RMS vs Аттестация - Форум по вопросам информационной безопасности

У нас в компании две ИСПДн, одна бухгалтерия с кадрами, другая - ГИС К1. Компания декларирует курс на получение лицензии ФСБ на генерацию ключевой информации, что требует аттестации систем. При этом заместитель директора по ИТ продвигает установление программы Remote Manipulator System (http://rmansys.ru/). Помогите в нахождении юридически значимых обоснований неприемлимости установки.

"на получение лицензии ФСБ на генерацию ключевой информации, что требует аттестации систем"

Лицензия ФСБ на шифрования и аттестация ИСПДн несвязные вещи!!
Нет в лицензионных требованиях ФСБ наличия аттестованной ИСПДн в организации!

"Помогите в нахождении юридически значимых обоснований неприемлимости установки"
Его право его контора че хочет со своей ИС в рамках закона то и делает. Установка этой программы на РАБОЧИХ местах легитимна.

Насчет аттестации:

В соответствии с Постановлением правительства РФ от 16.04.2012 № 313
Для получения лицензии соискатель лицензии представляет (направляет) в лицензирующий орган заявление о предоставлении лицензии и документы (копии документов), указанные в пунктах 1, 3 и 4 части 3 статьи 13 Федерального закона "О лицензировании отдельных видов деятельности", а также следующие копии документов и сведения:
а) копии правоустанавливающих документов на помещения, здания, сооружения и иные объекты по месту осуществления лицензируемой деятельности, права на которые не зарегистрированы в Едином государственном реестре прав на недвижимое имущество и сделок с ним;
б) копии внутренних распорядительных документов, подтверждающих наличие условий для соблюдения конфиденциальности информации, необходимых для выполнения работ и оказания услуг, определенных настоящим Положением, в соответствии с требованиями о соблюдении конфиденциальности информации, установленными Федеральным законом "Об информации, информационных технологиях и о защите информации";

149 ФЗ
Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.

ПРИКАЗ ФСТЭК от 11 февраля 2013 г. N 17
13. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:
формирование требований к защите информации, содержащейся в информационной системе;
разработка системы защиты информации информационной системы;
внедрение системы защиты информации информационной системы;
аттестация информационной системы по требованиям защиты информации (далее –аттестация информационной системы) и ввод ее в действие;

Таким образом у нас есть ГИС на ИСПДн, а так как для получения написано что надо выполнить 149 ФЗ, а в нем что требования к защите ГИС определяет орган гос власти, а ФСТЭК говорит что надо аттестацию, а по классификации 17 приказа у на вообще выходет класс К1.

ППр 313 не касается ИСПДн!!!
Речь об АС КИ для обеспечения лицензируемой ФСБ деятельности. К ПДн это отношения не имеет!

149 ФЗ "При создании и эксплуатации государственных информационных систем"
А кто вам сказал что АС КИ для обеспечения лицензируемой ФСБ деятельности это ГИС!!?

ПРИКАЗ ФСТЭК от 11 февраля 2013 г. N 17 соответсвенно впролете раз АС не ГИС!

По поводу лицензирования вы меня убедили. Спасибо вам за ответ!

Но так как у нас ГИС, возникает вопрос, возможно ли прохождение аттестации с данной программой, так как она является системой удаленного доступа, сьёма и контроля информации.

"Но так как у нас ГИС"
А вы с чего взяли что ГИС!?

И если ВДРУГ!! это ГИС. То где пункты в 17 приказе запрещающие использовать в ГИС "системы удаленного доступа, "сьёма" и контроля информации"?

Извините, но вопрос я изначально и задавал о том чтобы помогли найти юридическое обоснование неприемлимости установки, если оно существует. Если нет или вы не знаете то так и скажите, не надо пожалуйста устраивать полемику над тем что другой чего то не знает. Я вам вначале предоставил все данные которые могли бы пригодится для ответа. Уточнение ГИС мы потому что так зарегистрированы в Роскомнадзоре.

"не надо пожалуйста устраивать полемику"
Я не устраиваю, а пытаюсь вытянуть из вас сведения о системе что бы "найти юридическое обоснование неприемлимости установки, если оно существует".
На основание тех данных которые вы привели юридического обоснования неприемлимости нет.

"Уточнение ГИС мы потому что так зарегистрированы в Роскомнадзоре"
Вы оператор ФГИС? Тогда непонятно зачем вам "лицензии ФСБ на генерацию ключевой информации"?

Я хочу уточнить, правильно ли я вас понял. Что если на АРМ обрабатывающий ПД в ГИС классифицированной как К1 согласно классификации 17 приказа поставить данную программу и она будет там работать, то при аттестации не возникнет ни каких проблем?

"то при аттестации не возникнет ни каких проблем"
В самом приказе нет запрета на технологию! и на ПО (кроме ПМВ) , а требования вы получаете из анализ своей системы и в соответствии с прил№ 2 к приказу.
Если ваши полученные требования не реализуются с учетом вашего технологического процесса (который учитывает определенную работу RMS в системе) то тогда аттестовать систему не получится под ваши условия.
А почему вы вдруг решили что ГИС К1? Сверху спустили?