Соната АВ-4Б - СТЗИ или нет? - Форум по вопросам информационной безопасности

Коллеги, добрый день.
Сегодня столкнулись с такой казуистикой: клиент просит обосновать требование о наличии лицензии на ТКЗИ у организации, монтирующей виброакустику Соната АВ-4Б.
Согласно ПП №79 (Положение о лицензировании деятельности по технической защите конфиденциальной информации),
п. 4. При осуществлении деятельности по технической защите конфиденциальной информации лицензированию подлежат следующие виды работ и услуг:
е)установка, монтаж, испытания, ремонт средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации).
Так вот, в сертификате на данную Сонату не сказано, что она является ТСЗИ.
В Анне мне не помогли, во ФСТЭК тоже..

Может коллеги подскажут?

Спасибо!

"Так вот, в сертификате на данную Сонату не сказано, что она является ТСЗИ."
А почему вы решили что в сертификате это должно быть? Есть требования? Чем вам не нравится то что написано в сертификате.
Сертификация проведена в системе сертификации СЗИ ФСТЭК. Соната =СЗИ! Пункт е)установка, монтаж, испытания, ремонт СЗИ!
Ну сошлитесь на сертификат и на положение по сертификации СЗИ и на постановление по ТЗКИ.

1. Потому что в ранних сертификатах это всегда указывалось.
2. В подпункте е) ПП по ТЗКИ много СЗИ перечислено, но нет "средства активной акустической и вибрационной защиты акустической речевой информации", как указано в сертификате.
Мне приходится общаться с юрслужбой клиента.

Олег, а в руководстве по эксплуатации (у меня под рукой его нет) не сказано, что установку на объекте имеет право делать организация, имеющая лицензию ФСТЭК, ФСБ?
На Сонаты АВ "Анна" вроде писала такую фразу раньше.

Проверил - не сказано(

2 Олег:
а клиент на свои помещения какие то документы составил (акты, паспорта)? Он там должен признать защищаемую информацию какой-то категории (как минимум, не ГТ). Чисто формально, если клиент вообще не считает её КИ, то он вправе ставить и настраивать что угодно как угодно, защита таких объектов действительно не входят в систему сертификации.
Если он признал информацию защищаемой (ПДн, коммерческая), то раскручиваем по цепочке - является ли, например, коммерческая тайна КИ -> подлежит ли КИ защите по требованиям ФСТЭК. Естественно, юристы постараются отказы дать устно..., но предупредить письменно, что при несоблюдении ПП 79 объект не сможет быть признан соответствующим требованиям по ЗИ (аттестован), и есть реальный шанс попасть под "нецелевое расходование средств" (работы оплачены, но ТЗ заказчика не соответствуют нормативным документам),
Прошу прощения за тезисность - нет нормативки под рукой.

2 Практик:

Клиент считает информацию конфиденциальной.
Однако у клиента существуют закупочные регламенты, все закупаемые услуги и товары должны быть обоснованы. Вот тут и возник вопрос по монтажу средств активной акустической и вибрационной защиты организацией без лицензии ФСТЭК.

"Мне приходится общаться с юрслужбой клиента."
В этом и проблема. Вам юристы запудрили мозги и вы повелись и бросились доказывать.

Еще раз Соната сертифицирована как СЗИ (заголовок сертификата и система сертификации).

В ППр написано е)установка, монтаж, испытания, ремонт средств защиты информации.

СЗИ вообще может не иметь сертификат! Это не значить что на его установку и настройку не нужно лицензию.

Еще раз почему юридическая служба взяла что в документах на Сонату хоть где должно быть написано ТСЗИ и именно из-за этого работы по ее установке стали лицензируемым видом деятельности, а не написано значит не стали? На основании какого документа? Просто ИМХО!?

2 Олег

Так если она КИ, то ПП 79 и является нормой права; "При осуществлении деятельности по технической защите конфиденциальной информации _лицензированию_подлежат_ следующие виды работ и услуг"- либо исполнитель признает за собой незаконное выполнение лицензируемых видов деятельности и подпишется под штраф, либо он не напишет, что проведены работы по ТЗИ, тогда система не соответствует требованиям ЗИ для КИ и не сможет быть принята как защита КИ.

То есть ключ - в формулировке основной задачи в ТЗ. Видим слово "информации", на основе их классификации КИ определяем, что это деятельность ТЗКИ и на основе ПП требуем у исполнителя лицензию. То, что оборудование пригодно для ТЗКИ подтверждено сертификатом ФСТЭК (соответственно, "Положение о сертификации средств защиты информации по требованиям безопасности информации" (утв. Приказом Гостехкомиссии РФ от 27.10.1995 N 199).), что исполнитель пригоден для ТЗКИ-лицензия на основе ПП 79. Все документы федеральные,

2 Олег

Напоминаю, что сам по себе монтаж средств ЗИ МОЖЕТ быть нелицензируемым (например, монтаж наглядного пособия в классе ЗИ), но лицензиат отвечает также за выбор места, типа и количества датчиков и пр. при ТЗКИ. Это не содержится в техдокументации к оборудованию. Это уже квалификация, которую проверяет ФСТЭК при лицензировании.