Аттестация АС по требованиям безопасности - Форум по вопросам информационной безопасности

Коллеги, не ссортесь :)
Предлагаю взглянуть на вопрос обязательности применения СТР-К под другим углом.
Итак, в соответствии с Указом от 6 марта 1997 года № 188 ОБ УТВЕРЖДЕНИИ ПЕРЕЧНЯ СВЕДЕНИЙ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА, персональные данные отнесены к таким сведениям. В cоответствии с Законом о ПД (ст.19), при обработке ПД обязательно применение необходимых организационных и технических мер. В свою очередь в Постановлении Правительства РФ от 15 августа 2006 г. N 504 О лицензировании деятельности по технической защите конфиденциальной информации сказано (п. 4г), что лицензионными требованиями и условиями при осуществлении деятельности по ТЗКИ являются использование автоматизированных систем, обрабатывающих конфиденциальную информацию, а также средств защиты такой информации, прошедших процедуру оценки соответствия (аттестованных и (или) сертифицированных по требованиям безопасности информации) в соответствии с законодательством РФ. При этом не делается оговорок относительно того, осуществляется ли ТЗКИ для собственных нужд, либо является оказываемой услугой (об этом я уже писал в начале данной ветки форума). Ну, а в результате аттестации, согласно Положения по аттестации (п 1.4), подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утвержденных Гостехкомиссией (ФСТЭК) России. СТР-К и является таким документом. Другой альтернативы пока нет. Повторюсь, что остается дождаться требований Правительства к обеспечению безопасности персональных данных, о
которых сказано в ст.19 закона «О персональных данных».

Спасибо, Mike

Вы совершенно правильно отметили отсутствие оговорки "осуществляется ли ТЗКИ для собственных нужд, либо является оказываемой услугой".

Понятие "лицензируемый вид деятельности" относится к понятию. "предпринимательская деятельность", определенному в статье 2 ГК РФ. ГК определяет предпринимательскую деятельность как деятельность, направленную на систематческое извлечение прибыли. Деятельность "для собственных нужд", т.е. не направленную на исвлечение прибыли, не является предпринимательской и на нее не распространяется действие ФЗ "О лицензировании отдельных видов деятельности" и, соотсветственно, 504-го постановления.

Т.е., если я выполняю обработку персонльных данных во исполнение федерального закона (трудового кодекса, например) и эта обработка не направлена на извлечение прибыли (например, я муниципальный орган исполнительной власти или некоммерческий фонд), мне не нужна лицензия на выполнение работ и оказание услуг по ТЗКИ, и ваши рассуждения работать перестают.

Согласны?

А на основании чего Вы относите лицензируемый вид деятельности к предпринимательской? Эти два понятия лежат абсолютно в разных плоскостях. Если думать по Вашему, любой вид деятельности человека как индивидуума и члена общества относится к предпринимательской, так как все, что человек не делает, он делает для собственной выгоды.
На мой взгляд, нормативная база по защите конфиденциальной информации в России еще очень слаба. Многие "рекомендации", изложенные в СТР-К, ФСТЭК сама же при аттестации объектов начинает рассматривать как требования.
Поэтому, многие организации без страха и упрека работают с конфиденциальной информацией, пока их не возьмут за "одно место", а вопросы аттестации начинают поднимать перед грядущими проверками.
Все это, конечно, мое личное мнение.

Крол,

Прежде всего я основываюсь на заявлениях начальника отдела сертификации и лицензирования ФСТЭК и начальника отдела лицензирования ФСБ. Задав им вопросы ("должны ли мы получать лицензии, если мы обрабатываем конфиденциальную информацию/используем СКЗИ для собственных нужд"), я в обоих случаях получил однозначное "Нет".

Независимо от них я задал тот же вопрос нашему юридическому департаменту. Позицию наших юристов на этот счет я и изложил выше.

На практике, один из наших клиентов получил предписание от территориального управления ФСТЭК устранить нарушения (они требовали получить лицензию по ТЗКИ, мотивируя это тем, что клиент ведет кадровый учет и осуществляет ТЗКИ). Клиент отправил им официальный отказ, мотивировав его именно этой позицией. Отказ был принят, предписание отозвано.

Утверждение о том, что "любой вид деятельности человека как индивидуума и члена общества относится к предпринимательской" неверно, и этот вопрос рассмаривается в любом учебнике по гражданскому праву. Предпринимательская деятельность - это деятельность, удовлетворяющая четырем условиям (абз. 3 статьи 2 ГК):
- самостоятельная
- направленная на систематическое извлечвение прибыли
- осуществляемая на свой риск
- лицами, зарегистрированными в этом качестве в установленном законом порядке

Например, наемный труд не является предпринимательской деятельностью, поскольку не удовлетворяет трем условиям из четырех.

ФСТЭК имеет право наказать нарушителей, но наказание определяется в соответствии с КоАП. Единственная статья КоАП, на основании которой они могут вынести решение, это "незаконное предпринимательство" (в данном случае -осуществление предпринимательской деятельности ... без специального разрешения (лицензии)). Других статей, под которые подпадало бы отсутствие лицензий в КоАП нет. Аналогичная ситуация с УК.

Хотя, разумеется, вы правы в том, что иногда трудно провести границу между предпринимательской деятельностью и деятельностью "для собственых нужд". Именно поэтому я и не решаю подобные вопросы сам, а обращаюсь к юристам :)

Уважаемый malotavr!

Согласен, но не до конца :)

1. 128 ФЗ "О лицензировании отдельных видов деятельности" определяет понятие
лицензия (ст.2) как "специальное разрешение на осуществление конкретного вида деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю".
ГК (часть1, Ст 49):
Отдельными видами деятельности, перечень которых определяется законом, юридическое лицо может заниматься только на основании специального разрешения (лицензии).
Рассмотрим для примера МВД - орган исполнительной власти. Прибыль из обработки ПД извлекать не должно. :)
В ПОЛОЖЕНИИ О МИНИСТЕРСТВЕ ВНУТРЕННИХ ДЕЛ РОССИЙСКОЙ ФЕДЕРАЦИИ сказано (ст.14):
МВД России является юридическим лицом....
Следовательно МВД нужна лицензия на ТЗКИ?

NB: Сам юристом не являюсь, поэтому приводимые умозаключения являются исключительно результатом собственных
исследований данного вопроса.

2. При проведении аттестации, кроме как СТР-К (речь идет об информации конфиденциального характера)
руководствоваться больше нечем. Согласны?

Mike,
признаюсь честно, вопрос про МВД понял не сразу :) Если я правильно понял, вас смутила формулировка "юридическому лицу или индивидуальному предпринимателю".

Область действия ФЗ "О лицензировании..." распространяется на предпринимательскую деятельность. Предпринимательскую деятельность может осуществлять как юридическое лицо, так и индивидуальный предприниматель, поэтому в законе и употребляется такая формулировка. Не всякое юридическое лицо осуществляет предпринимательскую деятельность (как МВД в вашем примере), не всякий предприниматель является юридическим лицом :) Лицензия на ТЗКИ МВД не нужна, поскольку это ведомство не подпадает под действие данного ФЗ.

При проведении аттестации действительно руководствоваться приходится в основном СТР-К. То есть, если я подаю заявку на ДОБРОВОЛЬНУЮ (п. 1.2 "Положения по аттестации...") аттестацию , я заявляю о том, что добровольно принимаю СТР-К в качестве руководящего документа. А вот для того, чтобы ОБЯЗАТЬ меня проходить аттестацию правовых оснований у ФСТЭК не наблюдается.

Логично?

malotavr, все правильно. Клиент добровольно решает, аттестовывать ему АС или нет.
В любом случае, расследованием утечки конфиденциальных данных занимается не ФСТЭК, а другие службы :). Степень наказания за утечку зависит от ущерба, ею нанесенного (в том числе и государству).
Поэтому решение о необходимости аттестации наверное должно приниматься на основе анализа внешних и внутренних угроз, а также оценки прогнозируемого ущерба при утечке конф. информации.
А дело это нелегкое, особенно, что касается определения ущерба.

МВД РФ подпадает под действие закона о "О лицензировании,,,,,"
Все подразделения МВД имеют например лицензию на право работы с ГТ

Меня смущает формулировка: Область действия ФЗ "О лицензировании..." распространяется на предпринимательскую деятельность.
В самом законе я ничего подобного не нашел. Там есть статья 17, в которой сказано, что деятельность по ТЗКИ подлежит лицензированию. При этом не сказано с какой целью осуществляется данная деятельность: для себя или с целью получения прибыли.

Странник,

Тут вы меня уели :) "Защита государственной тайны является видом основной деятельности органа государственной власти, предприятия, учреждения или организации." - придется дальше юристов пинать

Спасибо.