сертификация ФСБ - Форум по вопросам информационной безопасности

Добрый день! Подскажите пожалуйста про сертификацию ФСБ, у них есть сертификация по 4-му классу защищенности для МЭ. Вопрос можно ли использовать данный МЭ для защиты ИСПДн класса К1?

Здравствуйте!
Нет такой МЭ нельзя использовать для построения системы защиты для ИСПДн класса К1. Нужен сертификат по 3-ему классу защищенности.

Здравствуйте! Интересует следующий вопрос, учреждение в котором я работаю является государственным, мы хотим организовать vpn сеть на VipNet, так вот ответьте пожалуйста имеем ли мы право генерить ключи для подключения своих подведомственных учреждений (они тоже гос), они являются другими юр. лицами. Будет ли это являться нарушением. Никаких юридических действий происходить не будет, только защита трафика.

А какой трафик? (Секретный, ДСП...)... А вообще скорее всего имеете, если я Вас правильно понял конечно...

Трафик с конфиденциальной информацией (ДСП) в том числе и ПДн. Я просто вот что подумал, есть постановление правительства 957 о лицензировании деятельности в области криптографии, так вот мы получается будем предоставлять своим подведомственным учреждениям дистрибутивы ключей, которые сформированы VipNet Administrator??? Не является ли это нарушением? Я уже руководство настроил на все это, а сам не уверен.

Что-то мне сдается, что вам, как минимум, придется получить лицензию на техническое обслуживание криптосредств. Установку и настройку криптосредств кто будет выполнять?
И ,возможно, понадобится лицензия на оказание услуг.

Установку будет осуществлять поставщик и тем более партнер Инфотекса, тут вопрос в следующем, что Администратор, который генерит ключи будет у нас?

Ключи, которые сформирована VipNet Administrator Вы можете распространять сами для ваших подведомственных организаций...

Вот с лицензией действительно могут возникнуть вопросы... Но я считаю что не нужна, все-таки вы используете криптографию для собственных нужд и услуги никому не предоставляете...

Если подведомственные организации, то это другие юридические лица => необходимую(-ые) лицензию(-и) ФСБ по "крипте" надо получать. Генерить и передавать дистрибутив или сертификаты другим юр. или "не своим" физ. лицам без лицензии(-ий) является нарушением законодательства РФ, даже если услуга оказывается бесплатно.

Но можно просмотреть с юристами такой вариант (без лицензий, но с трудностями)
Вот сразу можно вывести из того, что следует соблюсти:
- иметь в собственности все координаторы клиенты и естественно администратор сети (т.е. к примеру НЕ передавать актом на баланс другой организации "железные" координаторы или ПО (и соответственно всю документацию к ним)
- вся установка и настройка, обслуживание должна производиться сотрудниками Вашей организации.
- все журналы по крипте ведёте Вы сами как своё.
- (самое сложное) Желательно чтобы ПК на которые установлены программные Client и(или) Coordinator были в Вашей собственности (и находились на территории другого юр. лица, как вариант, по акту временного хранения)
- написать доки разграничения доступа по которым разрешаете доступ сотрудников (должность) подведомственных учреждений к работе на ПК с Client

К примеру, дело в том, что хотя ПО клиентов випнета и распространяются бесплатно (скачать можно на сайте), но Вы знаете, что их нельзя использовать без того самого файлика - дистрибутива для первоначальной настройки. А в нём и лежит, кроме спавочников и ключей, лицензия для конкретного СУ и конечно же ключи! А её передача другому учреждению требует лицензию ФСБ на распространение СКЗИ (из "старых").

Знаете... можно много рассуждать и выдвигать мнения... но самый лучший вариант будет обратиться за разъяснением (можно устным, но лучше письменным) в ваше территориальное управление ФСБ, и делать так как они скажут... проверять то все равно потом им... Это наверное будет самый простой вариант и он даст вам точный ответ на Ваш вопрос.