Как получить лицензию ФСТЭК: пошаговая инструкция для бизнеса

Получение лицензии ФСТЭК — обязательный этап для организаций, осуществляющих деятельность в сфере технической защиты информации и занимающихся разработкой и производством средств защиты конфиденциальной информации. Такие лицензии позволяют легально предоставлять услуги по защите информации, разрабатывать программное обеспечение и технические средства, соответствующие требованиям регулятора. Без наличия действующей лицензии организация не сможет заключать контракты с заказчиками и участвовать в тендерах.

В соответствии с российским законодательством, получение необходимой лицензии — это не просто формальность, а комплексная процедура, включающая оценку соответствия компании нормативным требованиям, анализ её технической оснащенности, квалификации персонала и наличия необходимой документации. Получить лицензию может только та организация, которая строго соблюдает все необходимые требования

ФСТЭК России уполномочена выдавать лицензии на несколько видов деятельности, связанных с обеспечением информационной безопасности.

Основные категории:

• Лицензия на техническую защиту конфиденциальной информации — даёт право оказывать услуги по проектированию, установке и обслуживанию средств защиты информации, не содержащей сведений, составляющих государственную тайну, аудиту ИБ, подготовке документации, аттестации;
• Лицензия на деятельность по разработке и производству средств защиты информации (СЗИ) — охватывает программные, технические и программно-аппаратные комплексы;
• Лицензия на деятельность по защите государственной тайны — для работы с информацией, отнесённой к государственной тайне.

Также ФСТЭК сертифицирует программное обеспечение и технические СЗИ. Выданный сертификат подтверждает, что конкретное ПО соответствует требованиям безопасности и может применяться в защищённых информационных системах. Наличие сертификата — важное условие для организаций, планирующих участвовать в проектах с повышенными требованиями к ИБ.

Наличие лицензии необходимо для всех организаций, которые ведут деятельность в области информационной безопасности. В частности, речь идет о:

• Системных интеграторах и IT-компаниях, реализующих проекты с применением защищённых ИС;
• Предприятиях, обслуживающих и проектирующих объекты критической информационной инфраструктуры (КИИ);
• Компаниях, оказывающих услуги по проектированию, внедрению и сопровождению систем защиты информации;
• Организациях, занимающихся разработкой СЗИ, включая программное обеспечение;
• Участниках тендеров и контрактов, где требуется наличие необходимой лицензии.

Если организация ведет деятельность, связанную с конфиденциальной информацией, или предоставляет услуги в области защиты информации, лицензирование становится обязательным. Без этого невозможно обеспечить законность операций и подтвердить соответствие требованиям регулятора.

Чтобы получить лицензию, организация должна соответствовать ряду требований, установленных нормативной базой. Ключевые из них:

Персонал

• Наличие в штате специалистов с профильным образованием (высшее по ИБ или наличие профессиональной переподготовки);
• Документально подтверждённый опыт работы от 3-х лет.

Помещение

• Наличие помещения, находящегося в собственности или на правах аренды;
• Защита от несанкционированного доступа и технических каналов утечки информации;
• Возможность соблюдения режимных требований (например, для хранения конфиденциальных сведений).

ПО и оборудование

• Наличие сертифицированных СЗИ;
• Соответствие технических решений действующим стандартам и ГОСТам;
• Наличие необходимого программного обеспечения и аппаратных платформ.

Нормативно-правовые акты, методические документы и национальные стандарты
Соискатель лицензии в обязательном порядке должен иметь в собственности определённый перечень литературы, согласно утверждённому списку ФСТЭК

Подбор квалифицированных кадров с нужным стажем и образованием — одна из главных сложностей при лицензировании. Компания SafeProgress организовывает профессиональную переподготовку сотрудников по программам, одобренным ФСТЭК и ФСБ, чтобы ваш персонал соответствовал всем требованиям.

Подача заявки сопровождается комплектом официальных документов, подтверждающих соответствие организации требованиям регулятора. В этот список входят:

• Заявление установленного образца;
• Уставные документы организации (устав, свидетельства ОГРН, ИНН);
• Копии трудовых книжек и дипломов сотрудников;
• Договор аренды помещения или выписка из ЕГРН;
• Перечень применяемых технических и программных средств;
• Описание процессов защиты информации и внутренних регламентов;
• Подтверждение наличия в собственности необходимой литературы.

Получение лицензии ФСТЭК, включает следующие шаги:

1. Анализ готовности: аудит кадров, приобретение требуемого ПО и оборудования, приобретение литературы, проведение аттестации АРМ и ЗП.
2. Сбор документов: подготовка и согласование всех необходимых бумаг.
3. Подача заявки: подача подготовленного пакета документов.
4. Проверка: приёмная проверка, рассмотрение, возможные запросы на доработку.
5. Решение: получение лицензии или предписание на устранение нарушений.

Официальный срок рассмотрения заявления – 45 рабочих дней.

Если лицензия касается самой организации, то сертификация касается конкретных продуктов. Сертификат на ПО подтверждает его соответствие требованиям ФСТЭК и ГОСТ. Сертификация обязательна, если продукт используется в защищённых системах и/или обладает функционалом средства защиты информации.

Этапы сертификации:

• Анализ исходного кода и архитектуры продукта;
• Тестирование в аккредитованной лаборатории;
• Оформление экспертного заключения и получение сертификата.

Организация, разрабатывающая ПО, обязана пройти процедуру сертификации до начала эксплуатации продукта в ИС с повышенными требованиями к безопасности.

Часто компании сталкиваются с рядом проблем:

• Нехватка квалифицированных сотрудников;
• Сложности с арендой подходящих помещений;
• Недостаточное количество или неподходящие СЗИ;
• Ошибки в документах или несоблюдение сроков подачи заявки.

Решить такие задачи самостоятельно сложно, особенно без практического опыта. SafeProgress предлагает комплексное сопровождение для получения лицензии.

Срок получения лицензии, в зависимости от вашей текущей степени готовности, составляет от 3 до 5 месяцев (с учётом сроков рассмотрение заявки со стороны ФСТЭК).

Продолжительность зависит от:

• Степени готовности документов;
• Наличия в штате соответствующего условиям персонала;
• Наличия ПО и оборудования;
• Наличия требуемой литературы;
• Оперативности взаимодействия между сторонами.

Финансовые расходы складываются из:

• Оплаты госпошлины;
• Аттестационных мероприятий;
• Обучения сотрудников;
• Приобретения ПО и оборудования;
• Приобретения литературы;
• Консультационных услуг.

Лицензия ФСТЭК на техническую защиту конфиденциальной информации, а также лицензия на деятельность по разработке и производству средств защиты конфиденциальной информации — это подтверждение того, что ваша организация готова выполнять работы по защите информации. Она необходима для участия в тендерах, выполнения контрактов с государственными структурами, а также для защиты конфиденциальных данных клиентов и партнёров.

Получение лицензии ФСТЭК — сложный процесс, но с SafeProgress вы сэкономите время и ресурсы. Мы помогаем на всех этапах: от обучения персонала до сертификации ПО.