Защита персональных данных в медучреждении - лицензия на ТЗКИ нужна? - Форум по вопросам информационной безопасности

Есть инсайдерская информации о компании (весьма солидной), которая якобы привела свою защиту ПД (К1) к требованиям закона. Выглядит все просто - обращаемся к лицензиату ФСТЭК, проходим все этапы, устанавливаем средства защиты и все прочее, проходим аттестацию и все, привет, спокойно дышим. Однако, в письме ФСТЭК на сайте Минздравсоцразвития http://www.minzdravsoc.ru/docs/others/15 русским по белому написано, организация осуществляющая техническую защиту информации даже для собственных нужд, обязана иметь лицензию ФСТЭК. Вроде и компания не лоховская, юр.служба будь здоров, служба безопасности, все дела, а с другой стороны вполне конкретное письмо от ФСТЭК. Что же все-таки правда?

Получение лицензии на вид деятельности и аттестовать технику для обработки информации - это разные самостоятельные "вещи". Есть требование по защите ПДн - они его выполнили, есть другое требование по рецензированию - они ... скажем "в процессе" выполнения. :-)

Сорри опечатка -> требование по лицензированию

Я понимаю, что вещи это разные. Вопрос в том, нужна нам, медицинскому учреждению, лицензия ФСТЭК на техническую защиту, или достаточно провести мероприятия с помощью партнера-лицензиата и получить от них же "аттестат соответствия" информационной системы ?

По сути, вопрос толкования понятия техническая защита информации. Является ли обработка данных на аттестованной защищенной информационной системе технической защитой, или защита - это только мероприятия по приведению системы в защищенное состояние? А работа с ней - это как бы просто использование. Но если верно второе, то даже новый ключ мы самостоятельно не можем создать. Или замок в серверной поменять. Только с привлечением сторонней организации.

По сути, вопрос толкования понятия техническая защита информации. Является ли обработка данных на аттестованной защищенной информационной системе технической защитой, или защита - это только мероприятия по приведению системы в защищенное состояние? А работа с ней - это как бы просто использование. Но если верно второе, то даже новый ключ мы самостоятельно не можем создать. Или замок в серверной поменять. Только с привлечением сторонней организации.

По сути, вопрос толкования понятия техническая защита информации. Является ли обработка данных на аттестованной защищенной информационной системе технической защитой, или защита - это только мероприятия по приведению системы в защищенное состояние? А работа с ней - это как бы просто использование. Но если верно второе, то даже новый ключ мы самостоятельно не можем создать. Или замок в серверной поменять. Только с привлечением сторонней организации.

Прошу прощения, почему-то при обновлении страницы сообщения плодятся как кролики.

Говорите, что понимаете, а вопрос задаёте тот же. Если Вы получите "аттестат соответствия", то закроете одну проблему. Получение лицензии - это другая проблема.

На этом форуме уже 100 раз обсуждалось абсурдность в необходимости получения лицензии ФСТЭК "для себя", если ты не собираешься оказывать услуги на стороне. Так нет же, Вам надо это ещё выставить на показ - пусть будет некий "Дом-2"... Поймите ФСТЭК не может идти против закона "О лицензировании". Если в законе сказано надо, значит надо: в официальных письма на запросы ФСТЭК это только подтверждает, это не его прихоть. ФСТЭК такой же исполнитель законов, как и мы. Не стоит поднимать "волну"...

"Говорите, что понимаете, а вопрос задаёте тот же." - я говорю, что понимаю, потому что понимаю. Понимаю я то, что "Получение лицензии на вид деятельности и аттестовать технику для обработки информации - это разные самостоятельные "вещи". А вопрос задаю тот же, так как то, что я понимаю, не является ответом на вопрос - надо ли нам иметь лицензию ФСТЭК. Если нет, то аргументы, почему нет. Абсурдность требований законов не волнует. "Выставлять на показ" - тоже не обо мне. Меня волнуют легальные пути снизить затраты. Если 100 раз обсуждалось, помогите ссылкой (во всяком случае, я бы сделал именно так в аналогичной ситуации).