Самостоятельное создание системы защиты ПДн - Форум по вопросам информационной безопасности

Вообще не понятна позиция ФСТЭК с точки зрения разработанных ими документов (требование к наличию лицензии на ТЗКИ). Исходя из ФЗ о лицензировании отдельных видов деятельности следует, что организация должна получить лицензию в том случае, если она оказывает услуги (зарабатывает на этом деньги). Тем более, что в Четверокнижии помимо лицензии указано требование по аттестации - а это естественно никто другой как лицензиат сделать не может... И если работы отдаются на аутсорсинг - вообще не понятно, для чего нужна лицензия оператору.
Я уже не говорю о количестве лицензиатов, которое будет к концу года...

"Сертификация единичных экземпляров ХР (3 шт.) в 2008 г. стоила 900 р за шт. с отправкой фото лицензионных знаков в ФСТЭК. Делали лично"

Вы не сертификацию делали лично, а лично купили три защитных знака по цене 900 р за штуку :)

Это нормальный случай сертификации серии продавцом. Заявитель заявляет сертификацию серии из 1000 экземпляров, Сертификационые испытания проводятся только для одного эталонного образца, после чего зяавитель получает 1000 защитных знаков. Он спокойно продает копии дистрибутива, а когда к нему обращаются за сертифицированной версией, наклеивает на такую же копию дистрибутива защитный знак. Я ведь правильно понимаю, что вы сепрва купили три дистрибутива, а потом, через какое-то время, обратидись к продавцу за сертификатами? Это не совсем правильно по букве правил, но к этому относятся с пониманием. А если это было не так, то лучше никому об этом не говорите :)

Если вы придете к испытательной лаборатори, ертифицировавшей XP build 1234 с просьбой сертифицировать XP build 4321, то вы получите частичный цикл сертификации - с согласованием программы и методик испытаний, проведением этих самых испытаний, экспертизой их результатов. И вам придется оплатить работу и испытательной лаборатории, и экспертной организации.

А если вы придете к совсем посторонней лаборатории, то получите полный цикоа сертификации, который начнется с того, что ВЫ должны будете где-то раздобыть на эту винду програмную документацию по ГОСТ 19. И стоить все это удовольствие будет совсем не 2700 р.

Да какая разница что там насамом деле происходило. Мне как потребителю это не интересно. Всем понятна материальная составляющая сертификации и необосновано завышенных цен на ТЗКИ, я бы сказал о сговоре цен. Вопрос был задан и я ответил на него с практической стороны. Кому надо по сути в масштабах серии внедрять во все дистрибутивы программные закладки, есть масса других способов

NoVaN,
со слов представителей ФСТЭК однозначно требуется лицензия по ТЗКИ при аутсорсинге т.к. ответственность по обеспечению выполнения требований законодательства (защиты) при обработке ПД возложена именно на оператора ПД, а не на аутсорсера. А деятельность по ТЗКИ - лицензируемый вид деятельности.
Я тупо цитирую и только...

Сергей Да какая разница что там насамом деле происходило. Мне как потребителю это не интересно.

Разница есть - это истинароссийского эпоса.
Непонимание и нежелание понимать процессы и явления реальности может привести к неправильной оценке и неправильным выводам.
Вам объяснили, что процесс, в котором Вы участвовали, не был собственно сертификацией.

Сергей***Всем понятна материальная составляющая сертификации и необосновано завышенных цен

Мне непонятна, т.к. у меня нет полной информации. Опубликуйте анализ.
Однако, т.к. Вы не можете логично анализировать процессы не_сертификации, то Ваши выводы заранее сомнительны.
Ку ?

Это не эпос, это извечный спор теории и практики, а коль уж вы в России, то и практика соответствующая.
1. Есть ТЗКИ для бумаги.
2. Есть ТЗКИ для сути ЗИ.
Установление сроков, планов и графиков приводит к 1.

> Да какая разница что там насамом деле
> происходило. Мне как потребителю это не интересно.

Разница есть: ИСПД является объектом для проверки ФСТЭК.

Если, например, в ходе проверки выяснится, что защитный знак наклеен на несертифицированный дистрибутив (по несовпадению контрольных сумм), то это признак служебного подлога, о котором проверяющей должен уведомить прокуратуру. По результатам прокурорской проверки может быть возбуждено уголовное дело по статье 292 ч. 2 (служебный подлог, повлекший существенное нарушение охраняемых законом интересов общества или государства).

Поэтому я бы посоветовал осторожнее относиться к таким вещам.

> Мне как потребителю это не интересно.

Забыл уточнить: испытательная лаборатория, скорее всего, подтвердит документами, что сертификационные испытания проводились в отношении "правильного" дистрибутива и защитный знак был передан вам по акту для самостоятельной наклейки. Это допускается правилами Росстандарта, хотя и не приветствуется.

И то, что знак наклеен на "неправильный" дистрибутив, станет ответственностью того, кто этот знак наклеил. Так что это должно быть вам интересно :)

Сергей | 13025 Это не эпос, это извечный спор теории и практики,

Извечное есть предложение передать в ведение Конраду М.

Сергей
1. Есть ТЗКИ для бумаги.
2. Есть ТЗКИ для сути ЗИ.

Уже удивили.
Удивите ещё раз - приведите ссылку на лицензирование "ТЗКИ для бумаги" от ФСТЭК.
Уже и не смешно.
Более комментировать не смею, уважая Соломона.

Недалее как месяц назад звонил я в Нижегородский ФСТЭК и узнавал по поводу и классификации и по поводу получению лицензии!
ТАк вот! По поводу классификации - у нас количество человек работающих составляло около 10тыс человек. вроде К2. мне же начальник отдела во фстэк сказал что 10 тыс ближе к 1000 и это К3.
А лицензию он мне сказал что можно получить по желанию для К1!!! Для К2 сказал вообще не надо!