Какие лицензии нужны для аттестации объектов инфоматизации? - Форум по вопросам информационной безопасности

Господа, ответьте профессионально.

Возникла идея заняться аттестацией по ПД (персональным данным) объектов инфоматизации своих клиентов. Есть спрос на это, есть люди с допуском и разбирающиеся в вопросах проведения СИ (специсследований) в штате нашей IT компании, есть возможность взять напрокат сертифицированное измерительное оборудование.

Вопрос в следующем: какие лицензии требуются (кроме "гостайны") для осуществления данного вида деятельности?

Скоро должен выйти (если уже не вышел)пакет совместно разработанных документов ФСБ и ФСТЭК как раз по защите персональных данных (в том числе и по аттестации ОИ). Будем думать что там все будет расписано (другое дело что его могут сделать ДСП). А вообще пока видел только документ о категорировании информационных систем при обработке персональных данных.

Андрей, Скоро должен выйти

К получению запрашиваемой лицензии эти документы разве имеют отношение ?

Новичок, 02-06-2008 11:47

лицензия на деятельность по технической защите конфиденциальной информации

Новичок,

идея хорошая, но в вашем случае, скорее всего, не реализуемая.

Вам нужна лицензия на ТЗКИ и аккредитация в качестве органа по аттестации. С лицензией на ТЗКИ проблем нет, если вы выполняете набор формальных требований (детали вам расскажет любой аккредитованный орган по аттестации), вам (теоретически) обязаны выдать лицензию. А вот давать вам аккредитацию - это право ФСТЭК, но не обязанность. Как вы понимаете, полномочиями выдавать аттестат соответствия ФСТЭК наделяет не каждого лицензиата.

Персональные данные - информация конфиденциальная.
Нами задавался вопрос ФСТЭК - необходим ли аттестат аккредитации для проведения работ по ЗИ и выдачи аттестата на соответствие СТР-К. Ответ: достаточно лицензии на ТЗКИ.
Аккредитация нужна для аттестации АС, обрабатывающих ГТ.

>>Нами задавался вопрос ФСТЭК - необходим ли аттестат аккредитации для проведения работ по ЗИ и выдачи аттестата на соответствие СТР-К. Ответ: достаточно лицензии на ТЗКИ.

Это был официальный запрос (и соответственно официальный ответ) или при личной беседе с представителем ФСТЭК?

>>необходим ли аттестат аккредитации для
>>проведения работ по ЗИ и выдачи аттестата на
>>соответствие СТР-К

Порядок проведения аттестации регулируется "Положением по аттестации объектов информатизации по требованиям безопасности информации". Согласно положению, порядок проведения аттестации одинаков и для ГТ, и для не ГТ (разница в том, что для ГТ она обязательна, а для не ГТ - добровольна). В любом случае аттестацию проводит орган по аттестации (п. 1.8 положения). который аккредитуется ФСТЭК в соответствии с правилами аккредитации (п. 1.9 положения). Правила аккредитации не делают различия между участниками системы сертификации, работающими и не работающими с ГТ.

По-видимому, либо вы неправильно сформулировали вопрос, либо не поняли ответ, либо ваш собеседник был не в курсе, либо в вашем ТУ небрежно относятся к исполнению собственных нормативных актов.

Если организация, которая использует аттестованную вами систему, имеет лицензию ФСТЭК, то она рискует: ей могут вменить нарушение п. 4г положения о лицензировании. Это грубое нарушение, за него предусмотрен отзыв лицензии. Ссылка на ответ ФСТЭК (даже если ответ официальный и вы правильно его интерпретировали) ничего не даст - внутренний НПА органа исполнительной власти имеет приоритет над его же разъяснениями. Максимум - накажут написавшего ответ исполнителя.

Я то с Вами полностью согласен - в том же самом убеждал свое руководство. Но они предпочитают выдавать желаемое за действительное. Позвонили во ФСТЭК - там ответили (по телефону), что для аттестации АС с конфиденциальной информацией достаточно одной лицензии на ТЗКИ.
Я тут этот вопрос уже поднимал...

Был официальный запрос в ФСТЭК, ответ - для выполнения работ по аттестации ОИ, обрабатывающих КИ, достаточно получить лицензию по ТЗКИ

Хорошо, если так :)