Нужна ли лицензия? - Форум по вопросам информационной безопасности

Нужно ли организации получить лицензию ФСТЭК, если обработка собственной конфиденциальной информации и ТЗИ проводится своими силами и собственным оборудованием только на своих объектах?
А если все же нужна лицензия,а организация (по различным причинам) не получит лицензию,каковы последствия?

Лицензию получать нужно.

Наказание по КОАП:
1)Занятие видами деятельности в области защиты информации без получения в установленном порядке лицензии, если такая лицензия в соответствии с федеральным законом обязательна - 20.000 руб. + конфискация средств защиты информации
2) Осуществление деятельности, не связанной с извлечением прибыли, без специального разрешения (лицензии), если такое разрешение (такая лицензия) обязательно (обязательна), а также
Осуществление деятельности, не связанной с извлечением прибыли, с нарушением требований или условий специального разрешения (лицензии), если такое разрешение (такая лицензия) обязательно (обязательна), а также
Осуществление деятельности, не связанной с извлечением прибыли, с грубым нарушением требований или условий специального разрешения (лицензии), если такое разрешение (такая лицензия) обязательно (обязательна) - 20.000 руб. + приостановление деятельности на срок до 90 суток
3) Есть еще несколько статей по которым могут придраться с мелкими штрафами

Наказание по УК (если не дай бог какой инцидент):
Осуществление предпринимательской деятельности … без специального разрешения (лицензии) в случаях, когда такое разрешение (лицензия) обязательно, или с нарушением лицензионных требований и условий, если это деяние причинило крупный ущерб гражданам - 300.000 руб. + обязательные работы на срок до 1-го года + арест до 6-ти месяцев + лишение права занимать должность на срок до 5-ти лет

> Лицензию получать нужно.

Как у вас все легко и просто :) А вот более опытные товарищи так не считают:

"Хотелось бы остановиться на одной из позиций перечня: «деятельность по технической защите конфиденциальной информации», под которой, согласно Постановлению Правительства РФ от 15 августа 2006 г. N 504, понимается «комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней». Указанная в постановлении конкретизация лицензируемого вида деятельности позволяет предъявлять соответствующие требования не только к лицам, осуществляющим услуги по защите конфиденциальной информации, но и к лицам, защищающим свою собственную конфиденциальную информацию, например, информацию, составляющую коммерческую тайну. Таким образом, требования данного постановления могут распространяться на всех юридических лиц, занимающихся предпринимательской деятельностью, что противоречит положениям статьи 4 Федерального закона «О лицензировании отдельных видов деятельности», устанавливающей критерии определения лицензируемых видов деятельности. В соответствии со ст. 4 «к лицензируемым видам деятельности относятся виды деятельности, осуществление которых может повлечь за собой нанесение ущерба правам, законным интересам, здоровью граждан, обороне и безопасности государства, культурному наследию народов Российской Федерации и регулирование которых не может осуществляться иными методами, кроме как лицензированием». Однако нарушение конфиденциальности коммерческой тайны наносит ущерб только самому обладателю коммерческой тайны." (Е.К. Волчинская, "Роль государства в обеспечении информационной безопасности").

Т.е., согласно постановлению правительства лицензия требуется, но это требование противоречит закону. Поэтому сильно сомнительно, что перечисленные вами санкции действительно могут быть применены. До сих пор они не применялись.

Но больше всего мне нравится следующий абзац:

"Принятие Федерального закона «О персональных данных» заметно стимулировало процессы лицензирования деятельности по технической защите конфиденциальной информации (в данном случае персональных данных). Все организации, создающие информационные системы, содержащие персональные данные», ПОНУЖДАЮТСЯ к лицензированию деятельности по их технической защите. Употребляю глагол «понуждаются», поскольку законом требование лицензирования не установлено. А поскольку такие информационные системы (кадровые, потребителей услуг и т.п.) создают, практически любые юридические лица, то масштабы лицензирования огромны, а лицензирование становится не исключением, а правилом."