06 марта 2013
Организация криптографической защиты информации
Часть 6
Лицензирование деятельности
Как известно, под защитой информации понимается «…
деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию»
1. А если эта деятельность базируется на использовании криптографических методов защиты, то она подлежит лицензированию
2. Какие виды деятельности подлежат лицензированию в рассматриваемой нами предметной области показано на рисунке.
Рис. Лицензируемые виды деятельности
Здесь имеет смысл обратить внимание, что законодатель не требует лицензирования только того вида деятельности, который связан с техническим обслуживанием собственных криптосредств и информационных (телекоммуникационных) систем, защищенных с использованием последних. Данный пункт вызывает периодические споры, разногласия, недопонимание.
В число подлежащих лицензированию работ и услуг входит монтаж и инсталляция криптосредств, их ремонт, сервисное обслуживание средств изготовления ключевых документов, предоставление услуг по имитозащите информации и пр. Полный перечень приводится в приложении к «Положению о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание … осуществляется для осуществления собственных нужд…)3.
С точки зрения ГОСТ техническое обслуживание состоит в выполнении операций, направленных на поддержание работоспособности (исправности) изделия при его использовании, хранении и транспортированию 4. А как поддерживать работоспособность этого изделия? - Это описано в соответствующей документации на продукт (в нашем случае – на СКЗИ). И именно это полностью сочетается с указанным Перечнем выполняемых работ, составляющих лицензируемую деятельность, а именно: «Работы по обслуживанию шифровальных (криптографических) средств, предусмотренные технической и эксплуатационной документацией на эти средства (за исключением случая, если указанные работы проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)»5.
И здесь, как бы всё понятно с правовой точки зрения. Но с другой стороны на лицо казус: например, для того, чтобы в рамках «своей» организации обслуживать СКЗИ в соответствии с его технической документацией никакой лицензии ФСБ не нужно, но для того, чтобы его установить, в соответствии с той же документацией – лицензия нужна!6 Другой пункт того же перечня выполняемых работ, составляющих лицензируемую деятельность: «Изготовление и распределение ключевых документов и (или) исходной ключевой информации для выработки ключевых документов с использованием аппаратных, программных и программно-аппаратных средств, систем и комплексов изготовления и распределения ключевых документов для шифровальных (криптографических) средств»7. И здесь уже нет ни слова о каких либо исключениях ни юридическому лицу, ни индивидуальному предпринимателю! Весьма «удобно» особенно в свете последних тенденций по внедрению «электронных услуг» и прочих новшеств, направленных (как, по крайней мере, задумано) на повышение качества обслуживания, удобства при взаимоотношениях с различными государственными структурами и прочими организациями. С другой стороны - посмотрим п.12 Инструкции, утвержденной Приказом ФАПСИ от 13.06.2001 № 152: «…Ключевые документы для СКЗИ … изготавливаются ФАПСИ на договорной основе или лицами, имеющими лицензию ФАПСИ на деятельность по изготовлению ключевых документов для СКЗИ». Собственно полное соответствие! Аналогично и для передачи криптосредств, средств изготовления ключевых документов, распределения ключевых документов (п.п.21, 24, 28 приложения к рассматриваемому Положению о лицензировании) видим исходный посыл из п. 44 Положения ПКЗ-2005, а именно: «…Реализация (распространение) СКЗИ … осуществляется юридическим лицом или индивидуальным предпринимателем, имеющим право на осуществление данного вида деятельности…».
Можно сколь угодно долго рассуждать о целесообразности лицензирования или отсутствия таковой при выполнении данных требований в части эксплуатации криптосредств для собственных нужд, но полагаю не только у автора данного материала, но и его у читателей найдутся примеры, когда даже владелец СКЗИ допускал грубейшие нарушения при их эксплуатации. Это и хранение ключевых документов в сейфах общего доступа в открытых пеналах, и формирование ключевых документов ответственных исполнителей работниками ИТ-подразделений, обслуживающими по регламенту только средства вычислительной техники и прикладное ПО, и неоднократные передачи ключевых документов посторонним лицам и пр. Поэтому, если процедура прохождения лицензирования деятельности заставит хотя бы одного субъекта задуматься: на сколько его действия безопасны для него самого, его коллег и бизнеса в целом – можно считать, что основная цель процесса лицензирования достигнута. Действительно, законодатель четко определил, что «…Лицензирование отдельных видов деятельности осуществляется в целях предотвращения ущерба …. возможность нанесения которого связана с осуществлением юридическими лицами и индивидуальными предпринимателями отдельных видов деятельности»8.
Однако помимо лицензирования деятельности по линии криптографической защиты информации, курируемой ФСБ России, есть еще один нюанс.
В рамках Инструкции, утвержденной Приказом ФАПСИ от 13.06.2001 № 152, говорится о применении СКЗИ для защиты конфиденциальной информации. А кроме этого, указывается на необходимость комплексного подхода к защите такой информации, включающего применение некриптографических средств защиты9. Обеспечение же безопасности информации некриптографическими методами относится к компетенции ФСТЭК России10.
Более того, к лицензируемым видам деятельности (по линии ФСТЭК России) относится «…деятельность по технической защите информации»11, которая включает в себя, например, «… установку … средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, … программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации …»12. Там же прочитаем разъяснение, что под «…технической защитой конфиденциальной информации понимается выполнение работ и (или) оказание услуг по ее защите от несанкционированного доступа, … а также от специальных воздействий на такую информацию в целях ее … искажения …»13. Заметим, что обеспечить решение задач по выделенным пунктам возможно криптографическими методами.
Также обратим внимание на то, что к лицензиату ФСБ России предъявляется требование наличия у него «… условий для соблюдения конфиденциальности информации … в соответствии с требованиями о соблюдении конфиденциальности информации, установленными Федеральным законом "Об информации, информационных технологиях и о защите информации"…»14.
Помимо этого, в адрес лицензирующего органа в лице ФСБ России, соискатель лицензии среди прочих документов должен отправить15:
«…копии внутренних распорядительных документов, подтверждающих наличие условий для соблюдения конфиденциальности информации, необходимых для выполнения работ и оказания услуг, определенных настоящим Положением, в соответствии с требованиями о соблюдении конфиденциальности информации, установленными Федеральным законом "Об информации, информационных технологиях и о защите информации"…
…сведения о документе, подтверждающем наличие условий для соблюдения конфиденциальности информации, необходимых для выполнения работ и оказания услуг, определенных настоящим Положением, в соответствии с требованиями о соблюдении конфиденциальности информации, установленными Федеральным законом "Об информации, информационных технологиях и о защите информации"…».
В первом случае речь идет о документах, созданных в рамках организации, например, таких как перечень информации ограниченного распространения, модель угроз, перечень лиц, допущенных к конфиденциальной информации, руководство по защите информации, инструкции и пр.
Во втором случае, скорее всего, подразумевается Аттестат соответствия. Поскольку, именно в рамках аттестационных испытаний проводится комплексная проверка защищаемого объекта в реальных условиях эксплуатации с целью оценки соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности информации16. Аттестат соответствия как раз и дает право обработки информации с установленным уровнем конфиденциальности в течении заданного времени. Однако, в соответствии с п. 1.5 Положения по аттестации «…Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров» и всё! В остальных случаях вопрос об аттестации носит исключительно добровольный характер!
Таким образом, видно, что подходить к вопросу лицензирования деятельности следует достаточно аккуратно, чтобы обеспечить выполнение требований регуляторов в рассматриваемой предметной области.
Продолжение следует
1 ГОСТ Р 50922-2006. Защита информации. Основные термины и определения. П. 2.1.1.
2 Федеральный закон «О лицензировании отдельных видов деятельности» от 04.05.2011 № 99-ФЗ, ст.12, п. 1, п/п 1.
3 Постановление Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения…».
4 ГОСТ 18322-78. Система технического обслуживания и ремонта техники. Термины и определения.
5 Приложение к Постановлению Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения…», п.20.
6 Приложение к Постановлению Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения…», п.п. 12, 13, 14.
7 Приложение к Постановлению Правительства РФ от 16.04.2012 № 313 «Об утверждении Положения…», п.28.
8 Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности», ст. 2, п. 1.
9 Инструкция, утвержденная Приказом ФАПСИ при Президенте РФ от 13.06.2001 № 152, Раздел II, п. 5.
10 Положение о федеральной службе по техническому и экспортному контролю, утвержденное Указом Президента РФ от 16.08.2004 № 1085, п. 1, п.п. 1, 3.
11 Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности», ст. 21, п. 1., п/п 5.
12 Положение о лицензировании деятельности по технической защите конфиденциальной информации, утвержденное Постановление Правительства РФ от 03.02.2012 № 79, п. 4, п/п «е».
13 Положение о лицензировании деятельности по технической защите конфиденциальной информации, утвержденное Постановление Правительства РФ от 03.02.2012 № 79, п. 2.
14 Положение, утвержденное Постановление Правительства РФ от 16.04.2012 № 313, п. 6, п.п. «в».
15 Положение, утвержденное Постановление Правительства РФ от 16.04.2012 № 313, п. 7, п.п. «б», «и».
16 Положение по аттестации объектов информатизации по требованиям безопасности информации, утвержденное председателем Государственной технической комиссии при Перзиденте Российской Федерации 25.11.1994 г.
