Куда я попал?
Цель: обеспечение выполнения мероприятий по защите информации организациями, имеющими необходимые разрешения, компетенции, персонал и технические ресурсы, с подтверждением качества и результатов выполненных работ.
Привлечение лицензиатов ФСТЭК и ФСБ позволяет закрыть мероприятия, которые организация не может выполнить собственными силами из-за отсутствия лицензии, необходимого оборудования и компетенций, и тем самым выполнить требования приказа ФСТЭК России от 11.04.2025 № 117 и приказа ФСТЭК России от 29.04.2021 № 77.
Порядок выполнения
Привлечение лицензиатов ФСТЭК и ФСБ позволяет закрыть мероприятия, которые организация не может выполнить собственными силами из-за отсутствия лицензии, необходимого оборудования и компетенций, и тем самым выполнить требования приказа ФСТЭК России от 11.04.2025 № 117 и приказа ФСТЭК России от 29.04.2021 № 77.
Порядок выполнения
- Определить работы и применимый режим защиты. Установить объекты, категории информации, ожидаемые результаты и границы ответственности подрядчика. Разделить техническую защиту, криптографию, разработку средств защиты и работы с государственной тайной.
- Установить требования к исполнителю. Для каждой работы определить необходимую лицензию и разрешённый вид деятельности. Для аттестации проверить право проведения аттестационных испытаний и аттестации; для СКЗИ — соответствующие позиции перечня по постановлению № 313.
- Проверить подрядчика. Подтвердить действующий статус лицензий и соответствие их состава техническому заданию. Оценить квалификацию специалистов, опыт, оборудование и возможность обеспечить требуемый результат. Для лицензий ФСТЭК ориентироваться на сведения реестра, а не только на предоставленный скан.
- Оформить договор и техническое задание. Зафиксировать объекты и перечень работ, сроки, результаты, критерии приёмки, порядок доступа, конфиденциальность, привлечение субподрядчиков, уведомление об инцидентах и ответственность сторон.
- Организовать выполнение. Согласовать доступы и окна работ, назначить контактных лиц, контролировать изменения и промежуточные результаты.
- Принять результаты. Проверить комплектность документов и фактическое выполнение требований задания. Зарегистрировать недостатки и проконтролировать их устранение.
- Завершить или продолжить сопровождение. Закрыть ненужные доступы, получить согласованные подтверждения возврата или удаления переданной информации; для постоянных услуг организовать регулярную отчётность и контроль качества.
Перечень ниже охватывает основные лицензионные направления и сопутствующие договорные задачи. Не все они доступны каждому лицензиату: состав работ определяется его разрешениями.
По лицензии ФСТЭК на техническую защиту конфиденциальной информации (Постановление Правительства РФ от 03.02.2012 №79):
- Контроль защищённости от утечки по техническим каналам: обследование средств и систем информатизации, вспомогательных технических средств, помещений с защищаемым оборудованием и помещений для конфиденциальных переговоров.
- Контроль защищённости от несанкционированного доступа и модификации информации: проверка защищённости средств и систем информатизации, подготовка результатов контроля и рекомендаций.
- Мониторинг информационной безопасности: наблюдение за состоянием защищённости и событиями безопасности в согласованном контуре, включая услуги внешнего центра мониторинга.
- Аттестационные испытания и аттестация: средства и системы информатизации, помещения с защищаемым оборудованием и защищаемые помещения.
- Проектирование в защищённом исполнении: системы, средства информатизации и соответствующие помещения.
- Установка, монтаж, наладка, испытания и ремонт средств защиты информации: выполнение предусмотренных лицензией работ по внедрению и поддержанию СЗИ.
По лицензии на разработку и производство средств защиты конфиденциальной информации (Постановление Правительства РФ №171):
- Разработка средств защиты конфиденциальной информации.
- Производство таких средств.
Эти работы не следует автоматически относить к лицензии на техническую защиту. По постановлению № 171 лицензирующим органом выступает ФСТЭК или ФСБ в зависимости от объектов деятельности.
По лицензии ФСБ на криптографическую деятельность (Постановление Правительства РФ № 313):
- Разработка шифровальных средств, защищённых с их использованием информационных и телекоммуникационных систем, средств изготовления ключевых документов.
- Модернизация шифровальных средств и средств изготовления ключевых документов.
- Производство и тиражирование криптографических средств; производство защищённых информационных и телекоммуникационных систем и средств изготовления ключевых документов.
- Изготовление с использованием криптографических средств изделий для подтверждения прав доступа к информации или оборудованию.
- Монтаж, установка и наладка криптографических средств и соответствующих защищённых систем.
- Ремонт, техническое и сервисное обслуживание — в пределах разрешённых позиций.
- Передача криптографических средств и иных объектов, предусмотренных перечнем.
- Оказание услуг по шифрованию, имитозащите и предоставлению защищённых каналов связи.
- Изготовление и распределение ключевых документов.
Для договора эти направления необходимо развернуть в конкретные позиции приложения к постановлению № 313 и сопоставить с лицензией исполнителя.
Сопутствующие задачи, которые можно включить в договор:
- обследование инфраструктуры и сбор исходных данных;
- подготовка модели угроз, технического задания и проектной документации;
- подбор средств защиты и подготовка плана внедрения;
- разработка организационно-распорядительных документов и эксплуатационных инструкций;
- обучение работников использованию внедрённых средств;
- подготовка к аттестации и устранение выявленных несоответствий;
- сопровождение эксплуатации, подготовка отчётности и актуализация документации;
- помощь при расследовании инцидентов и восстановлении защищённости.
На что обратить внимание:
- Действительность лицензии
- Наличие требуемого контрольно-измерительного оборудования
- Обязательное участие собственных специалистов по защите информации в приемке результатов
- Закрепление в договоре обязанностей подрядчика по соблюдению политики защиты информации оператора
- Сохранение за оператором общей ответственности за организацию защиты информации и контроль качества выполненных работ
Рекомендации к заполнению карточки:
- Приложите скан договора /акта выполненных работ/ аттестата или выписку в Реестр документов по защите информации SECURITM. Укажите лицензиата и конкретные мероприятия как инструмент меры.
- Настройте контроль актуальности лицензии подрядчика (ежегодная задача или RPA)
Область действия: Вся организация
Классификация
Тип
Организационная
?
Реализация
Вручную
Периодичность
По событию
Ответственный
Не определено
Инструменты
Не определено
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.