Если планируете заниматься технической защитой информации, необходимо получить лицензию в Федеральной службе по техническому и экспортному контролю. Рассказываем, как это сделать и каким требованиям необходимо соответствовать.
Что нужно запомнить?
- Лицензия ФСТЭК на техническую защиту информации — это документ, который разрешает организации хранить данные или разрабатывать средства защиты для различных сведений. Существует три вида лицензии, которые отличаются по направленности деятельности.
- Если организация собирает и хранит персональные данные клиентов и сотрудников или создаёт ПО, не связанное с хранением данных, получение лицензии ФСТЭК на техническую защиту информации не требуется.
- Чтобы получить лицензию ФСТЭК, нужно соответствовать многочисленным требованиям по персоналу, используемым помещениям и оборудованию. В процессе лицензирования придётся подготовить объёмный пакет документов, состав которого зависит от направления деятельности.
- Порядок лицензирования ФСТЭК установлен постановлением Правительства РФ № 79 от 03.02.2012. Условно делится на четыре этапа: реализация мер на соответствие требованиям; подготовка заявления и пакета документов; проверка полноты пакета документов; проверка документов и лицензирование.
Что такое лицензия ФСТЭК
Защита данных регламентирована Федеральным законом № 152-ФЗ от 27.07.2006. В документе описаны условия обработки информации, требования к защите и прочее, необходимое для безопасности сведений.
Технической стороной вопроса защиты данных занимается Федеральная служба по техническому и экспортному контролю (ФСТЭК). Структура определяет основные нормы и правила к оборудованию и программному обеспечению, которым пользуются организации, работающие с данными. А также проверяет, соблюдают ли предприятия правила.
Если организация хочет работать с данными, необходимо пройти проверку в ФСТЭК и получить соответствующее разрешение:
- Лицензия на техническую защиту конфиденциальной информации. Позволяет хранить персональные данные или разрабатывать решения, обеспечивающие безопасность ПД. Например, для разработки защищённых облачных хранилищ или оказания услуг по разработке безопасной инфраструктуры.
- Лицензия на разработку средств защиты конфиденциальной информации. Необходима для реализации программного обеспечения по защите данных. Понадобится, например, чтобы создать антивирус.
- Лицензия на охрану гостайны. Потребуется для хранения данных, относящихся к гостайне, или для разработки средств защиты.
Организация может получить все вышеперечисленные лицензии, если это необходимо для осуществляемой деятельности.
Кому нужна лицензия ФСТЭК
Если компания собирает персональные данные клиентов или сотрудников, получать лицензию ФСТЭК не нужно. Аналогично для разработки программ и сервисов, которые собирают данные, но не нацелены на их защиту.
Разрешение требуется разработчикам, которые создают продукты для защиты различной информации:
- Разработка ПО и технических средств по защите информации — например, антивирусы, защищённые облачные хранилища и др.
- Оказание услуг по хранению персональных данных, которые собрала сторонняя организация.
- Хранение информации, которая относится к гостайне. Разработка средств защиты для таких данных.
В большинстве случаев получение лицензии не требуется. Но проверять её у контрагентов стоит, если выбираете ПО для защиты информации или подрядчика для её хранения. ФСТЭК рекомендует сотрудничать только с теми организациями, которые прошли должную проверку.
Требования для получения лицензии ФСТЭК
Чтобы получить лицензию ФСТЭК, организации необходимо соответствовать строгим требованиям:
Персонал. Технической защитой информации должны заниматься не менее трёх сотрудников — руководитель и два специалиста по информационно-технологическому сопровождению (ИТС).
У них должно быть высшее образование в области технический защиты и диплом о прохождении профессиональной подготовки на 360 часов и более. Стаж работы руководителя в этой области — не менее пяти лет, ИТС — три года.
Специалисты, ответственные за техническую защиту информации, должны не реже одного раз за пять лет проходить повышение квалификации в области информационной безопасности.
Помещение. У организации должно быть помещение или несколько помещений, которые соответствуют требованиям для осуществления лицензируемой деятельности. Нормы установлены приказом ФАПСИ № 152 от 13.06.2001.
Для получения лицензии требуется собственное или арендованное помещение. В первом случае подтверждается выпиской из ЕГРН, во втором — действующим договором аренды. Также в ходе проверки запросят копии технических паспортов и аттестатов, подтверждающих соответствие помещения требованиям информационной безопасности.
Основные положения:
- Необходимо установить прочные двери с надёжными замками, которые гарантируют защищённость помещений во внерабочее время.
- Окна нужно защитить металлическими решётками и ставнями. Требование распространяется на окна, которые находятся на первых и последних этажах, вблизи пожарных лестниц, потому что через них возможно проникновение в здание.
- Требуется обеспечение помещений охранной сигнализацией. Для этого заключают договоры с охранными предприятиями.
- Необходимо разместить сейф или металлический шкаф для хранения важных документов. Требования к сейфу: кодовый замок или средство опечатывания замочной скважины. Делается только для комплекта ключей: один у сотрудника ИТС, ответственного за сохранность; второй — у руководителя в отдельном сейфе.
В каждом помещении должны быть организованы рабочие места для специалистов, которые занимаются технической защитой информации.
Оборудование. В работе нужно использовать производственное, испытательное и контрольно-измерительное оборудование, качество которого подтверждено сертификатами. Также необходимо пройти калибровку и маркирование каждой единицы.
Если фирма специализируется на конфиденциальной информации, в работе должны использоваться автоматизированные системы и средства защиты, которые прошли аттестацию. И лицензионный софт, установленный на рабочие компьютеры специалистов.
Документы. Для получения лицензии ФСТЭК на техническую защиту информации требуется объёмный пакет документации. Именно он становится одной из главных сложностей для получения разрешения. Точный перечень зависит от направления деятельности, поэтому рассматривается индивидуально в каждом случае.
Общая информация о документации дана в постановлении Правительства РФ от 03.02.2012 № 79 и постановлении Правительства РФ от 03.03.2012 № 171.
Документы для получения лицензии ФСТЭК
Заявка на лицензирование начинается с заполнения заявления о предоставлении лицензии. Форма утверждена приказом ФСТЭК № 3 от 12.01.2023. ИП и организации пользуются разными формами: для первых она утверждена приложением 2, для вторых — приложением 1.
Вместе с заявлением подают стандартный пакет документов:
- Уставные документы.
- Документы на используемые автоматизированные системы, помещения и программное обеспечение (подтверждающие как право собственности, так и арендный характер).
- Подтверждающие владение оборудованием поверочные документы. Нужно подтвердить, что техника и ПО находятся в рабочем состоянии, соответствует заявленным требованиям.
- Трудовые договоры, документы об образовании и повышении квалификации сотрудников, которые в организации занимаются технической защитой информации.
- Сведения о нормативных документах, необходимые для ведения деятельности по технической защите информации.
- Описание процессов, как предприятие обрабатывает и защищает конфиденциальную информацию, для каких ресурсов обеспечивает безопасность.
- Подтверждение производственного контроля, осуществляемого при разработке, производстве средств защиты конфиденциальной информации.
- И другие.
Как уже говорилось ранее, фактический пакет документов получается объёмным и зависит от направления лицензируемой деятельности. Поэтому большинство предприятий для получения лицензии ФСТЭК обращается в специализированные организации, которые помогают в получении разрешения.
Порядок получения лицензии ФСТЭК
Получение лицензии ФСТЭК на техническую защиту информации — затратный и длительный процесс. Условно его можно разделить на следующие этапы:
-
Реализация мер, необходимых для соответствия требованиям. На первой стадии предприятие подбирает необходимый персонал, готовит помещения и оборудование по стандартам информационной безопасности.
-
Подготовка заявления и пакета документов. Всё, о чем говорили ранее. Нужно определить полный пакет документов и последовательно собрать всё необходимое. Затем подать в Федеральную службу по техническому и экспортному контролю.
-
Проверка полноты пакета документов. Специалисты ФСТЭК в течение одного дня получают заявку от предприятия. За три дня они проверят, всю ли информацию, необходимую для лицензирования, предоставила организация. Если нет, предприятию направят уведомление, чего не хватает или что не соответствует требованиям. Даётся 30 дней, чтобы исправить недостатки.
-
Проверка и лицензирование. После подачи недостающих документов и внесения исправлений ФСТЭК приступает к проверке, которая занимает 40 рабочих дней. Если нет ошибок, ведомство выдаст лицензию. Если что-то не устроит, направят мотивированный отказ с описанием недостатков.
Процедуру получения лицензии рекомендуется проводить заранее, потому что она может занять 2-3 месяца. Если приступите непосредственно перед началом основной деятельности, то высока вероятность нарушить правила.
Чем лицензия отличается от аттестата и сертификата ФСТЭК
Лицензия ФСТЭК — это разрешение на осуществление деятельности по защите информации. Оно оформляется на организацию в целом, не делится на направления или отдельные продукты.
Федеральная служба по техническому и экспортному контролю занимается выдачей аттестатов и сертификатов, которые иногда путают с лицензией. Но это разные документы.
Аттестат подтверждает, что компания соблюдает правила по защите данных, требующих особых мер. А сертификат оформляется на отдельные программы и сервисы, связанные с технической защитой. Например, если фирма разрабатывает антивирус, впоследствии получает на него отдельный сертификат.
Чаще всего эти документы оформляются в совокупности, чтобы подтвердить ответственность предприятия в вопросе защиты информации. Сначала получают лицензию, затем аттестаты и сертификаты на отдельные направления и продукты.
Сложности при получении лицензии ФСТЭК
Процесс лицензирования ФСТЭК регламентирован, поэтому на самих этапах редко возникают сложности. Основная головная боль предприятий — подготовительный этап, когда необходимо подобрать персонал, помещения и оборудование.
К этим составляющим предъявляется множество требований, поэтому процесс растягивается на недели и месяцы. Например, сейчас в условиях кадрового дефицита сложно найти нужных специалистов. Приходится предлагать повышенные зарплаты, которые сказываются на затратной части бизнеса.
После окончания процедуры и получения лицензии сложности не заканчиваются, потому что нужно:
- Следить за изменениями законодательства, обновлять нормативные документы и вносить изменения во внутренние процессы для соблюдения требований.
- Регулярно обновлять оборудование и программное обеспечение, задействованное в технической защите информации.
- Вовремя проводить переаттестацию помещений, автоматизированных систем, а также ежегодный контроль.
Иными словами, все это становится отдельным бизнес-процессом. Если халатно относиться к обязанностям, можно лишиться лицензии ФСТЭК.
Стоимость и сроки получения лицензии ФСТЭК
За получение лицензии ФСТЭК необходимо заплатить госпошлину — 7500 руб. За каждое последующее продление придется уплачивать по 3500 руб. Это минимальные расходы, которые несёт каждая организация.
Основные затраты связаны с подбором персонала, сбором документов и приобретением оборудования. Здесь значения разнятся и зависят от направления деятельности, выбранного подрядчика и других факторов.
В зависимости от направления деятельности сбор полного пакета документов обойдётся в 200 000 руб. и более, если делегировать задачу профильной организации. Она же может взять на себя обязанность по подбору персонала, соответствующего требованиям. На этой уйдёт от 100 000 руб.
Самая большая статья расходов — контрольно-измерительное оборудование. В зависимости от поставщика оно обойдётся в 1,4 млн руб. и более. С этой задачей также поможет специализированная организация, у которой наработан собственный портфель проверенных поставщиков.
Сама процедура займёт до 2-3 месяцев в зависимости от наличия ошибок в документах.
