×
Мы перезвоним Вам
×
Напишите нам
Популярные услуги
×

Лицензии ФСТЭК – получить и сэкономить?

Любая организация стремится оптимизировать свои расходы. Данный тезис актуален для любой статьи затрат, будь то закупка канцелярии, обслуживание технического парка или аренда площадей. Лицензирование деятельности ЮЛ – одна из ключевых статей затрат организации. В свою очередь, лицензии ФСТЭК – ключевые лицензии при работе в IT-сфере.

Давайте разбираться, можно ли сэкономить в процессе лицензирования деятельности организации? Или экономия сведется лишь к большим потенциальным проблемам?

Лицензии ФСТЭК - получить и сэкономить?

Теория и Практика получения лицензии ФСТЭК.

Начнем с теории, в качестве рассматриваемой будет лицензия ФСТЭК на техническую защиту конфиденциальной информации (ФСТЭК ТЗКИ). Получение данной лицензии регламентируется ПП № 79 от 03.02.2012 г. Сразу оговоримся, все написанное ниже, на 99% актуально и для другой лицензии ФСТЭК  – СЗКИ (ПП № 171 от 03.03.2012 г.).

Далее списком рассмотрим, что необходимо, что бы получить лицензию ФСТЭК ТЗКИ:

  • Кадровое обеспечение – 3 сотрудника со специализированным образованием и опытом работ по направлению информационная безопасность (защита информации);
  • Помещение (в собственности или аренде), которое будет аттестовано как Защищаемое помещение (ЗП);
  • Комплект контрольно-измерительного и испытательного оборудования (КИО);
  • Средства контроля эффективности защиты информации;
  • Аттестованная автоматизированная система (АС);
  • Техническая документация и национальные стандарты (литература ДСП);

Данный перечень, в принципе, исчерпывающий. Всё, кроме аттестации АС и ЗП, Соискатель может сделать своими силами. Для аттестации АС и ЗП в любом случае потребуется привлечение лицензиата ФСТЭК России.

Казалось бы, ни чего сложного:

  • Нашел троих сотрудников;
  • Выбрал помещение, аттестовал его;
  • Поставил в помещение компьютер, аттестовал его;
  • Купил необходимое КИО и необходимое ПО;
  • Заказал литературу ДСП.

И можно подавать документы в отдел лицензирования регулятора.

С чем же соискатель лицензии ФСТЭК столкнется на практике?

Сотрудники для лицензии ФСТЭК.

Найти подходящих сотрудников – одна из самых непростых задач. Стаж в области лицензируемых видов деятельности от 3х лет, как правило, должен подтверждаться трудовой книжкой. В трудовой книжке должна быть запись, что сотрудник на предыдущем месте работы работал в сфере информационной безопасности (защиты информации) у лицензиата ФСТЭК. Образование должно быть профильное высшее по направлению «Информационная безопасность». Допускается непрофильное высшее и профессиональная переподготовка по согласованным ФСТЭК России курсам. В итоге, подобрать подходящего сотрудника на рынке труда – довольно затруднительно и дорого. И нет ни каких гарантий, что регулятор не найдет ни каких изъянов в предоставленных на проверку кадрах.

Место осуществления лицензируемых ФСТЭК видов деятельности (Защищаемое помещение).

Выбор помещения, дело, казалось бы, не хитрое, но есть множество подводных камней. Основные трудности возникают если помещение в аренде (или что еще сложнее в суб(суб)аренде). Если кратко, то нужно выбирать помещение по двум ключевым факторам: а) Полная юридическая прозрачность правообладания, со всеми необходимыми бумагами и корректными сроками; б) помещение нужно выбирать такое, чтобы его аттестация не оказалась непосильной финансовой ношей для организации.

Основной проблемой в юридической плоскости является именно корректное подтверждение правообладания помещением на бумаге.

Теоретически, привести в соответствие и аттестовать можно любое помещение, тут лишь вопрос стоимости.

На практике, нам довольно часто приходится сталкиваться с негативной ситуацией для соискателя. Под лицензию выбирают неподходящие по характеристикам помещения (большая площадь, не капитальные ограждающие конструкции, большое количество окон и транзитных коммуникаций и т.д.). Как результат – стоимость аттестации такого помещения оказывается дороже, чем вся остальная подготовка к получению лицензии в общем. И не стоит забывать, что данное помещение должно проходить ежегодные контроли по защите информации. Стоимость периодических контролей, естественно, прямо пропорциональна характеристикам аттестованного объекта.

Автоматизированная система для лицензии ФСТЭК.

Аттестация автоматизированной системы (АС) требует так же осознанного подхода. Аттестовать нужно минимально достаточную кофигурацию, дабы избежать излишних финансовых затрат. Правообладание оборудованием (ПК, МФУ и т.д.), которое соискатель заявит на аттестацию, обязательно должно подтверждаться на бумаге (товарная накладная, договор поставки + акт пп и т.д.). Аналогичные требования и касательно программного обеспечения в составе АС – на все заявленное ПО должны быть разрешающие документы (лицензии, сертификаты, закупочные документы и т.д.). Человеку, сталкивающемуся с подобной задачей впервые, отследить все эти нюансы катастрофически сложно.

Контрольно-измерительное оборудование для лицензии ФСТЭК.

Закупка КИО и специально ПО под лицензионные требования очень специфическая задача. Далеко ходить не нужно, вот перечень КИО для лицензии ФСТЭК ТЗКИ. Можете открыть и оценить насколько вам понятен перечень. Понятен ли вам список оборудования, который нужно закупить для соответствия лицензионным требованиям?

Понять специфику данного перечня может только человек, непосредственно работающий по этому направлению.

Но мало разобраться с тем что написано в перечне, нужно еще найти где купить оборудование подходящее под описанные требования, не переплатив при этом втридорога.

Техническая документация и национальные стандарты (ДСП).

Закупка технической документации и национальных стандартов имеет примерно такую же специфику как и закупка КИО. Для ознакомления – перечень ТД и НС (включая документы с грифом ДСП). Плюс есть ряд нюансов по работе с регулятором при заказе, оплате и доставке данных документов.

Так можно ли получить лицензию ФСТЭК самостоятельно?

Самим все сделать, естественно, можно и реально. Но нужно быть готовыми к ряду моментов:

  • Поиском и трудоустройством кадров под лицензию, если соискатель планирует решить данную задачу своими силами, нужно заниматься в первую очередь. Это самый трудный и долгий процесс.
  • К вопросу аттестации АС и ЗП нужно подходить с рациональной точки зрения, кропотливо подбирать помещение и оборудование для аттестации. Крайне желательно, на подготовительном этапе, привлечь к процессу организацию, которая будет проводить работы по аттестации АС и ЗП. В 99% случаев это позволит вам сэкономить финансы и время.
  • Человек, который будет курировать процесс лицензирования на стороне соискателя лицензии, должен иметь опыт в данном вопросе. Крайне важно, чтобы этот опыт был актуальным, а не многолетней давности, ибо законодательство в части лицензирования очень «живое» и требования постоянно меняются, обновляются и ужесточаются.
  • Нужно быть готовыми к наличию замечаний от регулятора и их оперативной отработке. Как правило, замечания бывают практически всегда. Намного важнее с какой проблематикой будут связаны эти замечания и как быстро соискатель сможет их устранить. Если не уложиться в регламентный срок, то процесс закончится отказом в выдаче лицензии и придется все начинать с начала. Нередко, когда соискатели подаются на получение лицензии ФСТЭК по три-четыре раза. Нужно быть к этому морально готовыми. Сроки при этом могут растянутся с ожидаемых нескольких месяцев до года и более.
  • Не забывайте – соответствие лицензионным требованиям процесс непрерывный. После получения лицензии на Лицензиата ложится ответственность по дальнейшему соответствию лицензионным требованиям на всём сроке действия лицензии!

Резюмируя.

При наличии необходимого опыта и знаний получить лицензию ФСТЭК самостоятельно можно! А опыт и знания можно получить в процессе, вас никто не ограничивает в количестве попыток получения лицензии.

Что касается экономии, тут вопрос не столь очевидный. Без опыта и необходимых знаний, процесс получения лицензии с огромной долей вероятности растянется минимум двукратно (скорее всего больше).

Если соискатель получает лицензию на перспективу и у него сейчас нет потенциальных работ/договоров/контрактов где бы он мог оказать лицензируемые виды услуг, то вполне целесообразно пройти весь путь самостоятельно. Да вы потратите кратно больше времени и сил, но получите опыт и заветную лицензию!

Если же соискатель получает лицензию с прицелом на конкретные работы, то, за время самостоятельного получения, организация может потерять значительные финансовые потери в виде упущенной выгоды, из-за отсутствия необходимых лицензий в определенный момент.

Например, к нам часто приходят с «срочной необходимостью» помочь подготовиться к получению лицензии в течении недели/двух, так как через месяц закрывается тендер или закрытый конкурс, в котором срочно нужно поучаствовать, а что бы поучаствовать нужна лицензия.

Увы, но только регламентный срок рассмотрения лицензионного пакета на стороне регулятора – 45 рабочих дней.

Естественно, в таких “срочных” случаях мы бессильны и предлагаем помочь в адекватные сроки с выполнением всех требований законодательства и регулятора.

Так вот, таких упущенных тендеров, в результате затягивания сроков получения лицензии, могут быть десятки, а в некоторых отраслях и сотни. В результате сэкономленные несколько сотен тысяч рублей на процессе подготовки к получению лицензии, превращаются в многомилионную упущенную выгоду организацией.

Выводы.

Вешение всегда за соискателем:

  1. Если спешки нет, при этом есть сильное желание и запас по времени – будет правильным решением пройти процесс по максимуму самостоятельно.
  2. Если есть ограничения по времени и нет исполнителя, готового взвалить процесс на свои плечи, то лучше привлечь профессионала, имеющего опыт в вопросе лицензирования.

 

  10.01.2024   |     ФСТЭК