированию в сфере информационной безопасности подлежит деятельность организаций по выполнению работ и оказанию услуг в области защиты информации. Именно характер выполняемых работ и услуг определяет необходимость лицензий ФСТЭК России или ФСБ России, при этом лицензии могут требоваться не только при работе с внешними заказчиками, но и при выполнении отдельных видов деятельности по защите информации внутри самой организации. Деятельность по технической защите конфиденциальной информации (ТЗКИ) регулируется ФСТЭК России в соответствии с ППРФ № 79. Требование о наличии лицензии распространяется на организации, осуществляющие проектирование защищённых ИС, мониторинг безопасности информации, проведение контроля защищённости, а также установку и настройку СЗИ и аттестацию объектов информатизации. Лицензия требуется и при выполнении указанных работ для собственных нужд организации, если в силу законодательства на неё возложена обязанность по защите информации. Для коммерческих организаций, обрабатывающих ПДн исключительно для внутренних целей, лицензия ТЗКИ, как правило, не требуется. В частности, лицензия требуется, когда ИСПДн признана значимым объектом КИИ, организация выступает оператором ГИС или является субъектом КИИ, владеющим значимыми объектами. Выполнение работ по ТЗКИ для собственных нужд без лицензии ФСТЭК России в соответствии с ППРФ № 79 может квалифицироваться как осуществление лицензируемой деятельности с нарушением требований законодательства Российской Федерации. Сфера применения криптографических методов защиты информации регулируется ФСБ России и регламентируется ППРФ № 313. Лицензированию подлежит деятельность по разработке, производству, распространению (продаже), установке, настройке и техническому обслуживанию средств криптографической защиты информации (СКЗИ). В частности, к лицензируемым видам деятельности относятся продажа сертификатов электронных подписей и программ для работы с ними, поставка средств шифрования, их техническая поддержка, даже если эти действия осуществляются в адрес дочерних организаций или иных юридических лиц в рамках группы компаний. А если организация использует СКЗИ только для собственных нужд, например, отправляет отчетность в налоговую службу через электронную подпись, лицензия ФСБ России не требуется. Также при разработке или производстве средств защиты конфиденциальной информации требуется наличие лицензии в соответствии с ППРФ № 171, требования которого применяются как в сфере регулирования ФСТЭК России, так и ФСБ России. Лицензия распространяется на создание технических, программных и аппаратных СЗИ как самостоятельных изделий и является обязательной для последующей их сертификации. Стоит также учесть, что получение лицензий требует от организаций реализации комплекса мер, включая приобретение и настройку специализированных средств обработки и защиты информации, наличия аттестованных объектов информатизации, нормативно-методической документации и квалифицированного кадрового состава. Полный же состав мер определяется исключительно перечнем заявляемых работ и услуг. Процедура лицензирования предусматривает обязательную документарную оценку, при этом выездная оценка проводится в случаях, предусмотренных законодательством. Для лицензий ФСТЭК России в соответствии с ППРФ № 79 и № 171 проведение выездных мероприятий является скорее исключением. Таким образом, каждая организация должна определить, относится ли ее деятельность к лицензируемой в соответствии с описанными критериями, и предпринять соответствующие действия по получению таких лицензий в случае необходимости.