18 сентября 2006
Комментарии к новому Положению "О лицензировании деятельности по технической защите конфиденциальной информации"
15 августа 2006г. Постановлением Правительства РФ №504 было утверждено Положение «О лицензировании деятельности по технической защите конфиденциальной информации».
В результате, признаются утратившими силу постановление правительства РФ от 30 апреля 2002 г N290 «О лицензировании деятельности по технической защите конфиденциальной информации», постановление правительства РФ от 6 февраля 2003 г N64 «О внесении изменения в Положение о лицензировании деятельности по технической защите конфиденциальной информации», пункт 2 изменений, которые вносятся в акты правительства РФ по вопросам лицензирования отдельных видов деятельности, утвержденных постановлением правительства РФ от 17 декабря 2004 г N807.
Изменения в положении о лицензировании от 15 августа 2006г.
Согласно новому документу для того, чтобы получить лицензию на деятельность по технической защите информации, организация должна соответствовать 18 пунктам документа. В то время как в старой версии положения от 2002 года их было всего 11.
Введенные новые требования обязывают компании, занимающиеся защитой информации, иметь в штате специалистов с высшим профессиональным образованием в области технической защиты информации, либо имеющих высшее или среднее профессиональное образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации.
Также от соискателя лицензии требуется наличие испытательного и контрольно-измерительного оборудования, прошедшего метрологическую поверку, маркирование и сертификацию, а также наличие договора с правообладателем, разрешающего использовать в работе определенные программы и базы данных.
Серьезных изменений в порядке лицензирования этой деятельности не произошло. Ранее лицензирующему органу предоставлялась пояснительная записка, в которой указывались необходимые дополнительные сведения, то сейчас такая информация выделена в отдельные пункты постановления.
Ужесточились и требования к регулятору. Например, в новом положении подчеркнуто, что указанный список документов, предъявляемых лицензиатом, является исчерпывающим и никаких других документов лицензирующий орган требовать не имеет права. Также срок рассмотрения заявления уменьшился с 60 до 45 дней.
Лицензирующим органом так и осталась Федеральная служба по техническому и экспортному контролю. Неизменным остается и срок действия лицензии, который составляет пять лет.
При этом лицензии на осуществление деятельности по технической защите конфиденциальной информации, предоставленные в установленном порядке до принятия настоящего постановления, действительны до окончания указанного в них срока.
Кто же должен получать данные лицензии?
Согласно ст.17 ФЗ «О лицензировании отдельных видов деятельности» в перечень видов деятельности, на осуществление которых требуются лицензии входит и деятельность по технической защите конфиденциальной информации. В Положении «О лицензировании деятельности по технической защите конфиденциальной информации» понимается комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней. Отсюда следует, что все организации (в том числе и МУПы, ЖЭКи, больницы, поликлиники и другие учреждения), которые осуществляют мероприятия по технической защите конфиденциальной информации, должны получать лицензии. Однако в настоящий момент данный механизм не работает и подобные организации лицензии не получают, так как это сопряжено со многими трудностями, такими как, отсутствие законодательных документов определяющих, как защищать конфиденциальную информацию, необходимость применения в своих АС сертифицированных средств защиты информации, наличие квалифицированных сотрудников в области защиты информации и др.
Возможно ситуация измениться со вступлением в силу ФЗ «О персональных данных», в котором излагается каким образом необходимо защищать персональные данные.
Однако мало вероятно, что такие организации, как поликлиники, будут получать лицензии на данный вид деятельности. Возможно, решением проблемы в данном случае станет заключение договоров с организациями, имеющими лицензию на данный род деятельности, которая и будет проводить комплекс мер по технической защите информации. Но при этом необходимо четко прописывать ответственность организаций, оказывающих услуги, так как в ФЗ «Об информации, информационных технологиях и защите информации» есть ст. 16 п.3, которая говорит о том, что в случае, если распространение определенной информации ограничивается или запрещается федеральными законами, гражданско-правовую ответственность за распространение такой информации не несет лицо, оказывающее услуги:
- либо по передаче информации, предоставленной другим лицом, при условии ее передачи без изменений и исправлений;
- либо по хранению информации и обеспечению доступа к ней при условии, что это лицо не могло знать о незаконности распространения информации.
Вывод: новое положение «О лицензировании деятельности по технической защите конфиденциальной информации» только лишь ужесточает требования к получению права на оказание услуг и/или выполнение комплекса мероприятий по технической защите информации, а также усиливает требования к организациям, регулирующим лицензирование.
Материал подготовлен Мариной Тен, аналитиком группы аудита и нормативного обеспечения компании "Информзащита".
