Закон о лицензировании - нужна помощь

[Алексей Лукацкий]

Коллеги!

Все вы слышали об законопроекте по внесению изменений в закон о лицензировании. В т.ч. планируется изменить и часть, связанную с криптографией и ТЗКИ. Соответственно нужна ваша помощь в формулировках, которые на ваш взгляд позволят не получать лицензии для собственных нужд.

Пара подсказок - сегодня нет терминологического определения "собственных нужд" и защита ПДн клиентов (да и работников тоже) - это явно не собственные нужды, а защита информации, принадлежащей чужому лицу.

Пишите тут и постарайтесь не флеймить, а писать по делу ;-)

[SMak FS]

"Собственные нужды" хотелось бы приравнять как осуществление (выполнение) не деятельности, а, скажем работ, по ТЗКИ внутри или для нужд компании, предприятия, объединения... С защитой ПДн клиентов тож волокита, головная компания имеет несколько дочерних (с образованием юр. лиц), база ПДн общая, естественно получается ведем обработку ПДн сторонних субъектов. Но по сути они не такие и сторонние. Алексей, жаль не смогу завтра послушать вас в нашем городе.

[Toparenko]

Статья 9. Перечень видов деятельности, на осуществление которых требуются лицензии

1. В соответствии с настоящим Федеральным законом лицензированию подлежат следующие виды деятельности:
1) разработка, производство, реализация и оказание услуг по техническому обслуживанию шифровальных (криптографических) средств, информационных и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, а также оказание услуг в области шифрования информации;
3) оказание услуг по выявлению электронных устройств, предназначенных для негласного получения информации;
5) оказание услуг по технической защите информации ограниченного распространения не составляющей государственную тайну;

[Идущий]

Под собственными нуждами организации в области технической защиты информации следует считать действия сотрудников организации, выполняемые на ее треритории (контролируемая зона), по защите информации, находящейся в ведении организации (электронный вид - в ИС организации, бумага - в сейфы организации), обязанность по защите которой возложена законами (например БТ, КТ, ПДн и т.д., но не ГТ).
Криптосредства пусть остаются у ФСБ - так правильнее.

[Идущий]

Еще маленькое дополнение: защищать надо не только КИ, а всю имеющуюся информацию.

[ost]

Статья 9. Перечень видов деятельности, на осуществление которых требуются лицензии

1. В соответствии с настоящим Федеральным законом лицензированию подлежат следующие виды деятельности:

5) оказание услуг по технической защите информации ограниченного распространения не составляющей государственную тайну;

Да, мне кажется, что исключение слов в скобочках (осуществлению работ) исключит двоякое толкование п.5 ч.1 ст.9

т.е. должно остаться: 5) деятельность по предоставлению услуг по технической защите информации, доступ к кторой ограничен в соответствии с федеральным законом (за исключением сведений, составляющих государственную тайну);

[malotavr]

Да, мне кажется, что исключение слов в скобочках (осуществлению работ) исключит двоякое толкование п.5 ч.1 ст.9

т.е. должно остаться: 5) деятельность по предоставлению услуг по технической защите информации, доступ к кторой ограничен в соответствии с федеральным законом (за исключением сведений, составляющих государственную тайну);

Это само собой. Мне вообще очень интересно посмотреть в глаза тому альтернативно одаренному человеку, который догадался применить термин "выполнение работ" применительно к защите информации.

По законодательству понятие "работа" существует только в части НИР и договора подрада, (главы 38 и 39 ГК РФ), а они связаны с созданием предметов или объектов интеллектуальных прав.

А по заданному вопросу - может, проще привести положение в соответствие с духом ФЗ? "Выполнение работ или оказание услуг на возмездной основе"?

[ost]

может, проще привести положение в соответствие с духом ФЗ? "Выполнение работ или оказание услуг на возмездной основе"?

Чтобы всех сотрудников ИБ обязали получать лицензию? Зарплату-то они получают...

тут уж лучше расписать:
разработка, производство, реализация технических средств защиты информации и оказание услуг по технической защите информации, ....

По крайней мере, эксплуатация не попадёт под лицензирование.

[Алексей Лукацкий]

Хорошо ;-) Спасибо. Правда в ваших формулировках есть нюанс - дочерним предприятиям или филиалам вы будете оказывать именно услуги. Готовы лицензироваться?

У меня была другая идея. Исходя из действующего вектора изменения ФЗ-152 в части дифференциации требований по защите и лицензирование повернуть туда же. Т.е. защита государевых информационных ресурсов и критически важных объектов - обязательное лицензирование. Все остальное - сугубо добровольное мероприятие.

[Toparenko]

Хорошо ;-) Спасибо. Правда в ваших формулировках есть нюанс - дочерним предприятиям или филиалам вы будете оказывать именно услуги. Готовы лицензироваться?

Я вообще-то исходил из озвученного ЕК, что филиалам-самостоятельным юрикам и дочкам придется все-таки оказывать услуги со всеми вытекающими

Хотя, как вариант дополнить, что оказание услуги исключительно в рамках аффилированных лиц не подлежит лицензированию.
С одной стороны это позволит вывести часть негласно аффилированных юриков из тени, но особых надежд на масштабность этого я бы не испытывал

[Stnslav]

Хорошо ;-) Спасибо. Правда в ваших формулировках есть нюанс - дочерним предприятиям или филиалам вы будете оказывать именно услуги. Готовы лицензироваться?

У меня была другая идея. Исходя из действующего вектора изменения ФЗ-152 в части дифференциации требований по защите и лицензирование повернуть туда же. Т.е. защита государевых информационных ресурсов и критически важных объектов - обязательное лицензирование. Все остальное - сугубо добровольное мероприятие.

Действительно, насчет обслуживания "дочек" надо обязательно учесть. Накладно, да иногда и смысла нет, держать в каждой по безопаснику, вот и приходится изворачиваться. К примеру, оформляться в каждой "дочке" по совместительству.
Да и вообще, давно законодателям что то насчет холдинговых структур принять.
Часто бывает все 100% дочки, сидят вместе (и в одном офисе и в одной сети), а вроде как и чужие. Придет дядя-поверяющий и будет спрашивать, а на каком основании вы дочку в сеть пустили. Опять же, приходится политики и регламенты для каждой дочки делать и т.п.

[ost]

Правда в ваших формулировках есть нюанс - дочерним предприятиям или филиалам вы будете оказывать именно услуги. Готовы лицензироваться?

У нас филиалов нет, я даже не думал в этом направлении.

С другой стороны, можно формально поставить дело так, что все дочки обслуживают себя самостоятельно, либо сидят на аутсорсе. А если уж в организации всё по серьёзному, и выделена спец. оргструктура, которая "оказывает дочкам услуги", то получение ещё одной лицензии для них не должно быть большой проблемой...

[Алексей Лукацкий]

ОК. Всем спасибо. Идеи понятны и восприняты ;-)

[pushkinist]

все уже, поздно?

[Алексей Лукацкий]

Нет, конечно ;-) Здравые идеи никогда не поздно подавать

[security_user]

У меня была другая идея. Исходя из действующего вектора изменения ФЗ-152 в части дифференциации требований по защите и лицензирование повернуть туда же. Т.е. защита государевых информационных ресурсов и критически важных объектов - обязательное лицензирование. Все остальное - сугубо добровольное мероприятие.

Предлагаю формулировку "оказание услуги исключительно в рамках аффилированных лиц не подлежит лицензированию" распространить и на "защиту государевых информационных ресурсов и критически важных объектов"

Ибо все эти ФГУПы, гос. учреждения часто имеют филиальную структуру, и филиалы оформлены как юр. лица.
В связи с этим филиалам надо будет работать под лицензией головного офиса....

[PaulX]

Предлагаю следующую формулировку "Отменить лицензирование деятельности в области криптографии и ТЗКИ",

как это недавно сделали на Украине и как это есть по факту во всем цивилизованном мире.
http://www.iso27000.ru/novosti-i-sob...ity-informacii

[Алексей Лукацкий]

Мы не Украина - у нас это не пройдет. Слишком кардинальное изменение. Тем более, что и на Украине все не совсем так, как пишут в СМИ.

[PaulX]

Мы не Украина - у нас это не пройдет. Слишком кардинальное изменение. Тем более, что и на Украине все не совсем так, как пишут в СМИ.

Изменение кардинальное, зато к лучшему.

[Алексей Лукацкий]

Не подписан закон в Украине

[PaulX]

Кем не подписан? Чиновниками, отвечающими за лицензирование?
Законопроект был внесен Президентом и принят Верховной Радой.

[Алексей Лукацкий]

Президентом Украины он не подписан

[PaulX]

пока не подписан или он передумал?

[Алексей Лукацкий]

Я не Президент и даже не его советник ;-)

ЗЫ. Просто в данном законопроекте (если его прочитать) отменяется далеко не все.

[PaulX]

А я уж было подумал ....
Вы как-то немного загадочно выразились, как будто обладаете какой-то приватной информацией....

[Алексей Лукацкий]

Ну как человек, в сферу ответственности которого входить и Украина, я держу руку на пульсе. А как человек общавшийся с СБУ, ДСТСЗИ и теперь с ГСССЗИ немного знаю, что они делают в рамках своей компетенции ;-)

[PaulX]

Однако, как выясняется, к Президенту вы пока не вхожи.
Поэтому вопрос о том, стоит ли нам равняться на Украину, остается открытым.

[Алексей Лукацкий]

Боюсь, что так вопрос даже не стоит и не будет стоять ;-( Россия НИКОГДА не будет равняться на Украину. Великодержавный шовинизм, однако ж ;-(

[PaulX]

Речь то по большому счету не об Украине, Израиле, Новой Гвинеи, США и т.п.
России надо равняться на передовой опыт, на то как в ряде стран с успехом развиваются не только технологии ИБ, но и демократические институты и социальная сфера и наука и т.п.

Развитие институтов лицензирования и сертификации в области защиты информации в России, никак не связанное с передовым опытом, только тормозит прогресс и повышает коррупционное давление на бизнес. В результате 80-90% рынка ИБ в России - это не защита информации и интересов страны и граждан в информационной сфере, а перекладывание денег из одних карманов в другие.

[Алексей Лукацкий]

Ну вообще-то в США идея, похожая на нашу сертификацию для госорганов и ВПК тоже присутствует.