Лицензии (опять) - Форум по вопросам информационной безопасности

Кошка, пишите письмо в ФСТЭК с этим вопросом. Можно долго спорить - это личное мнение каждого. Уверен, что никто не знает четкого ответа. Даже ФСТЭК напишет ответ уклончиво, поэтому задавайте вопрос максимально конкретно с примерами - можно или нельзя (совет из практики)

Вывод из всего один: сколько не бейся с документацией, денежку за ее же корректировку и проведение, как правило никому не нужной аттестации платить все равно придется. При этом количество денег прямо пропорционально обороту компании а не количеству нуждающихся в реальной защите АС.

"При этом количество денег прямо пропорционально обороту компании а не количеству нуждающихся в реальной защите АС"

У добросовесных лецинзиатов все зависит только от объем работ и требуемого качества!

Согласен с sekira на 100%!!!
Если вы обращаетесь к раскрученным лицензиатам, то он с Вас возьмет денежек не только за работу, но и за рекламу свою :))

А так если организация получила лицензию, значит она соответствует требованиям ФСТЭК и окажет услуги на том же уровне. И не будет брать деньги за каждый чих, непонятные политики защиты, и подобные документы.

Насколько я понимаю декларирование разрешает самому произвести все мероприятия и обратится к лицензиату(либо во фстэк) надо лишь за проверкой и выдачей документа с печатью а это должно стоит по идее гораздо дешевле.

Вопрос в том что проверить это декларирование фстэк может и при проверке так как нигде не написано что эта печать органа с лицензией вообще необходима??? А соответственно и платить не нужно!

sad, НИИ, ситуация с декларирование сложная. В самом начале либо аттестация, либо декларирования - Ваша фирма сама пишет, что все хорошо, но при этом сама несет ответственность за выполнение требований, а не лицензиат. Что не всех устраивало.

Потом декларирование хотел включить в систему сертификации, и выполнять ее лицензиат - тоже за деньги. Как дела обстоять сегодня – вопрос интересный.
По поводу самому провести все мероприятия – это не так: устанавливать и настраивать СрЗИ это к лицензиату! Т.к. затрагивают 128 ФЗ.

Поэтому выход такой:
Сегодня все системы относятся к специальным, т.к. требуется обеспечить целостность, доступность и конфиденциальность ПДн, это требует ФЗ-152. В том числе для снижении стоимости СЗИ для ИСПДн целесообразно создавать модель угроз, чтобы от не актуальных угроз не защищаться и экономить.
Ну а специальную систему необходимо аттестовать.

А где написано что специальные системы нужно аттестовывать в любом случае??? Судя по изменениям во фразах получается что классификация присуща всем системам как типовым так и специальным. А насчет лицензии она скорее нужна для оказания услуг а если у вас есть специалисты (имеющие образование или повышение ) и необходиую документацию для седя могут все сделать и без лицензии на сколько я понимаю???

Найдите сдесь раздел "декларирование или аттестации"

Там много что обсуждалось -может поможет прояснить кое какие моменты.

sad, НИИ про лицензию - читайте 1ую страницу. Я там подробно рассказал об этом...