Получение лицензий ФСБ - Форум по вопросам информационной безопасности

*тоже в сторону*
Такое бывает. Большое Начальство где-то услышит что для защиты ПДн нужны лицензии - и, не разобравшись, ставит подчиненным задачу разузнать, сколько это стоит.
Или у Большого Начальства рождается идея: получить свою лицензию, чтобы не тратить деньги на защиту ПДн (мол, сами себя защитим).
Меня как-то спросили "Как получить лицензию на обработку ПДн?" Пришлось долго объяснять, что таких лицензий не бывает. Не верили, требовали доказательств.
Так штааа....

Извините, если где-то сказал не в тему, просто хотелось по максимуму дать входной информации. Фишка в том, что моя организация является головной в холдинге 15-ти разных ООО. А сервера и базы данных одни в одном месте, поэтому фактически одна ООО оказывает услуги по защите ПДн всем остальным ООО. Поэтому руководство задалось целью сделать "все по закону". На данном этапе хотят услышать примерную сумму, которая выйдет. Нормативные документы подготовить не проблема. Поэтому и спрашиваю здесь, интересует примерная цена вопроса с точность до сотен тысяч.

Также интересно: необходимо ли контрольно-измерительное оборудование средств защиты информации? Что это вообще такое?

2 Bogatyrev

Тогда расклад такой. Лицензию на ТЗКИ лучше получать по пунктам б) и е), выбрав виды работ, не связанные с защитой инф-ции в технич. средствах (чтобы не покупать КИО).
Тогда расходы примерно такие:
аттестация АС - грубо 100 тыс,
аттестация ЗП - грубо 100 тыс,
обучение 3-х человек (с июня нужны трое, причем со стажем работы, а их еще поискать) - грубо 100 тыс.
покупка НМД - несколько тыс (10...20),
покупка программных средств контроля защищенности от НСД - тоже 10...20 тыс.
Плюс юридический геморрой: законность пользования недвижимостью и железом (но это бесплатно, просто может быть долго).

По ФСБ расклад похожий, но там больше неопределенности: что надо и как надо. Учить специалистов там нужно от 500 часов, достаточно 2-х человек. Какие НМД нужно иметь неизвестно, но иметь нужно. Открытые фсбшные доки обязательно.
Аттестованные АС и ЗП как правило, катят те же, что вы аттестовали для ФСТЭК, так что экономия. В общем, где-то 100...200 тыс нужно будет потратить.

Это все очень кратко и приблизительно. На чем-то можно сэкономить, что-то может всплыть в процессе...

З.Ы. Да, забыл сказать, что все это при условии, что вы аттестовать ничего не будете, только защищать (аттестация ИСПДн не обязательна).

Вообще, считаю, что в вашем случае иметь лицензию ФСБ нецелесообразно. Заплатите лицензиатам, они установят СКЗИ где надо.

WORM

Спасибо большое!

to Bogatyrev
imho, лучше лицензиатам доверить данное дело... От вас разработка Общей модели угроз на весь холдин и примерный план защитных мероприятий... На это лицензия не нужна... А все остальное пусть делают лицензиаты - поверьте, так будет и выгоднее, и быстрее, и проще (при учете грамотных лицензиатов, разумеется)...

to all
Кстати, товарищи, а с каких пор для защиты собственных ИСПДн нужны какие-то лицензии? Холдинг - это, конечно, конгломерат, но с явно указанной головной организацией, фактически, отвечающей за все дочерки. В сущности, с позиции ИБ, это тоже все одна организация. И, выходит, это "защита собственных", а не "чужих", систем (читай, не оказание услуг по защите информации). Особенно, если головная контора только устанавливает нормы и правила + разрабатывает общий комплект проектной и эксплуатационной документации (модели, аналитика, ТП, ТЗ, инструкции, приказы и проч.). Ради экономии или ради выполнения специфических положений внутренней политики безопасности (собственного плана, так сказать, расширяющего требования того же 21 Приказа). Тогда уж точно проще нанять лицензиата уже после этапа выполнения всех защитных мероприятий - чисто ради бумажки (хоть в форме "заключения", хоть в официально форме "Аттестата соответствия")...
Или я не прав?

2 oko
Холдинг это разные юрлица. А закон 152-ФЗ называет каждое юрлицо оператором. Со всеми вытекающими. Прокуратура тоже приноровилась штрафовать за защиту ПДн не для собственных нужд юрлица, а для других (услуги, ага).

Что касательно выгоды обращения к лицензиатам. На днях читал коммерческое предложение лицензиата заказчику. ИСПДн в составе 2-х АРМ, УЗ-4. Предлагают: СЗИ от НСД, САВЗ, СОВ, средство АНЗ, МЭ. Стоимость под ключ с доками 550 тыр.

2 Bogatyrev
Детализирую ответы коллег по бюджетам на лицензии.
Сразу прошу прощения, если повторяюсь.

Лицензия ФСТЭК на ТЗКИ без технических средств и аттестации:
- переподготовка сотрудников (мин 360, лучше 500 часов) - 50-140 тыс. за одного сотрудника, скоро нужны будут трое (если их нет)
- ноутбук или компьютер для аттестации - 20 тыс. руб. (если их нет)
- операционная система, антивирус, офисное ПО - 10 тыс. руб. (если их нет)
- аттестация автоматизированной системы - от 90 тыс. руб.
- средство защиты от НСД - 7-10 тыс. руб.
- аттестация помещения + оборудование - 120 - 150 тыс. руб.
- ГОСТы и НДМ - 20 тыс. руб.
- ПО для защиты информации - 25 тыс. руб.
- информационно-справочная система - 5-20 тыс. руб. (если ее нет)
- нотариальные расходы - 3 тыс. руб.
- государственная пошлина за предоставление лицензии - 7,5 тыс. руб.

Лицензия ФСБ на работы 12-14, 20-25:
- переподготовка сотрудников (500 часов) - 50-140 тыс. за одного сотрудника, нужны двое (если их нет). Подойдут люди, что и для ФСТЭК, если у них будет стаж и по ТЗКИ и по работе с СКЗИ.
- сейф, нотариальные расходы - 15 тыс. руб.
- защита помещения (сигнализация или решетки на окна) - 15-20 тыс. руб. (если требуется)
- государственная пошлина за предоставление лицензии - 7,5 тыс. руб.
- аттестация автоматизированной системы - от 90 тыс. руб. Подойдет, что и для ФСТЭК.
- средство защиты от НСД - 7-10 тыс. руб. Подойдет, что и для ФСТЭК.

Цены реальные этого года.

Наибольшая сложность, как справедливо заметили коллеги, с подбором подходящего персонала, т.к. помимо переподготовки по обеим лицензиям нужен будет стаж по лицензируемой деятельности.

to WORM
Спасибо за ликбез (без шуток, ага)!
Только, если не секрет, вопрос: это ж в каком регионе такие цены и такие лицензиаты жадные?
Хотя, всякое бывает, конечно... А с некоторых заказчиков я бы и лимон за такие работы запросил - за вредность общения, так сказать...

2 oko
Регион, известно, Москва. А вот заказчик из другого региона. Точнее, бывший заказчик: заключать контракт на такую сумму нема дурных ))