Глава 3. Органы лицензирования и их полномочия

Указом Президента Российской Федерации «О системе и структуре федеральных органов исполнительной власти» установлено, что лицензирование видов деятельности, осуществлявшееся федеральными органами исполнительной власти в соответствии с их компетенцией на день вступления в силу данного Указа, впредь до вступления в силу федерального закона о внесении изменений в действующие федеральные законы по вопросам лицензирования может по решению Правительства Российской Федерации производиться федеральным министерством или федеральным агентством [16].

В соответствии с Федеральным законом «О лицензировании отдельных видов деятельности» Правительством Российской Федерации утвержден Перечень федеральных органов исполнительной власти, осуществляющих лицензирование [8,20].

Лицензирование деятельности по разработке и (или) производству средств защиты конфиденциальной информации осуществляют Федеральная служба безопасности Российской Федерации и Федеральная служба по техническому и экспортному контролю (далее —ФСТЭК России).

К лицензируемым видам деятельности в информационной сфере отнесены следующие [20]:

А — деятельность по технической защите конфиденциальной информации;

Б — деятельность по разработке и (или) производству средств защиты конфиденциальной информации;

В — деятельность по распространению шифровальных (криптографических) средств;

Г — деятельность по техническому обслуживанию шифровальных (криптографических) средств;

Д — предоставление услуг в области шифрования информации;

Е — разработка, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем;

Ж — разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами,

осуществляющими предпринимательскую деятельность;

З — деятельность по выявлению электронных устройств, предназначенных для негласного получения информации, в

30

актуальном состоянии представляют в Центр по лицензированию, сертификации и защите государственной тайны ФСБ России сведения о предоставленных, приостановленных, возобновленных или аннулированных ими лицензиях не позднее 3 дней с момента их предоставления, приостановления, возобновления или аннулирования, а также о переоформлении документа, подтверждающего наличие лицензии [36-42].

На основании Федерального закона «О лицензировании отдельных видов деятельности» Правительством Российской Федерации утверждено Положение о лицензировании деятельности по технической защите конфиденциальной информации [22].

При этом техническая защита информации — деятельность, направленная на обеспечение некриптографическими методами безопасности информации (данных), подлежащей защите в соответствии с действующим законодательством, с применением технических, программных и программно- технических средств [29].

Информация конфиденциального характера — информация с ограниченным доступом, не содержащая сведений, составляющих государственную тайну [35].

Безопасность информации (данных) — состояние защищенности информации (данных), при котором обеспечиваются ее (их) конфиденциальность, целостность и доступность [29].

Государственными Рекомендациями по стандартизации в области технической защиты информации конфиденциальность, доступность и целостность характеризуются следующим образом [29,30]:

конфиденциальность информации — состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;

целостность информации — состояние информации, при котором отсутствует любое ее изменение, либо изменение осуществляется только преднамеренно субъектами, имеющими на него право;

• целостность ресурсов информационной системы — состояние ресурсов информационной системы, при котором их изменение осуществ­ляется только преднамеренно субъектами, имеющими на него право, при этом сохраняются их состав, содержание и организация взаимодействия;

• доступность информации (ресурсов автоматизированной информационной системы) — состояние информации (ресурсов информационной системы), при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно.

К правам доступа при этом относятся следующие права: право на чтение, изменение, копирование, уничтожение информации, а также право на изменение, использование, уничтожение ресурсов [29].

Лицензирование деятельности по технической защите конфиденциальной информации осуществляет Федеральная служба по техническому и экспортному контролю.

На основании Федерального закона «О лицензировании отдельных видов деятельности» Правительством Российской Федерации утверждено

Положение о лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации [23].

Данное Положение определяет порядок лицензирования деятельности по разработке и (или) производству средств защиты конфиденциальной информации, осуществляемой юридическими лицами и индивидуальными предпринимателями.

ФСБ России в пределах своих полномочий осуществляет меры, связанные с созданием средств защиты информации и с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны в федеральных органах государственной власти, органах государственной власти субъектов Российской Федерации, воинских формированиях и организациях [5, 6, 15].

Также ФСБ России осуществляет лицензирование разработки и (или) производства средств защиты конфиденциальной информации, которые планируется устанавливать на объектах Администрации Президента Российской Федерации, Совета Безопасности Российской Федерации, Федерального Собрания Российской Федерации, Правительства Российской Федерации, Конституционного Суда Российской Федерации, Верховного Суда Российской Федерации и Высшего Арбитражного Суда Российской Федерации [23].

Осуществление предоставленных полномочий по лицензированию деятельности в области технической защиты конфиденциальной информации и по лицензированию деятельности в области разработки и (или) производства средств защиты конфиденциальной информации производится ФСТЭК России на основании соответствующих административных регламентов Федеральной службы по техническому и экспортному контролю по исполнению государственной функции по лицензированию [45, 46].

При этом государственная функция по лицензированию, исполняемая ФСТЭК России, представляет собой комплекс следующих мероприятий:

предоставление лицензий на осуществление деятельности по технической защите конфиденциальной информации;

• переоформление документов, подтверждающих наличие лицензий,

• приостановление действия лицензий в случае административного приостановления деятельности лицензиатов за нарушение лицензионных требований и условий;

• возобновление или прекращение действия лицензий;

• аннулирование лицензий;

• осуществление контроля за соблюдением лицензиатами соответствующих лицензионных требований и условий;

• ведение реестров лицензий;

• предоставление в установленном порядке заинтересованным лицам сведений из реестров лицензий и иной информации о лицензировании.

Исполнение ФСТЭК России государственной функции по лицензированию включает в себя следующие административные процедуры:

• установление порядка допуска лиц к работам, связанным с использованием конфиденциальной информации,

• организация обеспечения безопасности ее хранения, обработки и передачи по каналам связи,

• выполнение установленных обладателем конфиденциальной информации требований к обеспечению безопасности этой информации;

в) наличие условий, предотвращающих несанкционированный доступ к средствам защиты конфиденциальной информации, обеспечивающих хранение нормативной и эксплуатационной документации, инсталляционных дискет и дистрибутивов программных и программно-аппаратных средств защиты конфиденциальной информации в металлических шкафах (хранилищах, сейфах), оборудованных внутренними замками, а также хранение дубликатов ключей от металлических шкафов (хранилищ, сейфов) и входных дверей в сейфе ответственного лица, назначенного руководителем соискателя лицензии (лицензиата);

г) соответствие помещений (производственная площадь, состояние помещений, обеспечиваемые в них условия) требованиям технической и технологической документации на оборудование, размещаемое в этих помещениях и используемое для осуществления лицензируемой деятельности;

д) соответствие производственного, технологического, испытательного и контрольно-измерительного оборудования требованиям, установленным нормативными правовыми актами Российской Федерации, относящимися к лицензируемой деятельности;

е) аттестация средств обработки информации, используемых для разработки средств защиты конфиденциальной информации, в соответствии с требованиями по защите информации с использованием лицензионных баз данных и программного обеспечения для электронно-вычислительных машин;

ж) выполнение требований конструкторской, программной и технологической документации, единой системы измерений, системы разработки и запуска в производство средств защиты конфиденциальной информации;

з) наличие системы учета изменений, внесенных в техническую и конструкторскую документацию на производимую продукцию, и системы учета готовой продукции;

и) наличие у руководителя соискателя лицензии (лицензиата) и (или) уполномоченного им лица документа о высшем профессиональном образовании в области технической защиты информации либо документов о высшем или среднем профессиональном (техническом) образовании и о переподготовке или повышении квалификации по вопросам технической защиты информации, а также производственного стажа в области лицензируемой деятельности не менее пяти лет;

к) наличие у инженерно-технического персонала, осуществляющего работы в области лицензируемой деятельности, документа о высшем

образовании или профессиональной подготовке со специализацией, соответствующей выполняемым работам.

Особое место в обеспечении правового режима лицензирования в области защиты информации занимает лицензирование процедур обращения с криптографическими и специальными средствами защиты информации.

Регулирование в этой сфере законодательством Российской Федерации возложено на ФСБ России.

С этой целью органы федеральной службы безопасности имеют право осуществлять в соответствии со своей компетенцией регулирование в следующих областях [6, 25, 15, 19, 24]:

разработки, производства, реализации, эксплуатации шифровальных (криптографических) средств и защищенных с использованием шифровальных средств систем и комплексов телекоммуникаций, расположенных на территории Российской Федерации;

• предоставления услуг по шифрованию информации в Российской Федерации;

• распространения шифровальных (криптографических) средств; технического обслуживания шифровальных (криптографических)

средств;

выявления электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);

• деятельности по разработке, производству, реализации и приобретению в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляющими предпринимательскую деятельность.

Кроме того, органы федеральной службы безопасности имеют право выполнять следующие контрольные полномочия:

• государственный контроль за организацией и функционированием криптографической и инженерно-технической безопасности информационно- телекоммуникационных систем, систем шифрованной, засекреченной и иных видов специальной связи;

контроль за соблюдением режима секретности при обращении с шифрованной информацией в шифровальных подразделениях государственных органов и организаций на территории Российской Федерации и в ее учреждениях, находящихся за пределами Российской Федерации;

контроль за обеспечением защиты особо важных объектов (помещений) и находящихся в них технических средств от утечки информации по техническим каналам (в соответствии со своей компетенцией).

На основании Федерального закона «О лицензировании отдельных видов деятельности» Правительством Российской Федерации утвержден ряд положений о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами [25], которые регулируют деятельность при обращении с шифровальными средствами, предназначенными для защиты информации, содержащей сведения, не составляющие государственную тайну.

При этом к шифровальным (криптографическим) средствам (средствам криптографической защиты информации) относятся:

• средства шифрования — аппаратные, программные и аппаратно- программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации от несанкционированного доступа при ее передаче по каналам связи и (или) при ее обработке и хранении;

• средства имитозащиты — аппаратные, программные и аппаратно- программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;

• средства электронной цифровой подписи — аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи;

• средства кодирования — средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;

• средства изготовления ключевых документов (независимо от вида носителя ключевой информации);

• ключевые документы (независимо от вида носителя ключевой информации).

Правительством Российской Федерации установлены границы применения Положений о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами [25].

Введение новых правил обусловлено, в частности, тем, что в соответствии с постановлением Правительства Российской Федерации от 26 января 2006 года № 45 лицензирование названных видов деятельности осуществляется ФСБ России (ранее — ФАПСИ) [20].

При этом требования указанных Положений не распространяются на деятельность по распространению, техническому обслуживанию и предоставлению услуг в области шифрования информации, а также

деятельность, которая осуществляется юридическими лицами и индивидуальными предпринимателями по разработке и производству шифровальных (криптографических) средств, и защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем в отношении следующих технических средств:

шифровальных (криптографических) средств, предназначенных для защиты информации, содержащей сведения, составляющие государственную тайну;

портативных или мобильных радиотелефонов гражданского назначения (в том числе предназначенных для использования в коммерческих гражданских системах сотовой радиосвязи), которые не способны к сквозному шифрованию;

• приемной и передающей аппаратуры радиовещания, коммерческого телевидения или иной аппаратуры коммерческого типа для вещания на ограниченную аудиторию без шифрования цифрового сигнала, в которой шифрование ограничено функциями управления видео- или аудиоканалами;

• применяемых только для банковских и финансовых операций шифровальных (криптографических) средств в составе терминалов единичной продажи (банкоматов), криптографические возможности которых не могут быть изменены пользователями;

• шифровальных (криптографических) средств независимо от их назначения, реализующих симметричные криптографические алгоритмы и обладающих максимальной длиной криптографического ключа менее 56 бит, а также реализующих асимметричные криптографические алгоритмы, основанные либо на разложении на множители целых чисел, либо на вычислении дискретных логарифмов в мультипликативной группе конечного поля, либо на дискретном логарифме в группе, отличной от названной, и обладающих максимальной длиной криптографического ключа 128 бит;

• беспроводного оборудования, осуществляющего шифрование информации только в радиоканале с максимальной дальностью беспроводного действия без усиления и ретрансляции менее 400 м в соответствии с техническими условиями производителя (за исключением оборудования, используемого на критически важных объектах);

шифровальных (криптографических) средств, используемых для защиты технологических каналов информационно-телекоммуникационных систем и сетей, не относящихся к критически важным объектам.

В случае лицензирования деятельности по распространению, техническому обслуживанию и предоставлению услуг в области шифрования информации, требования указанных Положений, кроме того, не распространяются в отношении следующих технических средств:

шифровальных (криптографических) средств, являющихся компонентами доступных для продажи без ограничений посредством розничной торговли либо сделок по почтовым запросам, либо электронных

сделок, либо сделок по телефонным заказам программных операционных систем, криптографические возможности которых не могут быть изменены пользователями, которые разработаны для установки пользователем самостоятельно без дальнейшей существенной поддержки поставщиком и техническая документация (описание алгоритмов криптографических преобразований, протоколы взаимодействия, описание интерфейсов и т. д.) на которые является доступной, в том числе для проверки;

• персональных кредитных карточек со встроенными микроЭВМ, криптографические возможности которых не могут быть изменены пользователями;

специально разработанных и применяемых только для банковских и финансовых операций шифровальных (криптографических) средств в составе терминалов единичной продажи (банкоматов), криптографические возможности которых не могут быть изменены пользователями;

• специально разработанных и применяемых только в составе контрольно-кассовых машин шифровальных (криптографических) средств защиты фискальной памяти.

Правительством Российской Федерации установлен комплекс следующих лицензионных требований и условий:

А — наличие у лицензиата на праве собственности или на ином законном основании помещений, технологического, испытательного, контрольно-измерительного оборудования, иных объектов и сооружений, необходимых для осуществления лицензируемой деятельности;

Б — наличие в штате лицензиата квалифицированного руководящего персонала — руководитель и (или) лицо, уполномоченное руководить работами по лицензируемой деятельности, имеет высшее профессиональное образование и (или) профессиональную подготовку в области информационной безопасности, а также стаж работы в этой области не менее пяти лет;

В — наличие в штате лицензиата квалифицированного инженерного персонала — инженерно-технические работники, имеют высшее профессиональное образование или прошли переподготовку (повышение квалификации) в области информационной безопасности с получением специализации, необходимой для работы с шифровальными (криптографическими) средствами;

Г — наличие в штате лицензиата следующего квалифицированного инженерного персонала — инженерно-технические работники, имеют высшее профессиональное образование или прошли переподготовку (повышение квалификации) в области информационной безопасности с получением специализации, необходимой для работы с шифровальными (криптографическими) средствами, а также стаж работы в этой области не менее вух лет;

Д — выполнение лицензиатом при осуществлении лицензируемой деятельности требований, устанавливаемых в соответствии со ст. 1.2 и 13 Федерального закона «О федеральной службе безопасности»;

Е — представление лицензиатом в лицензирующий орган перечня шифровальных (криптографических) средств, в том числе иностранного производства, не имеющих сертификата ФСБ России или ФАПСИ, технической документации, определяющей состав, характеристики и условия эксплуатации этих средств, и (или) образцов шифровальных (криптографических) средств;

Ж — использование лицензиатом программ для электронно- вычислительных машин и баз данных на основании договора, заключенного с правообладателем, в соответствии со ст. 14 Закона Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных» (с 1 января 2008 года — в соответствии со статьей ст.1286 «Лицензионный договор о предоставлении права использования произведения» ч. 4 Гражданского кодекса Российской Федерации [2];

З — реализация криптографических алгоритмов, рекомендованных лицензирующим органом, в разрабатываемых шифровальных (криптографических) средствах, применяемых в информационно- телекоммуникационных системах и сетях критически важных объектов, федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, органов местного самоуправления и организаций, осуществляющих выполнение работ или оказание услуг с использованием шифровальных (криптографических) средств для государственных и муниципальных нужд;

И — применение лицензиатом средств обработки информации, аттестованных в соответствии с требованиями по защите информации;

К — ведение лицензиатом учета изготовления, выдачи, возврата и уничтожения ключевых документов;

Л — обеспечение лицензиатом уничтожения исходной ключевой информации путем физического уничтожения носителя, на котором она расположена, или путем стирания (разрушения) исходной ключевой информации без повреждения носителя (для обеспечения возможности его многократного использования) в соответствии с эксплуатационной и технической документацией к соответствующим шифровальным (криптографическим) средствам, а также с указаниями организации, производившей запись исходной ключевой информации;

М — использование лицензиатом шифровальных

(криптографических) средств иностранного производства при условии, что эти средства были ввезены на территорию

Российской Федерации и распространялись в порядке, установленном нормативными правовыми актами Российской Федерации;

Н — наличие у лицензиата допуска к проведению работ, связанных с использованием сведений, составляющих государственную тайну (только при разработке шифровальных (криптографических) средств);

О — обеспечение лицензиатом контролируемого доступа персонала к конфиденциальной информации и (или) работам с шифровальными (криптографическими) средствами, а также сохранности конфиденциальной информации и шифровальных (криптографических) средств, используемых при осуществлении лицензируемой деятельности.

Лицензионные требования и условия, которые должны выполняться при осуществлении видов деятельности, связанной с шифровальными (криптографическими) средствами [25], приведены в таблице 3.3.

В интересах реализации одного из основных принципов лицензирования — обеспечения единства экономического пространства на территории Российской Федерации Правительством Российской Федерации установлено, что деятельность, на осуществление которой лицензия предоставлена лицензирующим органом одного субъекта Российской Федерации, может осуществляться на территориях других субъектов Российской Федерации [8,20].

Действие лицензии, выданной федеральным лицензирующим органом, распространяется на всю территорию Российской Федерации. Это означает, что на основании предоставленной лицензии юридическое лицо или индивидуальный предприниматель вправе осуществлять лицензируемый вид деятельности в любом субъекте России.

С этой целью в соответствии с Федеральным законом «О государственной регистрации юридических лиц и индивидуальных предпринимателей» сведения о выданных лицензиях включаются в единый государственный реестр юридических лиц и в единый государственный реестр индивидуальных предпринимателей [9].

Как указывалось выше, деятельность, на осуществление которой лицензия предоставлена лицензирующим органом субъекта Российской Федерации, также может осуществляться на территориях иных субъектов Российской Федерации. Но для этого необходимо уведомление лицензиатом лицензирующих органов соответствующих субъектов Российской Федерации о намерении осуществлять лицензируемый вид деятельности на их территориях.

Территориальные органы представляют в Центр по лицензированию, сертификации и защите государственной тайны ФСБ России сведения о предоставленных, приостановленных, возобновленных или аннулированных ими лицензиях по следующим направлениям деятельности:

43

а) полное и сокращенное (если имеется) наименования, в том числе фирменное наименование, организационно-правовая форма и место нахождения, государственный регистрационный номер записи о создании юридического лица и данные документа, подтверждающего внесение сведений о юридическом лице в единый государственный реестр юридических лиц, — для юридического лица;

б) фамилия, имя и отчество (если имеется), место жительства и данные документа, удостоверяющего личность, основной государственный регистрационный номер записи о государственной регистрации индивидуального предпринимателя и данные документа, подтверждающего внесение сведений об индивидуальном предпринимателе в единый государственный реестр индивидуальных предпринимателей, — для индивидуального предпринимателя;

в) идентификационный номер налогоплательщика и данные документа о постановке лицензиата на учет в налоговом органе;

г) лицензируемый вид деятельности;

д) адреса мест осуществления лицензируемого вида деятельности на территории субъекта Российской Федерации;

е) дата предполагаемого начала осуществления лицензируемого вида деятельности на территории субъекта Российской Федерации.

К уведомлению прилагаются нотариально заверенная копия документа, подтверждающего наличие лицензии, и заявление о переоформлении этого документа.

Уведомление и прилагаемые к нему документы в день поступления в лицензирующий орган субъекта Российской Федерации принимаются по описи, копия которой с отметкой о дате их приема направляется (вручается) лицензиату.

Лицензирующий орган субъекта Российской Федерации обязан в 10- дневный срок со дня получения уведомления и прилагаемых к нему документов переоформить документ, подтверждающий наличие лицензии, в порядке, установленном Федеральным законом «О лицензировании отдельных видов деятельности», и внести соответствующие изменения в реестр лицензий видов деятельности, лицензирование которых он осуществляет.

За предоставление лицензирующим органом лицензии, переоформление документа, подтверждающего наличие лицензии, выдачу дубликата документа, подтверждающего наличие лицензии, и продление срока действия лицензии уплачивается государственная пошлина в размерах и порядке, которые установлены законодательством Российской Федерации о налогах и сборах.

Бланки Лицензий являются документами строгой отчетности и относятся к защищенной полиграфической продукции.

В интересах единства подхода к процедурам документационного обеспечения лицензирования Правительством Российской Федерации утверждена форма документа, подтверждающего наличие лицензии [21].

Лицензия может иметь приложения, являющиеся ее неотъемлемой частью (о чем делается соответствующая запись) и содержащие информацию о лицензиате, предусмотренную положением о лицензировании конкретного вида деятельности.