Куда жаловаться на лицензиата ФСТЭК - Форум по вопросам информационной безопасности

Данная тема "пересеклась" с другой, и тоже злободневной:
http://www.itsec.ru/forum.php?sub=3324&from=-1

Пока лицензиат ФСТЭК России рассуждает так (СВЧ, ТехЗИ | 42520):
"А чего мы должны обучать Вас бесплатно? У нас есть свои наработки, мы знаем, как правильно.
А Вы, если не знаете, как правильно, можете сидеть на форумах и разглагольствовать "на тему". Наверное, Ваше финансовое положение Вам это позволяет.
А мы работаем в это время. Конкуренция, знаете ли..."

Заказчики работ, понимают, что на "правильных пацанов" пока управы не найти, и пытаются ответить на вопрос: "Куда жаловаться на лицензиата ФСТЭК?"

2 Нефедьев С.Г. 42546
Я имел в виду несколько другое
В организации-заказчике есть свои обще-корпоративные интересы и вдруг...после некоего события с баней и распитием в узком кругу ограниченных лиц эти интересы вдруг резко переключаются на корысть подписанта. (со стороны заказчика)
Все все понимают....но исполнитель ждал совсем другого - ему приходится работать с РАЗБИТЫМ Корытом (которое собирались модернизировать)
тут будет уместна цитата из провокационной статьи
...
Хороший подчиненный понимает своего начальника. Даже когда он уклоняется от исполнения его приказов, преследуя собственные интересы, он понимает, почему и зачем начальник приказал ему сделать то-то и то-то. Он не будет лишний раз уклоняться от выполнения своих обязанностей. Русский же обычно не понимает, почему и зачем ему приказали сделать то-то и то-то. Он воспринимает любой приказ как бессмысленное издевательство, мучительство, и старается его саботировать, или уж выполняет исключительно под страхом наказания, из-под палки. Впрочем, довольно часто приказания начальства и в самом деле являются бессмысленным мучительством, если начальник русский....

... может именно это имел в виду задавший первый вопрос насчет жалобы на лицензиата?
нам остается только догадываться...

Кстати за собой замечал - иногда (ложно) приписываешь собеседнику свой уровень понимания вопроса - а у него есть нечто совсем свое - непохожее на твое понимание

Вопрос 1: Кто сделал заключение о нарушении лицензионных требований лицензиатом и в процессе каких отношений с ним? Если заказывали работу и она сделана плохо, не по договору, - то в суд обращайтесь. В других случаях - либо попытка убрать конкурента, либо, возможно, просто кляуза?

Как интересно повёртывается обсуждение... ;)
Нюансы, истолкования, варианты... На мой взгляд - все правы, в той или иной части, с той или иной точки зрения.
Осмелюсь чуток резюмировать, хоть дело это рискованное, подставляюсь же!
Итак, уважаемые коллеги, принципиальных опровержение "генеральной линии", вроде бы нет? Действительно, конфликт интересов, если он перенесён на уровень хозяйствующих субъектов, иначе не решается. Таков Закон.
Вариант "руководство подписало Акт приёмки, что теперь делать?" рассматривать бессмысленно. В законодательном поле такого нет и быть не может. Закон не рассматривает действия руководства внутри предприятия, если они выполнены законным образом. Смешно, правда? Честно говоря, мне - не очень... Сколько раз я эту ситуацию видел... И решить её невозможно. Если очень захочется - и лист Договора с Вашей подписью (если таковой предусматривался) заменят.
Дилема простая. Либо Вы, конкретное лицо, специалист, просто "кладёте заявление". Либо тихо делаете то, что ещё можно сделать в том, что получили. Жаловаться? Кому и на кого??????
Вот приложить максимум (естественно, без членовредительства!) усилий к тому, чтобы руководство было в этой ситуации на Вашей, правильной, стороне, Вы обязаны. Это тоже работа...
Да, "накатить" официально на лицензиата - дело не самое простое. Надо быть очень уверенным в своей правоте. И не просто быть уверенным, а быть готовым обосновать свои претензии на любом требуемом уровне. Это, знаете ли, обязывает :) И не пустопорожним треском, как это бывает и у нас тут, на форуме. Фактами, документами, результатами контрольных СИ (это ещё надо уметь организовать, провести и результаты грамотно официализовать!).
Однако лично я, как специалист, считаю, что система ТЗИ - не католическая церковь. И чьего-либо примата в ней не установлено. Лицензиатов тоже нужно, попроосту говоря, если есть за что, "фейсом об тейбол". Точно так же, как и малограмотных владельцев ОИ. В этом смысле и регуляторы должны нести свою долю (и немалую!) отвественности.
Надо подумать, а не вспомнить ли о прямом назначении "Лобного места" на Красной площади"? Разумеется, строго в рамках "Основного Закона" ;)
Мы делаем достаточно серьёзное дело. И, на мой взгляд, и дилетантизм, и высокомерие, снобизм одинаково недопустимы.
И уж совсем личное - отношение к профессии как к масонскому ордену, эдакое многозначительное пренебрежение к "простым смертным" - отвратительно. Очень перекликается с Ницше - "Споткнувшегося - толкни". Кстати даже сам он был довольно непоследовательным, несмотря на такие "людоедские" высказывания, всё же, вёл "самого уродливого из людей" вверх, в лунному свету и морскому прибою. Что замечательно почувствовал Рокуэл Кент :)
Впрочем, это отклонение от темы.
На мой взгляд самая тяжёлая ситуация, это когда лицензиат сделал всё "по НМД". То есть буквально. Вспомните, существует даже форма забастовки - "работа по правилам". Родилася в Италии :)
А уж у нас-то... Вот что в этом случае делать? Всё "по закону", ни один регламентирующий документ не нарушен, а работать "низя" :(
Вот тут у меня ни одного готового рецепта. Нет, формально, обычно, входы/выходы найти можно. Бумаги грамотные написать, послать "куда надо" (это если собственное руководство поддержит!) и ждать "у моря погоды". Сроки рассмотрения в таких случаях даже не "резиновые", скорее "латексные"... Или надо "брать на себя", идти на некие формальные отклонения, придерживаясь нормальной физики и здравого смысла и, естественно, того законодательства, которое доказало временем свою жизнеспособность . Сам всегда склонялся ко второму. Но рекомендовать всем не стану :))) Сильно это смахивает на "Свободу на баррикадах" Делакруа. Красиво, притягивает, но в реальной жизни всё обыденнее и не так красиво. Да, верность принципам и идее двигает мир. Особенно тех, кого при этом не затоптали ;) Так что это дело совести каждого. И, особенно - знаний тоже. Ответственность - штука непростая....
Вот такие мысли :)
Дамам, которых нечистый попутал и в весенний праздник заглянуть сюда - моё глубочайшее уважение и пожелание всегда оставаться прекрасными!!!!
Любви Вам и тепла всегда!!!!
Чак

Чак порассуждал хорошо, но очень пространно. А ведь лицензиат может быть одновременно таким у многих (ФСБ, ФСТЭК, МО, МЧС, МВД, Минпромторг и т.д. и т.п.) - кому жаловаться.Лучше сразу в суд на невыполнение каких-то работ по договору.И не платите все сразу - только после подписания полностью положительного акта о сделанном!...

Издалека:
Практика показывает, что после дорогого лечения зубов в некоторых именитых и рекламируемых клиниках, работу приходится переделывать. Поэтому в настоящее время как правило ходят "на специалистов", а не "в клинику".

Именно на специалистов, имеющих соответствующую квалификацию и хорошие отзывы.
Я не задавался целью найти в Нет отзывы о компаниях, оказывающих услуги в области ЗИ.

Меня в плане квалификации заинтересовало немного другое:

http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=128739
Постановление Правительства РФ от 16.04.2012 N 313 "Об утверждении Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)":

д) наличие в штате у соискателя лицензии (лицензиата) следующего квалифицированного персонала:
руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 1000 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 5 лет (только для работ и услуг, указанных в пунктах 1, 4 - 6, 16 и 19 перечня);
руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17, 18, 20, 25 - 28 перечня);
руководитель и (или) лицо, уполномоченное руководить работами в рамках лицензируемой деятельности, имеющие высшее или среднее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 100 аудиторных часов) (только для работ и услуг, указанных в пунктах 21 - 24 перечня);
инженерно-технические работники (минимум 2 человека), имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 1000 аудиторных часов), а также имеющие стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 5 лет (только для работ и услуг, указанных в пунктах 1, 4 - 6, 16 и 19 перечня);
инженерно-технический работник (минимум 1 человек), имеющий высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедший переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющий стаж в области выполняемых работ в рамках лицензируемой деятельности не менее 3 лет (только для работ и услуг, указанных в пунктах 2, 3, 7 - 15, 17, 18, 20, 25 - 28 перечня);
инженерно-технический работник, имеющий высшее или среднее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей (только для работ и услуг, указанных в пунктах 21 - 24 перечня);

http://base.garant.ru/70136258/
Постановление Правительства РФ от 3 февраля 2012 г. N 79
"О лицензировании деятельности по технической защите конфиденциальной информации":
5. Лицензионными требованиями, предъявляемыми к соискателю лицензии на осуществление деятельности по технической защите конфиденциальной информации (далее - лицензия), являются:
а) наличие у соискателя лицензии:
юридического лица - специалистов, находящихся в штате соискателя лицензии, имеющих высшее профессиональное образование в области технической защиты информации либо высшее техническое или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации;

http://www.fstec.ru/ru/tekhnicheskaya-zashchita-informatsii-ld/75-deyatelnost/tekushchaya/litsenzionnaya-deyatelnost/tekhnicheskaya-zashchita-informatsii/dokumenty-po-litsenzirovaniyu-deyatelnosti-organizatsij/postanovleniya/224-postanovlenie-pravitelstva-rossijskoj-federatsii-ot-3-marta-2012-g-n-171-postanovlenie-pravitelstva-rossijskoj-federatsii-ot-3-marta-2012-g-n-171

ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ
ПОСТАНОВЛЕНИЕ
от 3 марта 2012 г. N 171
О ЛИЦЕНЗИРОВАНИИ ДЕЯТЕЛЬНОСТИ
ПО РАЗРАБОТКЕ И ПРОИЗВОДСТВУ СРЕДСТВ ЗАЩИТЫ
КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ
4. В случае если в качестве лицензирующего органа выступает Федеральная служба по техническому и экспортному контролю, лицензионными требованиями, предъявляемыми к соискателю лицензии на осуществление деятельности по разработке и производству средств защиты конфиденциальной информации (далее - лицензия), являются:
а) наличие в штате у соискателя лицензии не менее 2 специалистов, имеющих высшее профессиональное образование в области технической защиты информации либо высшее техническое или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам разработки и (или) производства средств защиты информации;
5. В случае если в качестве лицензирующего органа выступает Федеральная служба безопасности Российской Федерации, лицензионными требованиями, предъявляемыми к соискателю лицензии, являются:
а) наличие в штате у соискателя лицензии на основной работе согласно штатному расписанию следующего квалифицированного персонала:
руководитель и (или) уполномоченное руководить работами по лицензируемому виду деятельности лицо, имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по одной из специальностей этого направления (нормативный срок - свыше 500 аудиторных часов), а также имеющие стаж в области проводимых работ по лицензируемому виду деятельности не менее 5 лет;
инженерно-технические работники (не менее 2 человек), имеющие высшее профессиональное образование по направлению подготовки "Информационная безопасность" в соответствии с Общероссийским классификатором специальностей и (или) прошедшие переподготовку по этой специальности (нормативный срок - свыше 100 аудиторных часов);

Однако, немногие Заказчики обращают внимание на то, что в случае внедрения Системы управления информационной безопасности (СУИБ), указывая в обязательных требованиях к Исполнителю работ:
 Наличие не менее н-ного количества специалистов, имеющих статус BSI ISMS ISO 27001 Lead Auditor, подтвержденный соответствующим сертификатом;
 Наличие не менее н-ного количества специалистов, имеющих статус Certified Information Security Auditor (CISA), подтвержденный соответствующим сертификатом;
 Наличие не менее н-ного количества специалистов, имеющих статус Certified Information Systems Security Professional (CISSP), подтвержденный соответствующим сертификатом.
Они снижают риск проколоться на недобросовестных Исполнителях.

Кстати, зачастую потенциальные Исполнители, как правило утверждают, что работы по созданию СУИБ, не требуют проведения Аудита на соответствие требованиям международного стандарта ISO/IEC 27001, так как выполняются в соответствии с РД, ГОСТ и т.д.

Вывод: "лечите зубы" у квалифицированных специалистов и не жалуйтесь, если "бабушка Вам по вашей же просьбе отремонтировала зубы плоскогубцами" )))

Вот именно!

Коллеги, вопрос был не о "моральном праве" или причинах...

КоАП. Статья 13.12. Нарушение правил защиты информации
3. Нарушение условий, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, -
5. Грубое нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), -

КоАП. Статья 14.1. Осуществление предпринимательской деятельности без государственной регистрации или без специального разрешения (лицензии)
3. Осуществление предпринимательской деятельности с нарушением условий, предусмотренных специальным разрешением (лицензией), -
4. Осуществление предпринимательской деятельности с грубым нарушением условий, предусмотренных специальным разрешением (лицензией), -

КоАП. Статья 19.20. Осуществление деятельности, не связанной с извлечением прибыли, без специального разрешения (лицензии)
2. Осуществление деятельности, не связанной с извлечением прибыли, с нарушением требований или условий специального разрешения (лицензии), если такое разрешение (лицензия) обязательно (обязательна), -
3. Осуществление деятельности, не связанной с извлечением прибыли, с грубым нарушением требований или условий специального разрешения (лицензии), если такое разрешение (лицензия) обязательно (обязательна), -

КоАП. Статья 28.1. Возбуждение дела об административном правонарушении
1. Поводами к возбуждению дела об административном правонарушении являются:
1) непосредственное обнаружение должностными лицами, уполномоченными составлять протоколы об административных правонарушениях, достаточных данных, указывающих на наличие события административного правонарушения;
2) поступившие из правоохранительных органов, а также из других государственных органов, органов местного самоуправления, от общественных объединений материалы, содержащие данные, указывающие на наличие события административного правонарушения;
3) сообщения и заявления физических и юридических лиц, а также сообщения в средствах массовой информации, содержащие данные, указывающие на наличие события административного правонарушения

333-ПП. Статья 12. Органы, уполномоченные на ведение лицензионной деятельности, приостанавливают действие лицензии или аннулируют ее в случае:
нарушения лицензиатом условий действия лицензии;

Всё вышеприведённое Вами нисколько не противоречит изложенному ранее. Только практически всё перечисленное у любого юриста стороны, на которую Вы жалуетесь, вызовет типовой вопрос:
А почему у Вас не было претензий, когда Вы принимали работы? И почему они появились позднее? Вы же подписали типовую формулировку Акта, что работы выполнены "...с надлежащим качеством и у Вас претензий к исполнителю нет"?
Сумеете сформулировать юридически значимый ответ?
Даже если и сумеете, дальше последует то, что называется "принципом соревновательности сторон". И выиграет не правый, а тот, чьи юристы сильнее.
Ваша позиция будет ущербной изначально....
Позицию регулятора мы не обсуждаем. Она стоит особняком. Но "честь мундира" в лице отдела лицензирования он будет защищать по любому.
Право, рассмотрение любых иных вариантов, кроме предъявления претензий до закрытия Договора очень смахивает на ситуацию "после драки кулаками махать".
Чак