Требования к наличию лицензий у оператора, осуществляющего выбор средств защиты - Форум по вопросам информационной безопасности

В продолжение к 37094
Постулат 2 – что же является документом согласующим тип выбранного СКЗИ?
Расскажу притчу
Однажды в отдельно взятой конторе, расположенной в государстве о котором говорят: «Не ту страну назвали Гондурасом», решили провести ОКР по расширению функциональных возможностей своей сети конфиденциальной связи (десятки тысяч СКЗИ распределенных по всей территории страны).
Спецы конторы провели мониторинг сетей имеющихся схожие технические возможности, как положено по 94 ФЗ сформировали ТТ, привели требования к СКЗИ системы, определили лимитную цену и объявили конкурс.
На конкурс вышло около 5 предприятий, одно из которых предложило техническое решение задачи на СКЗИ собственного производства (отличного от указанного), но по жутко демпинговой цене (желая компенсировать потери на дальнейших поставках своих СКЗИ). И как обычно, по решению независимой конкурсной комиссии (вопреки мнению экспертов), именно это предприятие выиграло конкурс.
И что же делать, как же быть? Нужно заключать договор на условиях конкурсанта и согласовывать ТЗ и СТЗ на ОКР, в противном случае, разрыв и уплата конкурсанту жуткой неустойки (за потерянную ими выгоду и «не проделанную работу»). При этом праворегуляторы самоустранились, обосновав это тем, что они отвечают только за класс защиты информации и им все равно на каком типе СКЗИ будет выполнена данная ОКР, да и СТЗ пока не разработано и поэтому на согласование к ним не поступало, а следовательно и согласовывать не чего.
Далее вкратце: в конце концов, почти доведя дело до суда, работы были выполнены на типе СКЗИ определенным заказчиком. Для этого в соответствии с ПКЗ-2005 были подготовлены ТЗ и СТЗ (на условиях исполнителя), но в этапы тех.проекта включены дополнительные «не предусмотренные ТТ» работы и сравнительные исследовательские испытания (в том числе на возможность встречной работы СКЗИ), по результатам которых подготовлены компромиссные, устроившие заказчика, дополнения к ТЗ и СТЗ. Но сроки предусмотренных ТТ этапов работ были скомканы из-за чего приемочные испытания проведены по усеченной программе.

В продолжение к 37094

Постулат 3 – кто же определяет тип СКЗИ?
п 7 ПКЗ-2005 гласит: «…, необходимость криптографической защиты информации и выбор применяемых СКЗИ определяются государственными органами или организациями, выполняющими государственные заказы», т.е либо Заказчик либо лицензированный Исполнитель (правда «между строк» здесь прослеживается и праворегулятор). Следует учесть, что с п.7 связаны так же п.8 и9.
Далее читаем абзац 2 п.12: «Реализация в конкретных образцах СКЗИ и сетях (системах) конфиденциальной связи требований по безопасности информации возлагается на разработчика СКЗИ» Этот пункт не противоречит п. 12, т.к. согласно ПКЗ-2005 разработчик СКЗИ и есть Исполнитель НИОКР.
И на закуску п. 25. «ТТЗ (ТЗ) на проведение ОКР (составной части ОКР) или СТЗ заказчик СКЗИ направляет на рассмотрение в ФСБ России, которая в течение двух месяцев с момента получения документов обязана согласовать ТТЗ (ТЗ) или дать мотивированный отказ с указанием конкретного образца СКЗИ, рекомендуемого заказчику СКЗИ к использованию или модернизации». Из этого следует, что праворегулятор (ФСБ России) может, на этапе согласования ТЗ (СТЗ), «рекомендовать» заказчику другой тип СКЗИ.