Cum să obțineți o licență FSTEC? Licență FSTEC Rusia

Licențierea în domeniul securității informațiilor este o activitate care presupune transferul sau obținerea de drepturi pentru a desfășura activități în domeniul securității informațiilor. Politica de stat în domeniul acordării de licențe a anumitor tipuri de activități și al asigurării protecției intereselor vitale ale individului, societății și statului este determinată de Decretul Guvernului Federației Ruse din 24 decembrie 1994 nr. 1418 „Cu privire la acordarea de licențe pentru anumite tipuri de activități” (modificat prin Decretele Guvernului Federației Ruse din 05.05.95 nr. 450, din 06/03/95 nr. 549, din 08/07/95 nr. 796, din 12/10/95 Nr. 1001, din 22.04.97 Nr. 462, din 12.01.97 Nr. 1513, vezi si rezolutia din 11.02.02 Nr. 135).

O licență este o permisiune de a efectua lucrări în domeniul securității informațiilor. O licență se eliberează pentru anumite tipuri de activități timp de trei ani, după care se reînregistrează în modul stabilit pentru eliberarea licenței.

Licența se eliberează dacă întreprinderea care a solicitat o licență are condițiile de acordare a licenței: o bază de producție și testare, documentație de reglementare și metodologică și are personal științific, ingineresc și tehnic.

Structura organizatorică a sistemului de licențiere de stat pentru activitățile întreprinderilor din domeniul securității informațiilor este formată din:

· autorităţile de licenţiere de stat;

· centre de autorizare;

· întreprinderile solicitante.

Autoritățile de stat de licențiere:

· organizarea de licențe de stat obligatorii pentru activitățile întreprinderilor;

· eliberează licențe de stat întreprinderilor solicitante;

· coordonează componența comisiilor de experți reprezentate de centrele de licențiere;

· exercita controlul si supravegherea integralitatii si calitatii lucrarilor desfasurate de licentiati in domeniul securitatii informatiilor.

Centre de licență:

· să formeze comisii de experți și să prezinte componența acestora spre aprobare conducătorilor organismelor de licențiere de stat relevante, care sunt FSTEC și FSB;

· planifică și efectuează lucrări de examinare a întreprinderilor solicitante;

· controlează integralitatea și calitatea lucrărilor efectuate de titularii de licență.

Centrele de licențiere din cadrul organismelor de licențiere de stat sunt create prin ordine ale conducătorilor acestor organisme. Comisiile de experți sunt formate din rândul specialiștilor din industrii, organisme guvernamentale și alte organizații și instituții competente în domeniul relevant al securității informațiilor. Comisiile de experți sunt create în unul sau mai multe domenii de protecție a informațiilor.

Următoarele sunt supuse licenței de către FSTEC din Rusia:

· certificare, teste de certificare a mijloacelor tehnice securizate de prelucrare a informațiilor (STI), instrumente de securitate hardware și software, mijloace de monitorizare a eficacității măsurilor de securitate a informațiilor, instrumente de prelucrare software, protecție și control al securității;

· certificarea sistemelor informatice, a sistemelor automate de control, a sistemelor de comunicații și transmitere a datelor, a instalațiilor TV și a spațiilor dedicate pentru conformitatea cu cerințele ghidurilor și documentelor de reglementare privind securitatea informațiilor;

· dezvoltarea, producerea, vânzarea, instalarea, punerea în funcțiune, instalarea, repararea, întreținerea obiectelor informatice protejate, mijloace tehnice de protecție și control al eficacității măsurilor de securitate a informațiilor, instrumente software protejate pentru prelucrarea, protecția și controlul securității informațiilor;

· Efectuarea de studii speciale privind radiațiile electromagnetice parasite și interferența (PEMIN) TSOI;

· proiectarea obiectelor protejate.

Organismul de licențiere este responsabil pentru:

· elaborarea de reguli, proceduri și documente normative și metodologice privind problemele de licențiere;

· implementarea managementului științific și metodologic al activităților de licențiere;

· publicarea informațiilor necesare despre sistemul de licențiere;

· luarea în considerare a cererilor din partea organizațiilor și unităților militare pentru eliberarea licențelor;

· coordonarea aplicațiilor cu unitățile militare responsabile de domeniile relevante de protecție a informațiilor;

· coordonarea componenței comisiilor de experți;

· organizarea şi desfăşurarea examenelor speciale;

· luarea unei decizii privind eliberarea licenței;

· eliberarea licenţelor;

· luarea unei decizii privind suspendarea, reînnoirea unei licențe sau anularea acesteia;

· ținerea unui registru al licențelor eliberate, suspendate, reînnoite și anulate;

· achiziționarea, contabilizarea și stocarea formularelor de licență;

· organizarea muncii centrelor de certificare;

· monitorizarea completității și calității lucrărilor desfășurate de licențiați.

În conformitate cu articolul 17 din Legea federală din 08.08.2001 nr. 128-FZ „Cu privire la autorizarea anumitor tipuri de activități” (modificată prin Legea federală din 02.07.2005 nr. 80-FZ), următoarele tipuri de activități (din domeniul securității informațiilor) fac obiectul licenței:

· activități de distribuire a instrumentelor de criptare (criptografice);

· activități de întreținere a instrumentelor de criptare (criptografice);

· prestarea de servicii în domeniul criptării informațiilor;

· dezvoltarea, producerea mijloacelor de criptare (criptografice) protejate cu ajutorul mijloacelor de criptare (criptografice) a sistemelor informatice, a sistemelor de telecomunicații;

· activități pentru dezvoltarea și (sau) producerea de mijloace de protecție a informațiilor confidențiale; activități de protecție tehnică a informațiilor confidențiale;

· activitati de identificare a dispozitivelor electronice destinate obtinerii secrete de informatii in sedii si mijloace tehnice (cu exceptia cazului in care aceasta activitate se desfasoara pentru a satisface nevoile proprii ale unei persoane juridice sau ale intreprinzatorului individual).

În cadrul tipurilor de activități luate în considerare, au fost emise decrete separate ale Guvernului Federației Ruse, care explică procedura de licențiere. Printre ei:

· Decretul Guvernului Federației Ruse din 26 ianuarie 2006 nr. 45 „Cu privire la organizarea acordării de licențe pentru anumite tipuri de activități”; Decretul Guvernului Federației Ruse din 15 august 2006 nr. 504 „Cu privire la activitățile de licențiere pentru protecția tehnică a informațiilor confidențiale”;

· Decretul Guvernului Federației Ruse din 31 august 2006 nr. 532 „Cu privire la activitățile de licențiere pentru dezvoltarea și (sau) producerea de mijloace de protecție a informațiilor confidențiale”;

· Decretul Guvernului Federației Ruse din 23 septembrie 2002 nr. 691 „Cu privire la aprobarea reglementărilor privind acordarea de licențe pentru anumite tipuri de activități legate de mijloacele de criptare (criptografice)”.

În conformitate cu aceste documente, licențiații sunt obligați să transmită anual autorității de acordare a licențelor sau centrului de certificare informații cu privire la numărul de lucrări efectuate pentru anumite tipuri de activități specificate în licență. Licențiații sunt responsabili de integralitatea și calitatea lucrărilor efectuate, asigurând securitatea secretelor de stat care le sunt încredințate în cadrul activităților practice.

Creșterea rapidă a informatizării și creșterea volumului de informații digitale ne obligă să creștem nivelul de securitate. Acest lucru a condus la dezvoltarea activă a diferitelor metode de protecție a datelor, precum și a companiilor care oferă servicii de confidențialitate. Cu toate acestea, doar un număr limitat de companii au voie să se angajeze în acest tip de activitate.

Obligația de a obține permisiunea

Protejarea informațiilor personale și comerciale este o sarcină destul de delicată și importantă. Este inacceptabil să furnizezi astfel de servicii fără permisiune. Următoarele tipuri de măsuri sunt necesare pentru a proteja informațiile:

Dezvoltarea, producerea și distribuția instrumentelor de criptare
Lucrări privind protecția tehnică a informațiilor confidențiale
Detectarea mijloacelor electronice utilizate pentru obținerea datelor secrete
Producerea și dezvoltarea SZKI (mijloace pentru protejarea informațiilor confidențiale)
Întreținerea instrumentelor de securitate a informațiilor criptografice, telecomunicații și sisteme informatice.

O excepție de la aceasta este dezvoltarea instrumentelor de criptare pentru uz personal sau. De asemenea, nu este necesară o licență pentru întreținerea informațiilor și a altor sisteme utilizate pentru informațiile interne ale unei anumite companii.

De ce aveți nevoie de o licență pentru a opera în domeniul protecției tehnice (și de altă natură) a informațiilor confidențiale, vă vom explica mai jos.

Licență pentru activități legate de protecția tehnică a informațiilor confidențiale

Principalele sarcini de licențiere

Merită să înțelegeți că nivelul de confidențialitate al informațiilor poate varia.

Pentru unele companii, o scurgere de date poate aduce doar inconveniente morale, în timp ce alte companii își vor pierde capacitatea de a funcționa ca urmare.
De asemenea, nu uitați de secretele comerciale ale producției diferitelor bunuri. Dacă sunt făcute publice, sunt probabile evoluții diferite.

Sarcina principală a acordării de licențe este de a suprima activitățile incompetente. Solicitanții de licență trebuie să îndeplinească mai multe criterii pentru a asigura servicii de protecție a datelor de calitate și suport tehnic diligent.

Acest videoclip vă va spune despre tehnologiile de securitate a informațiilor:

Documente normative

Eliberarea licențelor este reglementată de o serie de reglementări, legi și reglementări. Unul dintre documentele principale este Legea federală nr. 99 din 4 mai 2011 „Cu privire la acordarea de licențe pentru anumite tipuri de activități”. Următoarele decrete guvernamentale ruse se aplică, de asemenea, activităților de protecție a informațiilor:

Nr 45 din 26 ianuarie 2006
Nr 532 din 31 august 2006
nr 691 din 23 septembrie 2002.

De asemenea, merită să citiți Decretul Guvernului Federației Ruse nr. 1418 din 24 decembrie 1994. Toate aceste documente prevăd o analiză detaliată a procedurii de obținere a permisului și indică condițiile pentru furnizarea acesteia împreună cu o listă a documentelor necesare.

Procedura de obținere a unei licențe de la FSTEC din Rusia pentru protecția tehnică a informațiilor confidențiale, scrierea unei declarații pe această temă - toate acestea sunt descrise mai jos.

Obținerea unei licențe pentru a desfășura activități de securitate a informațiilor

Activitățile de protecție a informațiilor necesită respectarea unei liste mari de condiții și pregătire sistematică. După depunerea cererii, solicitantul de licență trebuie să fie supus unei expertize formate din angajați FSB și FSTEC. Componența specifică a comisiei de experți depinde de tipul de activitate ales.

Cererea și locul depunerii documentelor

Cererea de licență care permite activități de protecție a informațiilor se completează în forma prevăzută de lege. Un exemplu de aplicație este furnizat de autoritățile de licențiere de stat. Două organizații sunt implicate în eliberarea de licențe pentru activități de securitate a informațiilor:

Serviciul Federal de Securitate (FSB).
Serviciul Federal de Control Tehnic și Export (FSTEK).

Cea mai mare parte a cererilor sunt depuse la FSB, acestea furnizează majoritatea activităților. FSTEC este competentă să controleze producția și dezvoltarea mijloacelor specializate de protecție a informațiilor confidențiale.

Condițiile necesare pentru licențierea activităților pentru protecția tehnică a informațiilor confidențiale (obținerea unei licențe pentru aceasta) sunt descrise mai jos.

Condiții

Principala dificultate în obținerea unei licențe o reprezintă termenii de furnizare. Lista este destul de largă, iar dacă lipsește vreun articol, solicitantul este privat de dreptul de a elibera un permis. În același timp, condițiile pentru diferite tipuri de activități diferă, deși există o listă generală.

Trebuie îndeplinite următoarele condiții:

Să aibă cel puțin 2 angajați care au studii adecvate sau au absolvit cursuri de recalificare
Deține sau închiriază spații cu conformitate tehnică obligatorie cu tipul de activitate declarat
Formați o bază materială și tehnică din control, măsurare, testare și alte tipuri de echipamente necesare în funcție de tipul de activitate
Confirmați că software-ul necesar este deținut sau deținut în mod legal
Disponibilitatea unui sistem de control specializat în conformitate cu tipul de activitate selectat și sub-elementul specific al acestuia
Deține legal documentația tehnică, evoluțiile metodologice, precum și alte date pe hârtie și digitale necesare desfășurării activităților.

De asemenea, anumite tipuri de activități pot necesita anumite facilitati de procesare a informațiilor certificate pentru siguranță.

O altă cerință referitoare la toate tipurile de activități, cu excepția producerii și dezvoltării SZKI, este prezența la post a unui manager care are studii superioare în specialitatea „Securitatea informațiilor” sau a absolvit un curs de recalificare care depășește 500 de ore de clasă.

Documente necesare

Alături de condițiile menționate, trebuie să furnizați următorul pachet de documente:

Contracte de munca, certificate si diplome ale angajatilor
Cerere și documente justificative pentru plata taxei de stat
Documente care confirmă existența legală a sistemelor de control
Documente de titlu pentru sediu și software
Date despre disponibilitatea documentației tehnice și a altor documente necesare pentru lucru
Documente care confirmă disponibilitatea materialului necesar și a bazei tehnice
Certificate de conformitate a instalațiilor de prelucrare a informațiilor și/sau a spațiilor protejate.

Toate datele sunt furnizate împreună cu documentele constitutive ale solicitantului. Numărul de formulare pe hârtie variază foarte mult în funcție de tipul de activitate ales, de prezența mai multor premise, de programe și de documentația tehnică. De aceea, la colectarea unui pachet de documente, este necesar să se clarifice prezența unor noi reglementări referitoare la acordarea de licențe a activităților de protecție a informațiilor.

Etapele activităților de licențiere pentru organizarea securității informațiilor sunt descrise mai jos.

Etape

Procedura de acordare a licenței durează mult timp. Din punct de vedere legal, perioada de eliberare a acestui document este limitată la 45 de zile. Unul dintre pașii importanți este etapa preliminară de obținere a permisului, însăși posibilitatea acordării dreptului la activități de protecție a informațiilor depinde de calitatea implementării acestuia.

Etape pregătitoare ale acordării licenței:

Studiul cadrului de reglementare
Determinarea conformității cu condițiile enunțate
Colectarea unui pachet de documente și întocmirea unei cereri
Reanalizarea condițiilor și documentelor furnizate.

Dacă perioada pregătitoare de licență se desfășoară corect, probabilitatea obținerii unei licențe este foarte mare. Adesea motivul refuzului este tocmai erorile în documentele depuse sau nerespectarea condițiilor necesare.

După etapa preliminară, este necesară depunerea documentelor la autoritatea de licențiere solicitată, selectate în funcție de tipul de activitate (FSB sau FSTEC). Următorul punct va fi examinarea documentelor de către o comisie de experți. Dacă se conformează, se organizează o verificare a capacităţilor tehnice şi condiţiilor de desfăşurare a activităţilor. Etapa finală este eliberarea unui formular oficial de licență.

Informații utile

O atenție deosebită ar trebui acordată faptului că toți licențiații existenți sunt supuși inspecțiilor de rutină de către ofițerii FSB. Mai mult, acest tip de activitate se caracterizează prin inspecții spontane fără avertisment. Acestea se desfășoară în mod legal pentru a atinge calitatea maximă a serviciilor de conservare a informațiilor furnizate.
Din acest motiv, perioada de valabilitate a licenței este determinată a fi de minim 5 ani, iar procedura de reînnoire a autorizației a fost simplificată. Este necesară reemiterea documentului de confirmare a permisului. La cererea titularului licenței, i se eliberează un nou formular cu o perioadă de valabilitate prelungită. Acest lucru este posibil numai în absența unor încălcări grave - dacă există, licența este retrasă.

Obținerea permisiunii de a desfășura activități de securitate a informațiilor în sine nu este deosebit de dificilă. Este mult mai dificil să colectați pachetul de documente necesar și să respectați corect toate condițiile cerute. Când solicitați o licență, cel mai important este să acordați atenție etapei pregătitoare, iar dacă se desfășoară bine, obținerea unui permis nu va fi dificilă.

Și mai multe informații utile despre protecția informațiilor și acordarea de licențe pentru astfel de activități sunt conținute în acest videoclip:

Structura organizatorică a sistemului de licențiere de stat pentru activitățile întreprinderilor din domeniul securității informațiilor este formată din:

· autorităţile de licenţiere de stat;

· centre de autorizare;

· întreprinderile solicitante.

Autoritățile de stat de licențiere:

· organizarea de licențe de stat obligatorii pentru activitățile întreprinderilor;

· eliberează licențe de stat întreprinderilor solicitante;

· coordonează componența comisiilor de experți reprezentate de centrele de licențiere;

· exercita controlul si supravegherea integralitatii si calitatii lucrarilor desfasurate de licentiati in domeniul securitatii informatiilor.

Centre de licență:

· să formeze comisii de experți și să prezinte componența acestora spre aprobare conducătorilor organismelor de autorizare de stat relevante, care sunt FSTEC și FSB;

· planifică și efectuează lucrări de examinare a întreprinderilor solicitante;

· controlează integralitatea și calitatea lucrărilor efectuate de titularii de licență.

Următoarele sunt supuse licenței de către FSTEC din Rusia:

· Efectuarea de studii speciale privind radiațiile electromagnetice parasite și interferența (PEMIN) TSOI;

· proiectarea obiectelor protejate.

Organismul de licențiere este responsabil pentru:

· elaborarea de reguli, proceduri și documente normative și metodologice privind problemele de licențiere;

· implementarea managementului științific și metodologic al activităților de licențiere;

· publicarea informațiilor necesare despre sistemul de licențiere;

· luarea în considerare a cererilor din partea organizațiilor și unităților militare pentru eliberarea licențelor;

· coordonarea aplicațiilor cu unitățile militare responsabile de domeniile relevante de protecție a informațiilor;

· coordonarea componenței comisiilor de experți;

· organizarea şi desfăşurarea examenelor speciale;

· luarea unei decizii privind eliberarea licenței;

· eliberarea licenţelor;

· luarea unei decizii privind suspendarea, reînnoirea unei licențe sau anularea acesteia;

· ținerea unui registru al licențelor eliberate, suspendate, reînnoite și anulate;

· achiziționarea, contabilizarea și stocarea formularelor de licență;

· organizarea muncii centrelor de certificare;

· monitorizarea completității și calității lucrărilor desfășurate de licențiați.

În conformitate cu articolul 17 din Legea federală din 08.08.2001 nr. 128-FZ „Cu privire la acordarea de licențe pentru anumite tipuri de activități” (modificată prin Legea federală din 02.07.2005 nr. 80-FZ), următoarele tipuri de activități (în domeniul securității informațiilor) sunt supuse licenței:

· activități de distribuire a instrumentelor de criptare (criptografice);

· activități de întreținere a instrumentelor de criptare (criptografice);

· prestarea de servicii in domeniul criptarii informatiilor;

· dezvoltarea, producerea mijloacelor de criptare (criptografice) protejate cu ajutorul mijloacelor de criptare (criptografice) a sistemelor informatice, a sistemelor de telecomunicații;

· activități pentru dezvoltarea și (sau) producerea de mijloace de protecție a informațiilor confidențiale; activități de protecție tehnică a informațiilor confidențiale;

În cadrul tipurilor de activități luate în considerare, au fost emise decrete separate ale Guvernului Federației Ruse, care explică procedura de licențiere. Printre ei:

Pentru funcționarea normală a sistemelor de management electronic a documentelor (EDM), este necesară elaborarea unor proceduri de soluționare a eventualelor conflicte. O parte la astfel de conflicte, pe lângă participanții la EDF și compania furnizor, poate fi și o companie de dezvoltare de software.

Se presupune că acordul cu compania de dezvoltare ia în considerare disponibilitatea unui eșantion de software de referință, care poate fi stocat numai de compania furnizorului sau de toți participanții la fluxul de documente electronice. Acest lucru necesită îndeplinirea a două condiții de bază:

trebuie să se documenteze că fiecare participant la sistemul EDF (inclusiv compania furnizor) are instalat software care corespunde eșantionului de referință;

stocarea mostrelor de referință este organizată în așa fel încât să excludă posibilitatea modificării eșantionului de referință de software fără știrea părților.

Acest mod poate fi asigurat de un sistem de mai multe chei publice.

Astăzi, când tehnologiile informaționale moderne sunt introduse intens în toate sferele vieții și activității societății, cea națională și, ca parte a acesteia, securitatea economică a statului începe să depindă direct de asigurarea securității informației. De aceea, pentru a crea garanții care să asigure durabilitatea necesară a mijloacelor de protecție a informațiilor, statul își asumă responsabilitatea pentru autorizarea activităților organizațiilor implicate în protecția informațiilor și certificarea mijloacelor tehnice relevante.

Nivelul actual de protecție împotriva amenințărilor externe de informații în rețelele globale deschise nu poate fi considerat satisfăcător: Rusiei încă nu are o strategie cuprinzătoare și dovedită tehnic în acest domeniu. Pentru a schimba situația, trebuie dezvoltat și implementat imediat un set de măsuri în domeniul legislației și standardizării mijloacelor de asigurare a securității informațiilor în Rusia. Sarcinile prioritare în această direcție includ:

· adoptarea unei legi speciale, asemănătoare „Computer Security Act” din SUA, care responsabilizează agențiile guvernamentale specifice pentru sprijinirea metodologică a muncii în domeniul securității informațiilor;

· dezvoltarea unor abordări unificate pentru asigurarea securității pentru organizații de diferite profiluri, dimensiuni și forme de proprietate;

· asigurarea apariției pe piață a unui număr suficient de diverse instrumente certificate pentru rezolvarea problemelor de securitate a informațiilor.

Una dintre problemele din domeniul securității informațiilor din Rusia este lipsa documentelor oficiale cu recomandări detaliate pentru construirea de sisteme informaționale securizate, similare celor dezvoltate, de exemplu, de Institutul American de Tehnologie Standard (SUA) și standardul britanic. Deși nu există reglementări în Marea Britanie care să impună conformitatea cu standardele guvernamentale, aproximativ 60% dintre firmele și organizațiile britanice folosesc în mod voluntar standardul dezvoltat, iar restul intenționează să implementeze recomandările acestuia în viitorul apropiat.

Licențierea și certificarea în domeniul sistemelor de securitate a informațiilor pot reduce gravitatea acestei probleme. Este necesar să se ofere utilizatorului garanții că instrumentele de securitate a informațiilor pe care le utilizează sunt capabile să ofere nivelul necesar de protecție. Licențiarea este cea care poate asigura că doar specialiștii cu înaltă calificare în acest domeniu se vor ocupa de problema securității informațiilor, iar produsele pe care le creează vor fi la nivelul corespunzător și vor putea trece certificarea.

Fără certificare, este imposibil să se evalueze dacă un produs conține capabilități nedocumentate potențial dăunătoare, a căror prezență este deosebit de tipică pentru majoritatea produselor străine, care poate duce la un moment dat la defecțiuni ale sistemului și chiar la consecințe ireversibile pentru acesta. Un exemplu tipic de astfel de capacități nedocumentate este capacitatea pe care Ericsson a încorporat-o la dezvoltarea centralelor telefonice, pe baza cărora Ministerul Căilor Ferate al Federației Ruse își construiește rețeaua telefonică, de a bloca funcționarea acestora atunci când primește un apel de la un anumit număr de telefon, pe care firma refuză să-l numească. Și acest exemplu nu este singurul.

Procesul de certificare a unui produs software durează aproximativ același timp cu dezvoltarea sa și este practic imposibil fără codurile sursă ale programelor cu comentarii. În același timp, multe companii străine nu doresc să trimită codurile sursă ale produselor lor software către centrele de certificare rusești. De exemplu, în ciuda acordului de principiu al Microsoft de a certifica sistemul de operare Windows NT din Rusia, în care au fost deja identificate peste 50 de erori legate de securitate, această problemă nu a putut avansa de mai multe luni din cauza lipsei sale. cod sursa.

Dificultățile cu certificarea duc la faptul că dintre produsele din aceeași clasă, cele mai simple primesc mai întâi un certificat, motiv pentru care par mai fiabile utilizatorului. Perioadele lungi de certificare duc la faptul că compania de dezvoltare are timp să aducă pe piață o nouă versiune a produsului său, iar procesul devine nesfârșit.

Certificarea mijloacelor tehnice de securitate a informațiilor este dificil de realizat fără standarde adecvate, a căror creare în Rusia este, nu în ultimul rând, împiedicată de lipsa resurselor financiare. Această problemă poate fi rezolvată dacă există mai multe firme interesate de vânzări și mai multe organizații interesate să utilizeze mijloacele tehnice adecvate. De exemplu, rodul eforturilor comune ale unor astfel de organizații, firme și FSTEC (fostă Comisia Tehnică de Stat (STC)) a fost dezvoltarea Materialului Tehnic de Ghid al Comitetului Vamal de Stat al Federației Ruse „Facilități de calculatoare. Firewall-uri. Protecție. împotriva accesului neautorizat la informații. Indicatori de securitate împotriva accesului neautorizat la informații. A făcut posibilă clasificarea instrumentelor care sunt capabile, într-o oarecare măsură, să protejeze rețelele corporative de intruziunile externe.

Documentul presupune existența mai multor clase de firewall-uri: de la cele mai simple, care permit doar controlul fluxurilor de informații, până la cele mai complexe, care realizează recodificarea completă a informațiilor primite, protejând complet rețeaua corporativă de influențele externe. Deja în prezent, firewall-uri precum Sun Screen, SKIPbridge și Pandora au fost certificate pentru conformitatea cu specificațiile tehnice elaborate în conformitate cu Materialul de îndrumare tehnică, care este permis de legislația în vigoare. Cu toate acestea, certificarea lor nu a fost lipsită de luptă.

Ținând cont de cerințele de securitate a informațiilor și de practica mondială în domeniul securității informațiilor, pare oportun ca Rusia să se alăture sistemelor existente de standardizare internațională și certificare a tehnologiilor informaționale, ceea ce înseamnă în practică:

· aducerea standardelor naționale și industriale în conformitate cu cele internaționale;

· participarea reprezentanților ruși la sistemele internaționale de certificare (inclusiv teste de certificare);

· posibilitatea recunoașterii certificatelor internaționale în Rusia.

În plus, în conformitate cu legislația în vigoare, orice organizație angajată în colectarea și prelucrarea datelor cu caracter personal (de exemplu, tranzacții cu carduri de plastic) trebuie să dețină o licență pentru a se angaja în astfel de activități și pentru a utiliza mijloace certificate pentru aceasta.

FSTEC din Rusia (fostă Comisia Tehnică de Stat) a dezvoltat cadrul de reglementare necesar în domeniul protejării informațiilor împotriva accesului neautorizat. Să luăm în considerare structura principalelor documente de guvernare.

1. « Protecție împotriva accesului neautorizat la informații. Termeni și definiții"– stabilește un standard terminologic unificat în domeniul protecției echipamentelor informatice și a sistemelor automatizate împotriva accesului neautorizat la informații, care este obligatoriu pentru utilizare în toate tipurile de documentație.

2. « Conceptul de protecție a echipamentelor informatice și a sistemelor automatizate de accesul neautorizat la informații”– descrie principiile de bază pe care se bazează problema protecției informațiilor împotriva accesului neautorizat și relația acesteia cu problema generală a securității informațiilor. Conceptul reflectă următoarele aspecte: definiția accesului neautorizat, principiile de bază ale protecției, modelul intrusului în sistemele automatizate, principalele metode de acces neautorizat, principalele direcții de asigurare a protecției, principalele caracteristici ale mijloacelor tehnice de protecție, clasificarea sistemelor automatizate, organizarea muncii de protectie. Acest concept este destinat clienților, dezvoltatorilor și utilizatorilor tehnologiei informatice și sistemelor automate, al căror scop principal este prelucrarea, stocarea și transmiterea informațiilor protejate.

3. „Mijloace de securitate a informațiilor. Protecția informațiilor din casele de marcat și sistemele automate de casă. Clasificarea caselor de marcat, a sistemelor automate de numerar și a cerințelor pentru protecția informațiilor”– stabilește clasificarea caselor de marcat, a sistemelor automatizate de casă, a tehnologiilor informaționale și a cerințelor de protecție a informațiilor legate de impozite. În conformitate cu acest document, sunt stabilite 2 clase de case de marcat, sisteme automate de numerar și tehnologia informației. Prima clasă include sisteme care procesează informații despre fluxurile de numerar în valoare de până la 350 de salarii minime pe zi, iar a doua - în valoare de peste 350 de salarii minime.

4. „Facilitati informatice. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate împotriva accesului neautorizat la informații”– reglementează cerințele de securitate a echipamentelor informatice împotriva accesului neautorizat, aplicate software-ului și sistemelor de operare la nivel de sistem. Există șapte clase de securitate, care sunt împărțite în patru grupuri. Fiecare clasă conține o listă de mecanisme necesare pentru implementarea protecției informațiilor împotriva accesului neautorizat.

5. „Sisteme automatizate. Protecție împotriva accesului neautorizat la informații. Clasificarea sistemelor automate și cerințele pentru protecția informațiilor”– clasifică sistemele automatizate în funcție de prezența informațiilor în acestea de diferite niveluri de confidențialitate, niveluri de autoritate ale subiecților de acces, moduri de prelucrare a datelor în nouă clase și prevede un set de cerințe pentru fiecare dintre ele. În funcție de caracteristicile procesării informațiilor în sistemele automate, clasele sunt împărțite în trei grupe.

6. „Tehnologia computerelor. Firewall-uri. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate împotriva accesului neautorizat la informații”– declară cerințe pentru diferite clase de firewall-uri. În total, există cinci clase de securitate firewall. Clasificarea se face in functie de clasa de securitate a sistemelor automate, pentru protectia carora se foloseste un firewall.

Pe baza documentelor de guvernare și a cadrului de reglementare al FSTEC din Rusia, se realizează dezvoltarea, certificarea și utilizarea mijloacelor de protecție a informațiilor împotriva accesului neautorizat, precum și acordarea de licențe a întreprinderilor pentru dreptul de a opera în domeniul protecției informațiilor pe teritoriul Federației Ruse.

Protecția tehnică a informațiilor confidențiale este o problemă presantă în realitățile de astăzi. Orice organizație, într-un fel sau altul, colectează informații pe care nu le-ar dori sau pur și simplu nu are dreptul să le dezvăluie. Scurgerea unor astfel de date poate avea cele mai grave consecințe.

Statul controlează acest domeniu important, iar principalul organism de reglementare este Serviciul Federal de Control Tehnic și Export (FSTEC).

Companiile care se angajează sau intenționează să se angajeze în activități pentru protejarea informațiilor confidențiale trebuie să obțină o licență de la FSTEC (Legea federală nr. 99 „Cu privire la acordarea de licențe pentru anumite tipuri de activități”, Decretul Guvernului din 21 noiembrie 2011 nr. 957 „Cu privire la organizație”. de licențiere pentru anumite tipuri de activități”). Există și o licență FSB, care este necesară pentru companiile care se ocupă de secrete de stat.

Tipuri de licențe FSTEC

Dacă luăm în considerare numai activitățile aflate sub jurisdicția FSTEC, atunci există două tipuri principale de licențe:

Primul: licență FSTEC pentru activități privind protecția tehnică a informațiilor confidențiale (TZKI). O astfel de licență este necesară pentru companiile care lucrează direct cu informații. Ei folosesc software gata făcut, îl instalează, testează echipamente, comunicații și spații speciale pentru stocarea informațiilor și așa mai departe. O listă detaliată a lucrărilor care necesită obținerea unei licențe TZKI va fi dată mai jos.

Al doilea: Licența FSTECpentru activități legate de dezvoltarea și producerea mijloacelor de protecție a informațiilor confidențiale (SZKI). Organizațiile care primesc această licență dezvoltă și produc ele însele instrumente de securitate a informațiilor. Acestea includ software și echipamente speciale concepute pentru procesarea, stocarea și transmiterea informațiilor protejate, precum și pentru monitorizarea securității. Certificatele FSTEC sunt emise pentru toate programele și hardware-ul care sunt produse și utilizate în aceste scopuri. La anumite intervale, echipamentul de protecție este recertificat.

Ce se înțelege prin informații confidențiale?

Nu există o definiție clară a acestui concept în lege: poate fi un secret comercial, date personale sau orice altă informație restricționată.

Există și conceptul de „operator de date cu caracter personal”. Aceasta este orice organizație sau persoană care organizează și (sau) prelucrează date cu caracter personal. Potrivit legii (Legea Federală Nr. 152 „Cu privire la Datele cu Caracter Personal”), operatorul PD este obligat să asigure integritatea acestora, adică să ia măsuri pentru protecția tehnică a informațiilor care fac obiectul licenței.

În practică, acest lucru nu înseamnă întotdeauna că trebuie să obțină o licență FSTEC. Operatorul poate atrage o organizație terță cu o licență în acest scop sau poate desemna o unitate structurală sau un funcționar care se va ocupa de problema TZKI. În acest caz, această unitate sau oficial trebuie să aibă, de asemenea, o licență FSTEC pentru TZKI.

Licență FSTEC pentru TZKI. Pentru ce fel de muncă este nevoie?

Ce organizații trebuie să obțină o licență FSTEC pentru TZKI? Pentru a determina acest lucru, este necesar să se compare lucrările sau serviciile pe care această organizație intenționează să le presteze cu cele prezentate în decretul guvernamental. O astfel de muncă include:

controlul securității informațiilor confidențiale de la scurgeri prin canale tehnice în:
mijloace si sisteme informatice;
mijloace tehnice (sisteme) care nu prelucrează informații confidențiale, dar sunt amplasate în spațiile în care acestea sunt prelucrate;
spații cu mijloace (sisteme) de protejat;
spații destinate desfășurării negocierilor confidențiale (spații protejate);
controlul securității informațiilor confidențiale de la accesul neautorizat și modificarea acestora în instrumentele și sistemele de tehnologie a informației;
teste de certificare pentru conformitatea cu cerințele de securitate a informațiilor pentru produsele utilizate pentru protejarea informațiilor confidențiale (mijloace tehnice de protecție a informațiilor, mijloace tehnice protejate de prelucrare a informațiilor, mijloace tehnice de monitorizare a eficacității măsurilor de protecție a informațiilor, software (software și hardware) mijloace de protecție a informațiilor , software protejat (software -tehnic) instrumente de prelucrare a informațiilor, software (software și hardware) instrumente de control al securității informațiilor);
teste de certificare și certificare pentru conformitatea cu cerințele de securitate a informațiilor:

spații protejate;
design protejat:
instrumente și sisteme informatice;
spații cu mijloace (sisteme) tehnologice supuse protecției;
spații protejate;
instalare, instalare, testare, reparare echipamente de securitate informatică

Obținerea unei licențe de la FSTEC din Rusia pentru protecția informațiilor tehnice

FSTEC din Rusia recomandă obținerea unei licențe pentru protecția tehnică a informațiilor pe cont propriu pentru a evita cheltuielile nejustificate și garanțiile nerezonabile. Cum arată această procedură? Pentru a obține o licență de protecție a informațiilor, trebuie îndeplinite două condiții:

Colectați toate documentele necesare. Lista documentelor este destul de impresionantă și se află pe site-ul web al FSTEC din Rusia fstec.ru. În plus, trebuie să completați o cerere și să plătiți o taxă de stat de 7.500 de ruble. După depunerea documentelor, în termen de cinci zile lucrătoare se verifică caracterul complet al informațiilor. Se efectuează apoi o analiză pentru a determina dacă solicitantul îndeplinește cerințele pentru a primi o licență.

Îndeplinește cerințele. Lista cerințelor este, de asemenea, pe site-ul oficial al FSTEC din Rusia. Desigur, trebuie să vă ocupați de acest lucru în avans înainte de a vă trimite documentele.

Cerințe pentru obținerea unei licențe FSTEC

Rezumând pe scurt aceste cerințe, ele se rezumă la următoarele:

Angajati calificati. Personalul trebuie să includă angajați cu studii superioare în domeniul relevant sau care au fost supuși unei recalificări speciale.
Spații speciale pentru desfășurarea activităților. Sediul trebuie să respecte standardele și să aparțină solicitantului în mod legal.
Echipamente certificate.
Sisteme automate de prelucrare a informațiilor cu certificate.
Software juridic.
Disponibilitatea reglementărilor și documentelor metodologice în conformitate cu lista FSTEC.

Odată ce toate cerințele sunt îndeplinite și documentele sunt în regulă, se eliberează o licență. Perioada de valabilitate a licenței pentru TZKI nu este limitată, dar FSTEC va efectua periodic inspecții programate. Prin urmare, compania trebuie să se asigure în mod constant că toate cerințele FSTEC sunt îndeplinite.

Procesul de licențiere este descris în detaliu în Decretul Guvernului Federației Ruse „Cu privire la activitățile de licențiere pentru protecția tehnică a informațiilor confidențiale”. Documentul specifică în detaliu ce documente, în ce formă și în ce ordine, trebuie să fie prezentate autorității de licențiere (LO).

Pe hârtie totul pare destul de simplu.

Persoana juridică depune o cerere complet formată în conformitate cu cerințele.
În termen de trei zile, autoritatea de acordare a licențelor trebuie să o examineze și să raporteze ce erori sunt în cerere sau ce documente lipsesc. Dacă LO are comentarii, solicitantul trebuie să corecteze deficiențele în termen de 30 de zile.
Dacă cererea este completată corect, atunci în termen de cinci zile de la data acceptării cererii, LO verifică caracterul complet al documentelor care completează cererea, iar aceasta este de obicei de aproximativ 200-300 de pagini.
Dacă există o deficiență în documentele suplimentare, LO refuză să accepte cererea până la eliminarea încălcărilor. Persoana juridică are aceleași 30 de zile pentru a face acest lucru.
După ce a recunoscut pachetul de documente ca fiind complet, LO trebuie, în termen de 45 de zile lucrătoare, să ia o decizie cu privire la eliberarea licenței sau la refuzul motivat de a o elibera.

Cu toate acestea, în realitate totul este mai complicat. Există o singură autoritate de acordare a licențelor pentru întreaga țară și este situată la Moscova mai multe persoane sunt implicate în examinarea cererilor, iar numărul organizațiilor care doresc să obțină o licență crește în fiecare an. Puteți pune întrebări la telefon, pentru asta vi se acordă două ore de două ori pe săptămână, nu mai mult de cinci minute pe sesiune de comunicare, nu veți putea afla prea multe. Toate acestea înseamnă că este aproape imposibil să se realizeze licențierea în câteva zile sau chiar săptămâni, mai ales dacă există neînțelegeri în regulile de licențiere sau dificultăți în îndeplinirea a cel puțin una dintre cerințe. În plus, pentru unele tipuri de servicii, lista actelor juridice care trebuie atașate numai cererii poate consta din 15 pagini.

Cererea de licență trebuie să fie însoțită de:

documente pentru sisteme automate, pentru spații protejate, pentru dreptul de proprietate legală asupra spațiilor, echipamentelor, software-ului, sau că acestea sunt închiriate (cu confirmarea faptului transferului);
documente pentru autorizarea de securitate (la informații confidențiale la care accesul este limitat);
copii după carnetele de muncă, contractele de muncă, documentele educaționale ale angajaților solicitantului de licență;
documente de proprietate asupra echipamentului, pentru lucrări de verificare care confirmă funcționarea corectă a acestui echipament, pentru software etc.;
informații privind documentele de reglementare necesare desfășurării activităților de securitate a informațiilor;
descrierea procesului tehnologic de prelucrare a informațiilor confidențiale în forma prescrisă.

Deținătorii de licență pentru prima dată trebuie să depună documentele de înmatriculare notariale ale organizației.

Pietre de poticnire

În timpul activității de acordare a licențelor, organizațiile se confruntă cu trei dificultăți principale:

Echipamente. Pentru a efectua lucrări și a furniza servicii de certificare a spațiilor protejate și a sistemelor automatizate, este necesar să achiziționați (deține sau deține pe orice alt temei legal) echipamente. Costul setului variază, dar este de aproximativ un milion de ruble. Și dacă începeți să acordați licențe pentru lucrări odată cu achiziționarea de echipamente, atunci până la depunerea cererii, se poate dovedi că va trebui verificată din nou (certificatele de verificare sunt valabile un an). Puteți încerca să economisiți bani și să închiriați echipament, dar acesta trebuie să fie special conceput. Este necesar să confirme periodic dreptul de proprietate asupra echipamentului și să încheie acorduri suplimentare la contractele de închiriere care să precizeze că echipamentul este în posesia locatarului. Dezavantajul opțiunii de închiriere este că reduce șansele de a obține o licență - există o mare probabilitate de a înregistra incorect relația și de a fi refuzat.
Închiriere de spații. Dacă solicitantul de licență închiriază spații de la un subchiriaș, atunci este necesar să se prezinte întregul lanț de documente până la proprietarul spațiilor. De asemenea, este necesar să se asigure că numerele efective ale sediului coincid cu numerele cadastrale, astfel încât sediul să fie clar identificat doar pe baza documentelor.
Documentatia personalului. Salariații trebuie să aibă diplome de studii profesionale superioare în domeniul securității informațiilor tehnice și o experiență mai mare de trei ani, sau o diplomă de studii superioare din cursuri de recalificare/învățământ tehnic superior și o experiență mai mare de cinci ani. Trebuie să existe cel puțin trei angajați și aceștia trebuie să fie angajați de solicitant la locul principal de muncă.

Truc de viață pentru o licențiere de succes

Pentru a obține o licență și apoi a trece cu succes, dacă este necesar, inspecțiile FSTEC programate pentru conformitatea cu cerințele, vă sugerăm să luați în considerare o serie de puncte:

Este mai bine să cumpărați echipament (dacă este necesar pentru tipul de activitate pe care l-ați ales) decât să îl închiriați.
Monitorizați în mod constant modificările din cadrul legislativ și mențineți documentația la zi, inclusiv actualizarea periodică și achiziționarea de GOST-uri suplimentare (informațiile despre acest lucru nu sunt un secret, site-ul oficial al FSTEC din Rusia este deschis tuturor).
Actualizați în timp util software-ul antivirus și licențele pentru software-ul și echipamentele de control.
Re-certificați spațiile și sistemele automatizate în timp util, deoarece certificatele sunt valabile pentru maximum trei ani.

Licențierea inițială și inspecția de rutină: diferențe

Când un solicitant primește pentru prima dată o licență, comunicarea cu autoritatea de acordare a licenței este la distanță: părțile fac schimb de documente și comunică prin telefon. Autoritățile de reglementare nu efectuează nicio vizită personală solicitantului.

O inspecție programată poate fi efectuată la trei ani de la obținerea licenței. În acest caz, reprezentanții FSTEC studiază dacă personalul, spațiile, echipamentele și software-ul care au fost declarate la obținerea licenței există efectiv. Aceasta include o evaluare a cunoștințelor și competențelor personalului declarate în documentele pentru obținerea licenței. Inspectorii pot solicita o listă a certificatelor eliberate de organizația de certificare (dacă acest tip de activitate este inclus în licență), precum și o listă a clienților cărora le-au fost eliberate aceste certificate. În acest fel, autoritățile de reglementare verifică dacă organizația de certificare a furnizat într-adevăr aceste servicii și cât de înaltă sunt de calitate.

Este posibilă și o inspecție neprogramată, care se efectuează în orice moment la cererea cetățenilor, persoanelor juridice, a parchetului sau prin hotărâre judecătorească.

Lucrare de licență: cost

De la 1 ianuarie 2015, taxa de stat pentru primirea inițială a unei licențe FSTEC pentru activități legate de protecția tehnică a informațiilor confidențiale este de 7.500 de ruble, pentru reînnoire - 3.500 de ruble. Acestea sunt cheltuieli inevitabile și cea mai puțin costisitoare parte a lucrării.

În conformitate cu cerințele reglementărilor de licențiere, este necesar să se efectueze certificarea și să elaboreze documente pentru certificarea spațiilor protejate și a sistemului automat de procesare a informațiilor confidențiale. Aceste servicii sunt furnizate de licențiații FSTEC, de exemplu reprezentanții proiectelor.

Gama de servicii include:

Consultație inițială. Aceasta este o cunoaștere a organizației clienților pentru a înțelege de ce este necesară o licență și a explica clientului ce îi va oferi, ce costuri va costa obținerea acesteia și câtă investiție (de timp și financiară) va fi necesară în viitor. În special, specialiștii raportează imediat care sunt șansele organizației de a obține licența de succes, pe baza gradului de pregătire a clientului de a depune o cerere acum.
Ajutor la certificare. Angajații proiectului Kontur.Security realizează certificarea sălilor de ședințe și a sistemelor automatizate de prelucrare a informațiilor confidențiale conform cerințelor de securitate.
Consultanta privind achizitia de echipamente si software.
Consultare privind achiziționarea documentelor de reglementare (GOST). Majoritatea GOST-urilor sunt în formă electronică în sistemele de referință și juridice. Dar nu este suficient să le descărcați și să le imprimați, deoarece dreptul de proprietate este cel care trebuie confirmat.
Asistență în coordonarea problemelor legate de închirierea spațiilor și echipamentelor.
Consultare privind înregistrarea corectă a angajaților care lucrează cu informații confidențiale.
Ajutor la completarea cererii. Aplicația este postată pe resursele FSTEC din Rusia, nu este dificil de completat, dar trebuie să îndepliniți destul de multe condiții cu privire la documentele care completează cererea - în timp util, exact și în deplină conformitate cu cerințele.