Новое положение о лицензировании деятельности по технической защите конфиденциальной информации - Форум по вопросам информационной безопасности

На сайте ФСТЭКа разместили проект нового положения по лицензированию ТЗКИ.

http://www.fstec.ru/_licen/prpost3.rtf

Мнения, впечатления?

Молодцы парни.

> Под технической защитой конфиденциальной информации ... понимается комплекс выполняемых работ и (или) оказываемых услуг

1. Сняли вопрос "нужна ли лицензия для собственных нужд". В соответствии с новым определением "ТЗКИ" лицензируемой деятельностью является только выполнение договоров подряда и оказания услуг.

2. Четко определили, какие именно работы и услуги требуют лицензии. Например, "аудит ИБ" теперь требует лицензию.

3. Сняли вопрос "нужно ли иметь контролльно-измерительное оборудование". Да, кроме случая, когда лицензиат занимается только контролем защищенности от НСД, сертификацией и/или проектированием

5. Ввели в качестве обязательного требования к лицензиату наличие у него системы менеджмента качества.

Мне больше понравилось это :) То, что относилось к лицензии ТЗИ
"в) сертификационные испытания на соответствие требованиям по безопасности информации продукции, используемой в целях защиты конфиденциальной информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации)"

Мне лично "доставила" формулировка:

"контроль защищенности конфиденциальной информации ... в средствах и системах..., не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается"

Что имеется в виду, так и не понял.

А я не совсем понял, что снят вопрос о необходимости лицензии для собственных нужд.

Настоящее Положение определяет порядок лицензирования деятельности по технической защите конфиденциальной информации, осуществляемой юридическими лицами и индивидуальными предпринимателями.

Не будут ли опять дискуссии на тему, что установка СЗИ "для себя" часть деятельности, которое проводит юр.лицо.
Аналогично:
Под технической защитой конфиденциальной информации ... понимается комплекс выполняемых работ и (или) оказываемых услуг по ее защите ...
При осуществлении деятельности по технической защите конфиденциальной информации лицензированию подлежат следующие виды выполняемых работ и (или) оказываемых услуг:
Ну почему бы четко не прописать, что работы, проводимые для собственных нужд лицензированию не подлежат.

Или я чего то не допонял

Т.е. проведение испытаний на акусто-электрику ВТСС, размещенных в ЗП.

Почему бы не написать, как в законе о лицензировании как про крипту....
(за исключением
случая, если .....осуществляется
для обеспечения собственных нужд юридического лица или индивидуального
предпринимателя);

> Или я чего то не допонял

"Почему" - это не ко мне, но "работой" и "услугой" - в праве называется деятельность одного лица, направленая на удовелтворение материальных (в случае работы) или нематериальных (в случае услуги) потребностей другого лица.

В действующем положении вопрос про "свои нужды" возникет из-за тог, что там, кроме работ и услуг, есть еще и "мероприятия".

> Т.е. проведение испытаний на акусто-электрику ВТСС, размещенных в ЗП.

ИМХО, акусто-электрика - это не НСД, а утечка по техническим каналам, но дело не в этом.

Значит на контроль защищенности от НСД компов, НЕ ОБРАБАТЫВАЮЩИХ информацию ограниченного доступа, лицензия нужна (п. "б" перечня). А на контроль защищенности компов, ОБРАБАТЫВАЮЩИХ такую информацию, лицензия, следуя букве положения, не нужна (нет такой позиции в перечне лицензируемых работ/услуг.. Где логика?

"Почему" - это не ко мне, но "работой" и "услугой" - в праве называется деятельность одного лица, направленная на удовлетворение материальных (в случае работы) или нематериальных (в случае услуги) потребностей другого лица.

Все это правильно, но боюсь, свою правоту перед проверяющими возможно придется доказывать только в суде. Не хотят регуляторы чтить гражданское право. И в действующем (пока) положении, практически то же самое. Но сколько копьев сломано в дискуссиях на различных форумах. ФСТЭК выдавал противоположные ответы на данный вопрос. У нас в государстве надо четко писать что можно, а что нельзя. В противном случае, сколько людей, столько и мнений. Ну, а почему "четко" не пишут, значит кому то это выгодно. Ну не поверим же мы, что там, где готовят данные документы, все бестолковые сидят, и форумы, статьи на эту тему не читают.

> ...боюсь, свою правоту перед проверяющими возможно придется доказывать только в суде

Хм. Хотите, чтобы регуляторы чтили гражданское право - готовьтесь тратить на это определенные усилия.