Автор Медяк Евгений 
Получение лицензии фсб на работы , связанные с использованием сведений, составляющих государственную тайну, или деятельность в области криптографической защиты информации, это многоуровневую процедуру, требующую от организации серьезной подготовки. Регулятор предъявляет жесткие требования не только к документальному оформлению, но и к техническому состоянию объектов информатизации, квалификации персонала и организационным аспектам деятельности.
Процесс лицензирования затрагивает широкий спектр направлений: от технической защиты информации до аттестации объектов информатизации и специальных проверок сотрудников. Каждое из этих направлений требует детального рассмотрения и понимания всех нормативных нюансов, которые могут существенно повлиять на успешность прохождения проверочных мероприятий.
Техническая защита информации как основа лицензионных требований
Техническая защита информации (ТЗИ) является фундаментальным элементом системы обеспечения безопасности при работе с конфиденциальными сведениями. Деятельность по технической защите конфиденциальной информации лицензируется Федеральной службой по техническому и экспортному контролю (ФСТЭК России), однако при работе с государственной тайной и криптографическими средствами требования ФСТЭК и ФСБ России тесно переплетаются.
Важно понимать разграничение компетенций: ФСТЭК России отвечает за лицензирование технической защиты конфиденциальной информации, а ФСБ России регулирует деятельность в области шифрования и криптографической защиты. На практике это означает, что организация, претендующая на лицензию ФСБ, должна одновременно соответствовать требованиям обоих регуляторов, особенно если её деятельность связана с обработкой информации в защищенных информационных системах.
Техническая защита информации включает комплекс организационных и инженерно-технических мероприятий, направленных на предотвращение утечки информации по техническим каналам, несанкционированного доступа к ней и специальных воздействий на информационные системы.
При подготовке к лицензированию ФСБ особое внимание уделяется именно технической составляющей наличию сертифицированных средств защиты, правильной организации инженерных систем и обеспечению физической безопасности объектов информатизации.
СКЗИ! Средства криптографической защиты информации и их роль в лицензируемой деятельности
Средства криптографической защиты информации (СКЗИ) занимают центральное место в лицензионной деятельности ФСБ. Для работы с СКЗИ организация должна получить соответствующую лицензию, которая позволяет разрабатывать, производить, распространять и обслуживать шифровальные средства.
С 2026 года обсуждается расширение перечня информационных систем, подлежащих защите с использованием СКЗИ. Предполагается, что под действие новых требований попадут не только государственные информационные системы (ГосИС), но и иные информационные системы государственных органов, государственных унитарных предприятий и государственных учреждений.
В этих системах необходимо будет применять СКЗИ в нескольких ключевых случаях: при передаче информации по каналам связи за пределами охраняемой территории, для обеспечения юридической значимости электронных документов, подписанных электронной подписью, а также для хранения данных на носителях, несанкционированный доступ к которым не может быть исключен некриптографическими методами.
Все используемые СКЗИ должны быть сертифицированы ФСБ России по соответствующему классу требований. Определение класса СКЗИ для конкретной информационной системы зависит от уровня значимости обрабатываемой информации и масштаба самой системы. Это означает, что выбор конкретного шифровального средства не вопрос удобства или предпочтений, а строго регламентированная процедура, определяемая нормативными документами.
Аттестация объектов информатизации как обязательное условие допуска к работам
Аттестация объектов информатизации это комплекс организационно-технических мероприятий, результатом которых является официальное подтверждение соответствия объекта требованиям нормативных документов по безопасности информации. Итоговый документ "Аттестат соответствия" дает право обрабатывать информацию с соответствующим грифом конфиденциальности в течение установленного срока.
Процедура аттестации включает несколько этапов: изучение технологического процесса обработки информации на объекте, проверку соответствия требованиям по технической защите, проверку технических каналов утечки информации и испытания подсистем защиты от несанкционированного доступа.
Аттестация проводится аккредитованным органом по аттестации на основе разработанной Программы и методик испытаний. В ходе аттестационных испытаний проверяются подсистемы управления доступом, регистрации и учета, криптографическая подсистема и подсистема обеспечения целостности.
Обязательной аттестации подлежат объекты, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами и ведения закрытых переговоров. В остальных случаях аттестация может проводиться по инициативе владельца объекта.
Аккредитованная испытательная лаборатория и её роль в процессе сертификации
Аккредитованные испытательные лаборатории (АИЛ) являются ключевыми участниками процедур оценки соответствия средств защиты информации. Эти лаборатории аккредитуются ФСТЭК и/или ФСБ России и проводят сертификационные испытания технических средств защиты информации.
Испытания в аккредитованных лабораториях включают длительные и трудоемкие процедуры проверки средств защиты, использующие методы функционального и структурного тестирования. Аттестат аккредитации испытательной лаборатории должен соответствовать требованиям, предъявляемым к защищенной полиграфической продукции уровня "Б".
Для организации, претендующей на лицензию ФСБ, сотрудничество с аккредитованной испытательной лабораторией часто является неизбежным этапом. Особенно это касается ситуаций, когда на объекте информатизации используются несертифицированные средства защиты или требуется проведение специальных исследований технических средств на наличие побочных электромагнитных излучений и наводок (ПЭМИН).
Испытательная лаборатория должна быть указана в области аккредитации организации, выполняющей работы по защите информации. Это означает, что при планировании деятельности необходимо заранее убедиться, что выбранная лаборатория имеет право проводить необходимые виды испытаний в соответствующей области.
Специальные проверки сотрудников и допуск к государственной тайне
Допуск сотрудников к государственной тайне является одним из важнейших условий для получения лицензии ФСБ. Процедура оформления допуска начинается с заполнения анкеты по форме Ф-4, в которой претендент указывает основные автобиографические сведения: данные близких родственников, места учебы и работы, факты выезда за границу.
Проверочные мероприятия проводятся ФСБ России и включают несколько направлений. Проверяются судимости как самого кандидата, так и его близких родственников. Запросы направляются в МВД для получения сведений о наличии судимостей и информации в базах оперативного учета. Учитываются как действующие, так и снятые или погашенные судимости, а также дела, прекращенные по нереабилитирующим основаниям.
Второе направление проверки нахождение на учетах в психоневрологическом и наркологическом диспансерах. При оформлении медицинской справки формы 989н заявитель проходит осмотр у психиатра и нарколога.
Срок проверки зависит от формы допуска. Для третьей формы обычно требуется около месяца, для первой и второй форм допуска процедура может занять от двух до трех месяцев. Время проверки может увеличиться, если в анкете содержатся неточные сведения или требуется дополнительная проверка обстоятельств биографии кандидата.
Отказ в оформлении допуска может быть получен по разным причинам. Среди них наличие судимости у кандидата или близких родственников, выявление недостоверных сведений в анкете, психические заболевания, препятствующие работе с государственной тайной. С 2024 года в перечень оснований для отказа включено признание гражданина иноагентом или аффилированным с ним лицом.
Защищенное исполнение помещений и требования к инфраструктуре
Защищенное исполнение помещений комплекс мер, направленных на обеспечение физической безопасности обрабатываемой информации. Требования к таким помещениям включают организацию контролируемой зоны, установку специальных конструкций, обеспечивающих защиту от несанкционированного доступа и предотвращающих утечку информации по техническим каналам.
В защищенных помещениях необходимо обеспечить звукоизоляцию, предотвращающую прослушивание ведущихся переговоров, а также защиту от проникновения через ограждающие конструкции. При необходимости помещения должны дооснащаться дополнительными средствами защиты, исключающими несанкционированный доступ и отвечающими требованиям нормативных документов по организации режимных помещений.
Критически важным аспектом является экранирование помещений создание электромагнитного экрана, предотвращающего утечку информации за счет побочных электромагнитных излучений (ПЭМИН). Экранированные помещения обеспечивают защиту от перехвата информации техническими средствами разведки и являются обязательным элементом при работе с информацией высокой степени секретности.
Акустоэлектрическая защита как специализированное направление безопасности
Акустоэлектрическая защита направлена на предотвращение утечки информации через акустические и виброакустические каналы. Этот вид защиты особенно важен в помещениях, предназначенных для ведения секретных переговоров и обсуждения конфиденциальной информации.
Принцип акустоэлектрической защиты заключается в создании активных помех, маскирующих речевые сигналы и вибрации, или в пассивном подавлении акустических сигналов с помощью специальных конструкций и материалов. Также необходима защита от "микрофонного эффекта" возможности перехвата акустических сигналов с помощью технических средств, встроенных в оборудование или конструктивные элементы помещения.
Проведение специальных исследований помещений на наличие закладных устройств и оценка защищенности от акустической утечки являются обязательными элементами подготовки объектов информатизации к аттестации. Без подтверждения эффективности акустоэлектрической защиты получение аттестата соответствия для помещений, предназначенных для ведения закрытых переговоров, невозможно.
Экранированное помещение! Требования и особенности создания
Экранированное помещение это специально оборудованное пространство, в котором обеспечена защита от проникновения и утечки электромагнитной энергии. Основная цель создания экранированного помещения предотвращение утечки информации по каналам побочных электромагнитных излучений и наводок, а также защита от внешних электромагнитных воздействий.
Создание экранированного помещения требует использования специальных строительных материалов и конструкций, обеспечивающих непрерывность экрана. Экранирующие свойства помещения должны быть подтверждены результатами специальных исследований, которые проводятся аккредитованными лабораториями.
Оборудование экранированных помещений дорогостоящий и технически сложный процесс, требующий привлечения специализированных организаций, имеющих соответствующие лицензии. Важно учитывать, что экранирующие свойства должны сохраняться в течение всего срока эксплуатации помещения, что требует регулярного контроля и технического обслуживания.
Категорирование объектов информатизации и определение уровня защищенности
Категорирование объектов информатизации процесс определения уровня значимости обрабатываемой информации и установления соответствующих требований к защите. Результатом категорирования является отнесение объекта к определенной категории, которая определяет необходимый набор организационных и технических мер защиты.
При категорировании учитываются несколько факторов: вид обрабатываемой информации (государственная тайна, служебная тайна, персональные данные), степень секретности, масштаб информационной системы, количество пользователей, имеющих доступ к информации. В зависимости от этих параметров устанавливаются требования к классу защищенности объекта и используемым средствам защиты информации.
Акт категорирования разрабатывается до начала аттестационных испытаний и является одним из ключевых документов, определяющих состав необходимых мероприятий по защите информации. При изменении условий обработки информации (например, при подключении новых пользователей или расширении функционала системы) категорирование должно проводиться повторно.
Контролируемая зона- организация и значение
Контролируемая зона это пространство вокруг объекта информатизации, в пределах которого возможен перехват информации техническими средствами разведки. Организация контролируемой зоны является обязательным требованием при работе с информацией, составляющей государственную тайну.
Границы контролируемой зоны определяются на основе расчетов возможного перехвата сигналов техническими средствами разведки. В пределах контролируемой зоны устанавливается специальный режим, ограничивающий доступ посторонних лиц и использование технических средств, способных вызвать утечку информации.
Для контроля за соблюдением режима контролируемой зоны проводится постоянный мониторинг электромагнитной обстановки, проверки на наличие закладных устройств и регулярная оценка эффективности применяемых средств защиты. Нарушение режима контролируемой зоны может стать основанием для приостановления действия аттестата соответствия и применения мер административной ответственности.
Советы по подготовке к получению лицензии ФСБ
При подготовке к получению лицензии ФСБ необходимо учитывать основные ошибки, которые часто приводят к отказам. Самая распространенная ошибка выбор лицензии по названию услуги, а не по фактическому содержанию выполняемых работ. Необходимо сначала разложить услугу на операции, сопоставить их с нормативными перечнями, и только затем определять необходимый вид лицензии.
Нельзя смешивать лицензии ФСБ и ФСТЭК России: если деятельность связана с криптографией и работой с государственной тайной это компетенция ФСБ; техническая защита конфиденциальной информации относится к ведению ФСТЭК России. Для корректного определения необходимого вида лицензии следует провести анализ всех аспектов планируемой деятельности.
Еще одна частая ошибка включение в заявку неподтвержденных видов работ. Расширенный перечень в заявлении не создает "запаса" разрешений без выполнения требований. Если для части работ нет специалистов, материально-технической базы или внутренних процедур, проверка выявит несоответствие.
- Критически важно проверить соответствие адресов в заявлении и в подтверждающих документах: юридический адрес и фактическое место выполнения лицензируемых работ могут различаться. Договоры, документы на оборудование и внутренние акты должны быть согласованы с фактическими местами работы.
- Также необходимо следить за актуальностью нормативной базы: собирать документы по устаревшим шаблонам прямой путь к отказу в лицензии. Перед направлением заявления следует проверить действующие редакции нормативных актов, форму заявления и допустимый способ подачи документов.
- Лицензирование ФСБ России это не просто формальная процедура сбора документов, а комплексный процесс, требующий системной работы по всем направлениям обеспечения информационной безопасности.
Организации, серьезно подходящие к этому вопросу, не только успешно проходят проверки, но и получают надежную основу для долгосрочной работы с защищаемой информацией любого уровня конфиденциальности.