Получение лицензии на деятельность по ТЗКИ - Форум по вопросам информационной безопасности

Добрый день!

В компании возникла необходимость получения лицензии на деятельность по Технической Защите Конфиденциальной Информации.

При изучении 181 приказа ФСТЭКа возник ряд вопросов по формированию пакета необходимых документов. Буду признателен, если сможете развеять или, наоборот укрепить некоторые сомнения.

В перечень документов входят в том числе и:
г) копии аттестатов соответствия защищаемых помещений требованиям безопасности информации;

(1)Где можно уточнить требования к занимаемым помещениям? Каков порядок их аттестации? Бизнес-центр, у которого данные помещения арендуются, в принципе, готов бы пойти навстречу, но необходимо точно понимать - чего нужно от них просить. Возможно, достаточно вообще внутреннего регламента физического доступа к помещениям лицензируемой деятельности. К сожалению, информации об этом не нашёл.

д) копии технического паспорта автоматизированной системы с приложениями, акта классификации автоматизированной системы по требованиям безопасности информации, плана размещения основных и вспомогательных технических средств и систем, аттестата соответствия автоматизированной системы требованиям безопасности информации или сертификата соответствия автоматизированной системы требованиям безопасности информации, а также перечень защищаемых в автоматизированных системах ресурсов с документальным подтверждением степени конфиденциальности каждого ресурса, описание технологического процесса обработки информации в автоматизированной системе;

(2)Документация, описывающая и систематизирующая все ресурсы и информацию есть, однако, наша IT-структура целиком никем снаружи не аттестовалась. Тем не менее, все элементы безопасности (антивирусы, программные и программно-аппаратные межсетевые экраны, программы, шифрующие данные на дисках, аутентифицирующий сервер в связке с токенами и сертификатами) так или иначе были сертифицированы в России или за рубежом. Каковы наши действия по подготовке документации по этому пункту? По идее все вероятные информационные риски нашим оборудованием покрыты, но достаточно ли будет описания нашего понимания наших рисков и методов их покрытия?


ж) сведения о наличии производственного и контрольно-измерительного оборудования, средств защиты информации и средств контроля защищенности информации, необходимых для осуществления лицензируемой деятельности, с приложением копий документов о поверке контрольно-измерительного оборудования;

(3)Мы не оперируем с Гос.тайной, поэтому не обладаем ПЭМИН и прочим соответствующим оборудованием. Теоретически мы являемся операторами персональных данных 1 категории (в основном только из-за информации отдела кадров) следовательно, как я понимаю, подобное оборудование нам иметь прописано, однако, правильно ли я понимаю, что речь о необходимости оного возникнет только для самого отдела кадров и на этапе аттестации как оператора ПД, но в то же время не успеет возникнуть при получении лицензии? Т.о. является ли отсутствие подобного оборудования поводом к отказу в выдаче лицензии?

Спасибо!

Очень много вопросов ! И по большей части они некоректны. Обратитесь к лецинзиату ФСТЭК с вопросам по аттестации ЗП и АС для обработкеи конфиденциальной информации - требования они вам раскажут (все зависит от ваших объектов). По остальным вопросам лицензирования в окружной или центральный ФСТЭК.

2 sekira: Общение со специалистами ФСТЭКа было и неоднократно.
Каждый раз они упирают на то, если в организации есть специалисты по защите информации (сертифицированные или с соответствующим высшим образование), то они данный порядок и все требования обязаны знать.
У двоих коллег из моего отдела соответствующее образование. И, действительно был в программе предмет "ТЗКИ", но пусть в меня первый бросит камень тот, кто спустя несколько лет после окончания ВУЗа помнит конкретику из программы в области не покрывающейся его постоянной профессиональной деятельностью.

Буду признателен комментариям.
Спасибо!

Я ни в коем случае не с наездом.
Просто совсем непонятно чего делать, и в то же время, что-то делать надо, т.к. кара последует незамедлительно...

Тогда в обращяйтесь в аттестационный центр (организация акредитованная ФСТЭК на проведение экспертиз) там вам все сделают за деньги! Или же в орган по аттестации они тоже все знают :)) - посмотрите реестр ФСТЭК на сайте.

а то это не тема для форума не для переписки и не для звонков. Это работа на не один месяц :))

Кирилл, а для чего вам все это надо?

2SMak: По роду деятельности компания оперирует с ПД. Пока - 1ой категории, возможно, организационными мерами понизимся до 2ой.
Кроме того, периодически существует неотменяемая необходиомость обрабатывать чужие (клиентские) ПД.

Кирилл, я думаю вам проще обратиться за помощью в орган по аттестации. Аттестовать все эт дело и шабаш.
А если хотите по настоящему, расклад примерно такой: перво наперво у вас должно быть два аттестованных объекта информатизации (ОИ) это ЗП (раз нет ГТ) и АС. Сами аттестовать вы их все равно не можете, так что орган по аттестации один х... приглашать. Далее обученные и готовые к экзаменам сотрудники, с первого раза могут не сдать. Необходимая (в наличии поверенная калиброванная) аппаратура, ПЭМИН виброакустика и т.п.. Даже если у вас нет ГТ, лицензия по КТ канает до определенного класса АС, а там все это необходимо.
Ну далее заявка, рассмотрение.... (ну там заплатить какие-то копейки). Ждете аттестационный центр (не путать с органом по аттестации), он проводит экспертизу (сотрудники, оборудование, аттестованные ЗП АС) и т.д. и т.п. Вам это надо...?
Все это только приблизительно, но близко к истине. Сам учавствовал во всем этом 2 раза, но по ГТ. И лицензировались на СП и СО.

Описанная процедура с визитом АЦ - не для КТ.

Кирилл, чтобы иметь представление о том, что делать, поищите в инете документ СТР-К. Версия там не самая свежая, но получить представление о содержании работ по АС и ЗП вы сможете. Самую свежую версию этого документа со всем исправлениями можно получить в самом ФСТЭКе.