Разработка ПО (нужна ли лицензия) - Форум по вопросам информационной безопасности

Добрый день, коллеги. Вышел у нас тут спор с руководством... Вопрос вот какой. Мы разрабатываем ПО. Один из наших продуктов, в своем функционале, использует шифрование и подписание документа электронной подписью. Используется функционал КриптоПро CSP. Т.е. сами мы ничего не разрабатываем в этом разрезе. Используем алгоритм стороннего сертифицированного криптопровадера. Нужна ли нам лицензия ФСБ на разработку и производство СКЗИ. Я считаю, что не нужна. Верно ли это?

Я считаю, что не нужна. Верно ли это?
Тонкий вопрос важны подробности. В Управление ФСБ субъекта отдел лицензирования позвоните с подробностями проконсультируйтесь. Как они скажут (напишут) так и будет.

Использование в ПО функционала стороннего сертифицированного криптопровайдера относится к т.н. "встраиванию". Отдельных лицензий на разработку, производство, распространение и т. д. сейчас нет - в соотв. с ПП-313, в рамках одной лицензии, существуют 28 видов деятельности/услуг. Ваши пункты - "...с использованием шифровальных (криптографических)...". Если разработка ведется "втихаря" и для себя - можете работать без лицензии. Если хотите такое ПО продавать - лицензия обязательна. И почитайте ПКЗ-2005 (особенно пп.35-36).

To Sekira: В свое местное Управление звонил. Не смогли проконсультировать.
To Ustav: У нас лицензии ФСБ еще старого образца (на предоставление услуг в области шифрования информации, на право распространения шифровальных (криптографических) средств, на право осуществления технического обслуживания шифровальных (криптографических) средств). ПКЗ-2005 смотрел. Возможно туплю, но вижу там все-таки все что касается разработки нового СКЗИ. Мы не разрабатываем. Мы даже не встраиваем. Мы используем отдельно установленный криптопровадер КриптоПРО. Наша прога через КриптоПро дотнет или Шарпей (специальные прослойки для связи с криптопровадером) передает на обработку (подпись, шифрование) документ, забирает и дальше им оперирует. Примерно как сделано в различных системах налоговой отчетности...

В данном комплексе только конфиденциалка. Очень укрупненно всегда считалось, что гостайна - это вотчина ФСБ, конфиденциалка - это ФСТЭК. Лицензия ФСТЭК на разработку средств обработки конф. информации у нас есть.

А где гарантия, что: 1) СКЗИ КриптоПро в Вашем ПО вообще используется? 2) Криптофункции КриптоПро (или "прослойки") вызываются правильно? Такую гарантию, в соотв. с ПКЗ-2005, может дать только ФСБ (разработчик СКЗИ, совместно со специализированной организацией, проводит оценку влияния... по ТЗ, согласованному с 8 Центром ФСБ).

По поводу "считалось": криптография - вотчина ФСБ, некриптографическая (техническая) защита - ФСТЭК. При этом, ОБА регулятора занимаются как ГТ, так и КИ.

Понял... Т.е. если встраиваем свою процедуру вызова криптопровадера - то лицензия нужна, а если выгружаем файлик на рабочий стол, обрабатываем его сторонней прогой, например, Крипто-АРМ, и в свое прогу забираем результат и дальше с ним оперируем - то не нужно. Не удобно, конечно, но чего ж делать, раз выход только такой.
Но всё-таки у меня большое сомнение что все системы налоговой отчетности, системы банк-клиент и пр таким образом писались и сдавались...

Как я знаю, ни один "клиент-банк" НЕ имеет заключения/сертификата соответствия ФСБ. Первый, кто такую "бумажку" на свою разработку получит - может стать монополистом (хотя, 382-П от ЦБ РФ допускает использование и буржуйской криптографии).

Вот и я о том же. Но никто же им не предъявляет требования исправиться. Хотя все системы банк-клиент - это коммерческие продукты. А Вы выше пишете что если продукт коммерческий - то лицензия обязательна. Ну, будем думать. Возможно, действительно, будем работать через Крипто-АРМ.

Пять копеек: все без исключения разработчики систем "клиент-банк" имеют соотв. лицензии ФСБ.