"Необходимость получения даже оператором ИС ПДн лицензии ФСТЭК РФ на
техническую защиту конфиденциальной информации (для ИС ПДн 1,2,
3(распределённые) классов). Такое требование устанавливается пунктом 3.14
документа «четверокнижия» ФСТЭК РФ «Основанные мероприятия по
организации ….» (выписка). В пункте указывается ссылка на требования
федерального закона № 128-ФЗ от 08.08.2001 «О лицензировании отдельных видов
деятельности» и постановлением правительства № 504 от 16.08.2006 «О
лицензировании деятельности по технической защите конфиденциальной
информации». Ввиду отсутствия получивших широкую огласку судебных решений
до сих пор идут споры о том, правомерно ли требовать наличие лицензии от
оператора ПДн в том случае, когда он выполняет работы по приведению в
соответствие своей деятельности сам (силами своих сотрудников и только для
себя). Ведь выполнение работ своими силами для собственных нужд не является
видом деятельности в терминах гражданского законодательства РФ. В противном
случае 100% компаний, использующих персональные компьютеры можно было бы
при отсутствии лицензии ФСТЭК РФ на ТЗКИ привлечь к уголовной
ответственности по ст. 171 УК РФ «Незаконное предпринимательство» просто за
настройку паролей в операционной системе в купленном ПК, сервере или
ноутбуке, так как это автоматически попадает под определение ТЗКИ при наличии
требований ст.4 128-ФЗ «Критерии определения лицензируемых видов
деятельности».

Итак, есть закон, есть ПП, однако есть еще и гражданский кодекс, а как известно, кодекс находится выше рангом в судебно-правовой системе РФ. Основная мысль выделена жирным шрифтом, и юристы говорят, что для компании, которая сама для себя реализует меры по ИБ, в случае претензий регуляторов в отсутствие лицензии, их можно оспорить в судебном порядке.

Я придерживаюсь такого мнения, тем более - повторюсь - ни один прецедент мне не известен.

Казусы законодательства... И не только в этой области Конечно, я не сторонник отговаривать кого-либо отполучения лицензии, так же как не сторонник отговаривать кого-либо ее получать - это целиком и полностью ВАШЕ решение, я лишь высказываю свое мнение. Но, на мой взгляд, с учетом совокупной стоимости владения этой лицензией (не будем забывать, что с 2010 года "халява" в части аренды спецпомещений и спецсредств фактически прекратилась - теперь их надо оборудовать самому и покупать), то суммочка вылазит огого... Стоит подумать и взвесить все "за" и "против".

Вобщем, резюмируя все это, можно сказать следующее. Лицензирование - требование государства, и подходить к нему необходимо с правовой точки зрения. Фраза "осуществление деятельности" - тоже юридическая заковырка. Если вы сами для себя устанавливаете межсетевой экран или антивирус - то вы осуществляете техническую защиту информации - юридического прецедента в получении лицензии здесь нет. А вот если вы делаете то же самое для других, по договору и за деньги - то с юридической точки зрения вы осуществляете ДЕЯТЕЛЬНОСТЬ по технической защите информации, а значит - будьте любезны лицензию получить (получать ее необходимо и в случае, если ваша основная деятельность невозможна без ТЗКИ - например, Ваша ИСПДн 1 класса, или вы - соответствующая госструктура). Это красной нитью проходит в 58 приказе ФСТЭК (в Положении о методах и способах).

Однако, не все это понимают... Да и потом - по статистике, шанс выиграть судебный спор гражданина у государства, по данным газеты "Коммерсант.Власть", составляет менее 10%. Так что думайте...

Уважаемые коллеги! Как вы считаете, и может, Вы знаете мнение регуляторов, если организация сама для себя, для внутреннего пользования, использует технические средства защиты информации - межсетевые экраны, антивирусы и т.д., должна ли она получать лицензию ФСТЭК на ТЗКИ? По-другому - является ли это "деятельностью по ТЗКИ" или все-таки деятельность - это когда для других и за деньги? Спасибо за ответ.

16:49:29 Юрий Черкас
Лицензия нужна только в том случае, если Вы оказываете услуги по ТЗКИ, т.е. Вам не нужна.

Еще одним мнением в подтверждение правильности моих доводов стало больше.

В свете недавно изменившегося законодательства по защите ПДн остается ли обязательной сертификация применяемых средств защиты информации?

16:42:19 Юрий Черкас
Для систем 1- го класса да.

Лично для меня не очевидная ситуация, т.к. видел неоднозначные мнения по поводу формулировки "оценки соответствия"

17. Evgeniy Zh. Says:

апреля 5, 2010 at 10:53
Я так понял, что сертификация ПО не нужна для ИСПДн 2, 3 и 4 классов. А действительно ли это для гос. учреждений? Дело в том, что на некоторых форумах ссылаются на документ СТР-К 2002, в котором прописано, что для гос. учреждений нужна обязательная сертификация ПО. Сам документ я не нашёл. Заранее благодарю.

alex_b Reply:

апреля 6, 2010 at 13:42

То, что вы не нашли документ – не удивительно. ДСП все-таки.
СТР-К, как ни крутись, это конфиденциальная информация в общем, и служебная – в частности. Но к ПДн он относится лишь косвенно (были у нас ПДн под ДСП – пришел ФСТЭК и сказал “Ай-я-яй…”, обозвали ПДн “Конфиденциально” – вопросы пропали). Таким образом, если у Вас нет категории “служебная информация”, то СТР-К приплетать не обязательно. А требования по сертификации там действительно есть (только не для классов ИСПДн, а для классов АС).
Если интересует документ – закажите у местного ФСТЭК.

То есть, подтверждается мнение о том, что сертификация автоматизированных систем в ряде случаев обязательна, только связана она не с защитой ИСПДн, а классом АС, определяемом в СТР-К.

58 приказ. Журналисты слышали звон, да не знают где он. И судя по всему, не разбираются в вопросе впринципе.