Шифрование - Форум по вопросам информационной безопасности

Прошу пардону забыл - аттестация производится на основании документов ФСТЭК.

Поищите на сайте ФСТЭК - в названии документа должно присутствовать слово аттестация.
Есть еще два новых НПА от ФСБ по ИСПДН - эти на сайте ФСБ, в них тоже это слово встречается.

Для информации: п.1 ст.12 Федерального закона РФ от 04.05.2011 № 99-ФЗ "О лицензировании отдельных видов деятельности" гласит:
В соответствии с настоящим Федеральным законом лицензированию подлежат следующие виды деятельности:
1) разработка, производство, распространение шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнение работ, оказание услуг в области шифрования информации, техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);
Т.о. закон не требует получать лицензию "для обеспечения собственных нужд", а обсуждаемое Вами Постановление Правительства РФ от 29.12.2007 № 957 относится именно к процедуре лицензирования. Т.е. если Вам не нужна сама процедура лицензирования, то и требования по аттестации для Вас не носят обязательного характера.

Спасибо Снежинка 33649 за ценное добавление!
Просто я предполагал что это подразумевается и нужна именно аттестация.
Это просто подтверждает мой тезис о необходимости первоначального обучения "АЗАМ" но начала самостоятельной работы иначе будет как у "ФАЭТОНА" взлетать уже умею а как сесть - разберемся по ходу, а по ходу капкан....
Спасибо контрикам всех мастей за их неустанную работу по просвещению темных народных масс

Да не за что. Главное, чтобы это Вам действительно принесло пользу... :-)))

У нас не только для собственных нужд, соответственно лицензии нам получать нужно, а если получать лицензии тут соответственно и процедуру лицензирования пройти необходимо, соответственно нужно подготовить все по закону! Вы меня конечно извините, но я что-то ни хрена не пойму, стараюсь выполнить все по нормативке, а одни говорят так, другие так, кто говорит нужно делать аттестацию, кто говорит что не нужно, неужели нет на это одной стойкой позиции!? Хотя, что за глупый вопрос)) естественно что нет))
К СНЕЖИНКЕ
Вот вы же не в таком далеком времени пытались получить лицензии на криптуху для осуществления работы Банк-клиент (если это не Вы прошу прощения) не могли бы Вы мне рассказать как это все проходило и какие документы Вы подготавливали, какие действия проводили по помещению к этому мероприятию! Очень благодарен буду Вам!

Мы не пытались, мы их получили. :-))) Хотя я не знаю кого Вы имеете в виду. Всё прошло в соответствии с требованиями Положений, утверждённых постановлением Правительства РФ от 29.12.2007 № 957. Ни больше и не меньше. Автоматизированную систему мы аттестовали у лицензиата ФСТЭК России (лицензия на деятельность по технической защите конфиденциальной информации). Нам надо было получить 3 лицензии (распространение, тех.обслуживание и оказание услуг), следовательно требования первых трёх Положений мы выполнили. Собрали комплект документов согласно требованиям этих положений, к нему приложили заявление на имя главы местного Управления ФСБ и квитанцию об оплате госпошлины. И всё отправили им. А через некоторое время приехал их сотрудник, проверил всё на месте, позже он составил Акт с положительными выводами о возможности выдачи нам лицензий. На основании этого Акта был Приказ о выдаче нам лицензий и нам их выдали.

А вот требований по защите помещения нет!!! Помещение, в котором расположена аттестованная АС, должно быть в аренде или в собственности. К физической охране помещения требование есть в рамках аттестации АС "по линии ФСТЭК". А так и без всяких требований в любой нормальной организации осуществляется охрана.

Снежинка | 33662
Вот видите, Вы все таки аттестовали как говорите свою АС, хотя у меня сомнение что АС, может все таки АРМ или я ошибаюсь и если не секрет, в какую сумму это Вам обошлось?
Я может не внимательно читаю всю документацию, может вы меня и ткнете, на основании какого документа и кнкретного пункта, Вы все таки решили аттестовать свою "АС", а то не кто не может дать точного ответа на этот вопрос?

Видимо Вы не внимательно читаете не только документацию, но и то что Вам было написано в моём посте 33662 :-(
Повторю, что всё прошло в соответствии с требованиями Положений, утверждённых постановлением Правительства РФ от 29.12.2007 № 957. Ни больше и не меньше.
Попробую пояснить иначе. У первого Положения о лицензировании деятельности по распространению шифровальных (криптографических) средств требования по аттестации нет. Но у второго и третьего Положений такое требование есть (см. п. 4 "д"). Звучит оно так: "применение лицензиатом средств обработки информации, аттестованных в соответствии с требованиями по защите информации".
Здесь есть некоторая терминологическая чехарда. Положения требуют, чтобы аттестация проводилась в отношении средств обработки информации. Но сам ФСТЭК оперирует терминами объект информатизации (гостайна), автоматизированная система (СТР-К) и информационная система (персональные данные). Процедура аттестации (не гостайна) у ФСТЭКа расписана только в СТР-К. Но здесь используется понятие автоматизированной системы (АС). При лицензировании для ФСБ достаточно, чтобы «техника», с помощью которой будут оказываться услуги по шифрованию и техническое обслуживание шифровальных (криптографических) средств была аттестована по требованиям ФСТЭК (вне зависимости как каким термином называются аттестуемые технические средства). Иной процедуры аттестации на соответствие требованиям по безопасности информации со стороны ФСТЭК не определено (подчёркиваю – не гостайна). Вот и приходится действовать на основании того, что есть у регулятора.
Что касается термина "технические средства обработки информации", то нормативного его понятия пока нет (по крайней мере мне его найти не удалось). Есть термин "технические средства системы обработки информации" (см. термин № 5 ГОСТ 15971-90). Судя по определению этот термин ближе к термину "средства вычислительной техники" (английский аналог термина Hardware только это подтверждает). Как Вы знаете, СВТ не аттестовывается, т.к. это просто «железо», которое может сертифицироваться, но не аттестовываться. Вот примерно так.
Что касается цены, то это как договоритесь. Может Вам по бартеру аттестуют. В нашей стране всякое может быть.

Снежинка
Большое спасибо за подробный ответ!
У нас есть лицензии, но обсалютно нет ни каких документов, не знаю как это лицензирующий орган их выдал, не важно, но они есть. В принципе, мы соответствуем всем требованием, помещение есть, специалисты есть, но не какую аттестацию не делали и не каких претензий! Но тут прихожу я и начинаю изучать этот вопрос и понимаю, что по этой части ни чего не реализовано и у меня волосы дыбом встают, как так может быть. По закону я понимаю, что аттестацию провести необходимо, вот только все говорят по разному, кто нужно, кто не нужно! Вот по этому я и задаю вопросы, которые кажутся простыми и вобще не понятно, почему я их задаю, ведь и так все написано! Но мы живем в России, как любят некоторые говорить! Мне не хочется придерживаться этому высказыванию, хочу сделать все как нужно, как должно быть!

Иногда не стоит ворошить "старое". Доставать "скелетов из шкафа" Вам лично может дорого обойтись :-))) Как именно получались лицензии это дело прошлого. Главное, на мой взгляд, лицензии уже есть и Вы можете работать и не "заморачиваться" по поводу аттестации и лицензированию. Если, конечно, Вам принципиально хочется позаниматься аттестацией чего-нибудь и пройти лицензирование заново, то это уже другая тема...

Так или иначе, ВСЕХ С НОВЫМ ГОДОМ!!! Всех чмоки-чмоки!!! Услышимся в следующем году. Ура! :-))))))))))))))