Определение применимости
Заключение о том, нужна ли лицензия, какая именно и на какие виды работ — иногда результат этого этапа в том, что лицензия не требуется.
Compliance
Подготовка к получению лицензий ФСТЭК и ФСБ
Готовим организацию к лицензированию деятельности в области защиты информации: определяем, какие виды работ вам действительно нужно лицензировать, приводим в соответствие штат, помещения, оборудование и документы, готовим комплект и сопровождаем рассмотрение.
Первый шаг
Сначала: нужна ли она вам
Значительная часть обращений — за лицензией, которая организации не требуется. Разберём развилку до того, как считать бюджет.
Общий принцип: лицензируется деятельность, выполняемая для других лиц. Защита собственной информации силами собственных сотрудников под лицензирование, как правило, не подпадает. Но границы исключения различаются по видам лицензий, и определять применимость нужно по каждому планируемому виду работ, а не по общему названию задачи.
- Техническая защита конфиденциальной информации (ФСТЭК). Лицензия нужна тем, кто выполняет работы и оказывает услуги по защите чужой информации: интеграторам, центрам мониторинга, организациям, аттестующим объекты и проводящим контроль защищённости
- Разработка и производство средств защиты (ФСТЭК). Отдельная лицензия со своим перечнем требований — для разработчиков и производителей
- Шифровальные (криптографические) средства (ФСБ). Здесь исключение сформулировано у́же: оно касается технического обслуживания криптографических средств и защищённых с их использованием систем для обеспечения собственных нужд организации. Разработка, производство, распространение и работы в области шифрования этим исключением не охватываются
Виды лицензий
Какие лицензии готовим
| Лицензия | Основание | Кому нужна |
|---|---|---|
| ФСТЭК: техническая защита конфиденциальной информации (ТЗКИ) | ПП РФ от 03.02.2012 № 79 | Интеграторам, центрам мониторинга, организациям, аттестующим объекты информатизации и проводящим контроль защищённости |
| ФСТЭК: разработка и производство средств защиты конфиденциальной информации (СЗКИ) | ПП РФ от 03.03.2012 № 171 | Разработчикам и производителям средств защиты |
| ФСБ: шифровальные (криптографические) средства | ПП РФ от 16.04.2012 № 313 | Тем, кто разрабатывает, производит, распространяет, встраивает или обслуживает СКЗИ для других лиц |
Требования
Что проверяется
Лицензионные требования — это фактическое состояние организации по нескольким направлениям.
- Персонал. Профильное образование, стаж, повышение квалификации. Требования предъявляются к количеству специалистов и подтверждению их квалификации, а не к наличию должностей в штатном расписании
- Помещения. Соответствие требованиям, а для части видов работ — аттестованные объекты информатизации: помещение нужно найти или привести в соответствие, оборудовать и аттестовать
- Оборудование. Контрольно-измерительные средства с действующей поверкой, испытательное и специальное оборудование под заявленные виды работ, сертифицированные средства защиты
- Программное обеспечение и документация. Лицензионное ПО, нормативные и методические документы, внутренние регламенты и организационно-распорядительная документация под лицензируемую деятельность
На перспективу
Готовящиеся изменения: что учитывать при планировании
Подготовлены проекты изменений в положения о лицензировании по линии ФСТЭК. Это проекты, а не действующие требования; планируемый срок вступления в силу — 1 марта 2027 года, итоговые редакции могут отличаться.
Этапы проекта
Этапы и результат каждого
Оценка текущего состояния
Матрица «планируемая деятельность → вид лицензируемых работ → требование» и реестр разрывов с оценкой сроков и затрат.
План подготовки
Дорожная карта с последовательностью и параллельными ветками, кадровая матрица, требования к помещениям, спецификация оборудования и ПО, перечень необходимого обучения.
Закрытие требований
Подготовленный персонал, помещения в требуемом состоянии, укомплектованное оборудование, комплект организационно-распорядительных документов.
Комплект для подачи
Заявление и приложения в требуемом составе.
Сопровождение рассмотрения
Журнал замечаний и ответов, скорректированные документы, подготовка к проверке, если она проводится.
Поддержание соответствия
План поддержания — отдельным составом работ.
Распределение ролей
Зоны ответственности
| Задача | АйЭсТи | Заказчик |
|---|---|---|
| Применимость и состав видов работ | Готовим обоснование | Принимает решение |
| Оценка разрывов и план подготовки | Выполняем | Утверждает объём и бюджет |
| Персонал | Формулируем требования, помогаем с подбором, обучаем в собственном учебном центре | Принимает в штат, оформляет трудовые отношения |
| Помещения | Определяем требования, сопровождаем приведение в соответствие и аттестацию | Предоставляет или арендует, финансирует работы |
| Оборудование и ПО | Формируем спецификацию, проверяем наличие действующей поверки и сертификации | Приобретает или предоставляет на ином законном основании |
| Документация | Разрабатываем | Утверждает |
| Подача заявления | Готовим комплект и сопровождаем | Выступает заявителем, оплачивает госпошлину, если она предусмотрена, подписывает и подаёт документы |
| Взаимодействие с лицензирующим органом | Готовим материалы и ответы на замечания, участвуем в допустимом порядке, в том числе по доверенности | Ведёт от своего имени |
Планирование
Сроки и стоимость
Общий срок складывается из двух неравных частей: подготовка и рассмотрение заявления. Рассмотрение — финальный этап с установленной процедурой. Основная неопределённость возникает раньше, при приведении компании в соответствие.
- Сколько видов работ заявляется
- Есть ли подходящее помещение и требуется ли аттестация
- Укомплектован ли штат специалистами с нужным образованием и стажем
- Есть ли оборудование с действующей поверкой
- В каком состоянии документация
- Требуется ли обучение
Дальше
После получения
Меняются сотрудники, истекает поверка оборудования, переезжает офис, обновляются требования — и соответствие расходится с фактом незаметно для самой компании.
- Контроль сроков поверки и аттестатов
- Актуализация документации при изменениях в организации и в требованиях
- Подготовка к проверкам лицензирующего органа
- Переоформление при изменении сведений или расширении видов работ
Почему мы
Почему АйЭсТи
- Мы сами лицензиаты. АйЭсТи является лицензиатом ФСТЭК России по технической защите конфиденциальной информации и ФСБ России по деятельности в отношении шифровальных (криптографических) средств. Мы проходили лицензирование и проходим лицензионный контроль — это не консультирование по инструкции
- Собственный учебный центр. Обучение и повышение квалификации специалистов — обычно самая долгая часть подготовки — закрывается внутри, без поиска сторонних программ
- В сфере информационной безопасности с 2011 года, более 80 специалистов
- Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве
- Ведём лицензируемую деятельность постоянно: понимаем практику подтверждения соответствия требованиям, а не только текст постановления
- Отслеживаем подготовку изменений в лицензионные требования и учитываем их при планировании
- Скажем прямо, если лицензия вам не нужна
Вопросы
Частые вопросы
Нужна ли лицензия, если мы защищаем только свою информацию?
Как правило, нет: лицензируется деятельность для других лиц. По криптографии исключение сформулировано у́же — оно касается технического обслуживания средств для собственных нужд, а разработка, производство и распространение под него не подпадают. Определяем на первом этапе по каждому виду работ.
Можно ли получить лицензию быстро?
Рассмотрение заявления идёт по установленной процедуре. Долго — приведение компании в соответствие: аттестация помещения, подбор специалистов с нужным образованием и стажем, поверка оборудования. Поэтому подготовку начинают заранее, а не когда до подачи заявки на конкурс осталась неделя.
Что если в лицензии откажут?
Отказ обычно связан с несоответствием требованиям или недостатками комплекта. Наша задача — выявить это на этапе оценки, а не при рассмотрении. Возникшие замечания отрабатываем в пределах согласованного состава работ.
Мы получили лицензию несколько лет назад. Нужно что-то делать?
Проверить фактическое соответствие: состав специалистов, поверку оборудования, актуальность документации, соответствие адресов. Требования менялись, а проверка оценивает положение дел на её момент.
Compliance
Узнать, нужна ли лицензия
Расскажите, какие работы планируете выполнять и для кого: для собственных нужд или для заказчиков, участвуете ли в конкурсах с требованием лицензии, есть ли действующая лицензия и нужно ли расширить перечень работ. Определим применимость, состав видов работ и объём подготовки.