Временное размещение МП, ГО и ЧС в спец. отделе. - Форум по вопросам информационной безопасности

Для Игорь 52452
Мой пост 52444 вполне исчерпывающий
Согласно 333 Постановлению - ФСТЭК наделен соответствующими полномочиями по ведению лицензионной деятельности в данной сфере. И как следует из лицензий - этот вид деятельности является лицензируемым!

"Мало ли что написано в лицензии"
А к лицензии я бы относился более уважительно ;)

Нарушение правил защиты информации:
Нарушение условий, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, влечет наложение административного штрафа (ч.3 ст.13.12 КоАП РФ):

· на должностных лиц в размере от 20 до 30 минимальных размеров оплаты труда;

· на юридических лиц - от 150 до 200 минимальных размеров оплаты труда.

Незаконная деятельность в области защиты информации:
Занятие видами деятельности, связанной с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, без лицензии влечет наложение административного штрафа (ч.2 ст.13.13 КоАП РФ):

· на должностных лиц в размере от 40 до 50 минимальных размеров оплаты труда;

· на юридических лиц - от 300 до 400 минимальных размеров оплаты труда с конфискацией созданных без лицензии средств защиты информации, составляющей государственную тайну, или без таковой.

"Если следовать вашей логике, то тогда любая организация, имеющая аттестованные ОИ, должна получать и лицензии ФСТЭК для возможности работы администратора безопасности с СЗИ. Лицензия нужна, если вы оказываете услуги сторонним организациям"

Я этого не говорил. Администратор безопасности ОИ обеспечивает штатное функционирование данного СЗИ, а лецинзированию подлежит: установка, монтаж, наладка (и все! Не более того) А вот если он и это делает то......да выходит нужна и лицензия

Вы ведь все таки согласны (пост 52449) , что лицензия нужна если услуги такие оказываются??!!))) Тогда где написано что для собственных нужд она не нужна????

tao, Госструктура

"И как следует из лицензий - этот вид деятельности является лицензируемым!"

Это должно следовать не из лицензии, а из законодательных актов и нормативных документов! Ни в одном ФЗ или постановлении правительства или НМД ФСТЭК нет пунктов, указывающих, что настройка СЗИ является лицензируемым видом деятельности. Сама лицензия - это не законодательный акт, поэтому ваши ссылки на якобы нарушения законов совершенно неуместны. В данном случае ничего не нарушается, а если нарушается, то укажите пункт НМД или законодательного акта, который нарушен!

Спасибо за ответ.

После долгих дискуссий все же склоняюсь к 3 варианту (подсадить за комп. секретного отдела).
Хотя. На счет переноса АС целиком, совещался с аттестующим органом, сказали, что если перестановка носит временный характер (до 1 месяца), то без проблем, можно, и даже официальную бумагу напишут. (Забыл добавить самое важное. Оба помещения в одном здании, смежные. Компы спец. отдела и мобистов в одной ОИ. Соединены сетью (все компы и в отделах и между ними). Все аттестованно. КЗ не стены помещения, а забор.)

А по поводу лицензии ситуация следующая, у самого возникал давно такой вопрос, разбирался, и пришел в выводу. Если человечек делаешь настройку СЗИ для себя, то ему нужен только допуск к гос. тайне (по нужной форме), а вот если он делает это для другой организации, то есть оказывает услуги, то тут уже надо иметь лицензию.

Для Игорь (52455)
Читаем все последовательно:
1. Подпункт 3 пункта 1. Федерального закона от 04.05.2011 N 99-ФЗ "О лицензировании отдельных видов деятельности"
2. Статья 27 Закона РФ от 21.07.1993 N 5485-1 (ред. от 21.12.2013) "О государственной тайне"
3. Абзац 2 пункта 2 Постановления Правительства РФ от 15.04.1995 N 333 "О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны"
4. Пункты 12, 13 Указа Президента РФ от 16.08.2004 N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю"
И читаем подпункт 13.1 данного Указа....
Все вполне исчерпывающе

Для Инженер по ЗИ ( 52457) и Игорь (52449)
Где же написано, что для себя можно и без лицензии...???
Извините может быть за излишнюю мою настойчивость. Но вопрос для меня принципиально важен...

2 Инженер по ЗИ, Sewenklan

Если всё же пригодится вариант 1, "даже официальную бумагу напишут." В этом случае они берут ответственность на себя.
Но ОЧЕНЬ внимательно посоветуйтесь по форме такой бумаги с вашим юристом и секретчиком. Поскольку это по смыслу "врио аттестата", и если перед ФСТЭК ответит орган по аттестации, то у ФСБ можно получить и нарушение.
Ну и не забыть издать свои распорядительные документы о переводе туда и обратно.

В этом смысле третий вариант безопаснее. По его "легализации" согласен с уточнениями Игорь и sekira.

для tao.

Все что привели мимо кассы..
Нет там требований... (даже за уши не притянуть) что "в случае настройки СЗИ НСД администратором безопасности информации АС организация владелец АС должна иметь лицензию ФСТЭК по ГТ".
Вопрос в терминах что вы считаете вы должны лицензировать какую "деятельность, услуги , работы" определитесь и можно дальше вести разговор.

Ок, принял к сведению, будем решать.
Спасибо за ответы. Особенно Практик. Очень помогли.
Мой вопрос исчерпан.

Для sekira (52460)
Подскажите пожалуйста, я что то совсем запутался:
Почему, для выполнения работ по монтажу, установке и настройке СЗИ от НСД сторонней организацией, нужна соответствующая лицензия ФСТЭК, а для тех же работ только выполняемых для собственных нужд данная лицензия не требуется (как меня пытаются убедить)????
Соглашусь, что данный вид работ, выполняемый сторонней организацией является – «услугой», но ведь выполнение этого же вида работ для «для себя» является - «осуществлением мероприятий» и согласно пункту 12 Указа Президента РФ от 16.08.2004 N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю" подпадает под лицензирование.
Дословно: «12) организует и проводит лицензирование деятельности по осуществлению мероприятий и (или) оказанию услуг в области защиты государственной тайны (в части, касающейся противодействия техническим разведкам и (или) технической защиты информации), …»
Из лицензии
Лицензия ФСТЭК на проведение работ, связанных с созданием СЗИ
Перечень работ связанных с созданием СЗИ, на которые распространяется настоящая лицензия:
Разработка, производство, реализация, установка!, монтаж!, наладка!, испытания, ремонт, сервисное обслуживание:
технических СЗИ;
…
программных (программно-технических )СЗИ

В чем я ошибаюсь?????
Может лучше для обсуждения данного вопроса открыть новую тему???
Заранее спасибо за разъяснения….

"Может лучше для обсуждения данного вопроса открыть новую тему??? "
Тема обсосана на форуме не раз но применительно к ТКЗИ я разницы с ГТ не вижу. Было даже несколько разьяснительных писем ФСТЭК. Ссылки искать лень.

"для выполнения работ по монтажу, установке и настройке СЗИ от НСД "
Потому что если это делает сам для себя организация то она не оказывает услуги, не получает выгоду и не дает никаких испытательных документов.

Не надо притягивать лицензию на создание СЗИ к настройке СЗИ!

Еще раз повторю вся соль в формулировке того на что вы собрались якобы получать лицензию. Здесь тонкость.
Ладно по пунктам (но белое пятно остается в все правильно не понимаете :))

Статья 27. ФЗ О ГТ
... а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, осуществляется путем получения ими в порядке...

ПОСТАНОВЛЕНИЕ
от 15 апреля 1995 г. N 333
В соответствии с Законом Российской Федерации "О государственной тайне" и в целях установления порядка допуска предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны

В новом
пункту 12 Указа Президента РФ от 16.08.2004 N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю"

12) организует и проводит лицензирование деятельности по осуществлению мероприятий и (или) оказанию услуг в области защиты государственной тайны (в части, касающейся противодействия техническим разведкам и (или) технической защиты информации), …»


Основные слова "мероприятий и (или) оказанием услуг по защите государственной тайны"

Дальше ...
Положение
о государственном лицензировании деятельности в области защиты информации (новое ФСТЭК не издал)
1.2. В настоящем Положении используются следующие основные понятия: лицензирование в области защиты информации - деятельность, заключающаяся в передаче или получении прав на проведение работ в области защиты информации

Перечень видов деятельности предприятий в области защиты информации, подлежащих лицензированию Гостехкомиссией России:

3. Разработка, производство, реализация, монтаж, наладка, установка, ремонт, сервисное обслуживание защищенных ТСОИ, технических средств защиты информации, технических средств контроля эффективности мер защиты информации, защищенных программных средств обработки информации, программных средств защиты информации, программных средств контроля защищенности информации.

Ключевые слова "виды деятельности" и "работ".

Вся проблема в трактовке считать ли то что делает админ на ОИ с СЗИ (для своих нужд, без извлечения прибыли) "виды деятельности" и "работами", "мероприятиями".

Расшифровки в др. документах нет. Можно попробовать посмотреть Гражданский кодекс.
Четких формулировок как видите нет - вопрос трактовки. Если проблема есть на объекте можно написать подробное письмо регулятору, или позвонить.

tao, Госструктура 52458

Согласен с тем, что написал Sekira 52465 и чтобы не повторяться - небольшое дополнение.
1. ФЗ-99 от 04.05.2011 не относится к лицензированию, касающемуся ГТ (п.2 п.п.3).
2. В ПП 333 от 15.04.1995 в абзаце 2 п. 2 определено только, что ФСТЭК является уполномоченным органом на ведение лицензионной деятельности на право проведения работ, связанных с СОЗДАНИЕМ СЗИ и все! Нет перечисления видов работ, на которые требуется получать лицензию! Вы, как организация эксплуатирующая СЗИ НСД, не являетесь ее разработчиком и для чего вам эта лицензия непонятно.

Повторюсь еще раз, но следуя вашей логике, любое движение администратора безопасности требует наличия лицензии. Например, уволился кто-нибудь из пользователей и чтобы удалить его учетную запись нужно привлекать лицензиата?

Остальное уже написано выше Sekira