Про затвердження Інструкції щодо умов і правил здійснення діяльності у галузі технічного захисту інформації та контролю за їх дотриманням

У відповідності із законами України "Про підприємництво" (з доповненням від 16 грудня 1993 року N 3713-12), "Про інформацію" та "Про державну таємницю", постанов Кабінету Міністрів України від 2 березня 1993 р. N 156 "Про Державну службу України з питань технічного захисту інформації" та від 17 травня 1994 р. N 316 "Про Положення про порядок видачі суб'єктам підприємницької діяльності спеціальних дозволів (ліцензій) на здійснення окремих видів діяльності" Державною службою України з питань технічного захисту інформації розроблена та узгоджена з Державним комітетом України по сприянню малим підприємствам та підприємництву і Антимонопольним комітетом України Інструкція щодо умов і правил здійснення діяльності у галузі технічного захисту інформації та контролю за їх дотриманням.

З метою організації ліцензування діяльності по виробництву та сервісному обслуговуванню систем і засобів, виконанню робіт, наданню послуг, що забезпечують технічний захист інформації

1. Затвердити Інструкцію щодо умов і правил здійснення діяльності у галузі технічного захисту інформації та контролю за їх дотриманням (додається).

2. Контроль за виконанням цього наказу покласти на Першого заступника Голови Служби Баранова О.А.

1.1. Інструкція розроблена відповідно до законів України "Про підприємництво" (з доповненням від 16 грудня 1993 року N 3713-12, "Про інформацію" та "Про державну таємницю", постанов Кабінету Міністрів України від 2 березня 1993 року N 156 "Про Державну службу України з питань технічного захисту інформації" та від 17 травня 1994 року N 316 "Про Положення про порядок видачі суб'єктам підприємницької діяльності спеціальних дозволів (ліцензій) на здійснення окремих видів діяльності".

1.2. Інструкція визначає умови і правила здійснення діяльності у галузі технічного захисту інформації по виробництву та сервісному обслуговуванню систем і засобів, виконанню робіт, наданню послуг, що забезпечують технічний захист інформації.

1.3. Під діяльністю у галузі технічного захисту інформації, умови і правила на яку визначені цією Інструкцією, слід розуміти діяльність суб'єкта підприємництва по виробництву та сервісному обслуговуванню систем і засобів, виконанню робіт, наданню послуг, що забезпечують технічний захист інформації за договорами, які можуть включати в різних поєднаннях:

дослідження та атестацію технічних засобів, призначених для передавання, обробки, зберігання мовної інформації з обмеженим доступом та допоміжних засобів і систем, а також автоматизованих систем і засобів обчислювальної техніки, в яких циркулює інформація з обмеженим доступом;

дослідження та атестацію засобів технічного захисту інформації - апаратури, програмних продуктів, апаратно-програмних комплексів та систем, що забезпечують безпеку інформації з обмеженим доступом, а також інформації, захист якої гарантується державою, в засобах та мережах її формування, перетворення, передачі, відображення та зберігання;

атестацію, перевірку виділених приміщень на наявність каналів витоку мовної інформації з обмеженим доступом;

атестацію, перевірку виділених приміщень, технічних засобів спеціального і загального призначення на наявність закладних пристроїв, призначених для знімання інформації з обмеженим доступом по акустичних та інших каналах;

атестацію, перевірку виділених приміщень на наявність каналів витоку інформації шляхом приймання й аналізу побічних електромагнітних випромінювань і наводок;

виробництво захищених засобів, засобів технічного захисту інформації, включаючи апаратно-програмні;

установку, монтаж, наладку захищених засобів, засобів технічного захисту інформації на об'єктах замовника;

створення, впровадження і супроводження програмних засобів технічного захисту інформації у засобах обчислювальної техніки та автоматизованих мережах.

1.4. Видача ліцензій на здійснення діяльності у галузі технічного захисту інформації проводиться Державною службою України з питань технічного захисту інформації (далі - Державна служба).

2.1. Суб'єкти підприємницької діяльності подають до Державної служби заяви встановленого зразка (додаток 1).

До заяви додаються:

а) юридичними особами - копії засновницьких документів, відомості про суб'єкт підприємницької діяльності (додаток 2);

б) громадянами - копії документів, що підтверджують рівень освіти та кваліфікацію, які необхідні для здійснення обраного виду діяльності.

2.2. Державна служба розглядає заяви на видачу ліцензій суб'єктам підприємницької діяльності у такому порядку:

приймає заяву та перевіряє відповідність поданих матеріалів чинному законодавству;

проводить перевірку створення заявником умов для здійснення обраного виду діяльності у галузі технічного захисту інформації згідно з вимогами р.5 цієї Інструкції;

приймає рішення і видає ліцензію або відмовляє у її видачі.

2.3. У рішенні про відмову у видачі ліцензії вказуються підстави такої відмови, викладені письмово.

2.4. Рішення про видачу ліцензії або відмову у її видачі приймається Центральною ліцензійною комісією Державної служби та оформлюється протоколом засідання.

2.5. За видачу ліцензії встановлюється плата згідно з чинним законодавством.

Квитанція банку про оплату пред'являється під час отримання ліцензії.

3.1. У залежності від правового режиму інформації, до якої має доступ суб'єкт підприємницької діяльності, встановлюються дві категорії ліцензій:

ліцензія І категорії (додаток 3) надає право здійснювати діяльність з технічного захисту таємної інформації і видається за наявності у юридичних осіб дозволу (ліцензії) на право здійснення діяльності, пов'язаної з державною таємницею, виданого Державним комітетом України з питань державних секретів;

ліцензія ІІ категорії (додаток 4) надає право здійснювати діяльність з технічного захисту конфіденціальної інформації.

3.2. У ліцензіях зазначаються прізвище, ім'я, по батькові, адреса проживання громадянина, або найменування і місце знаходження юридичної особи, вид діяльності, на яку видається ліцензія, місце її здійснення, особливі умови та правила здійснення даного виду діяльності, номер реєстрації ліцензії, дата її видачі, термін дії.

Термін дії ліцензії встановлюється Державною службою, але не може бути менше трьох років.

3.3. Після припинення суб'єктом підприємництва своєї діяльності ліцензія втрачає силу.

Рішення про зупинення дії ліцензії чи її анулювання може бути оскаржено підприємцем до суду або арбітражного суду.

При здійсненні діяльності у галузі технічного захисту інформації суб'єкти підприємницької діяльності повинні дотримуватись таких умов:

залучати до роботи штатних чи найнятих за договором спеціалістів, які мають вищу технічну освіту та практичні навики виконання діяльності у галузі технічного захисту інформації згідно з чинними нормативними, технічними та методичними документами у цій галузі;

використовувати власні чи орендовані засоби вимірювань і контролю в обсязі достатньому для проведення вимірювань параметрів технічних засобів;

мати (при необхідності) власні чи орендовані спеціальні приміщення, призначені для проведення вимірювань при дослідженнях технічних засобів, призначених для передавання, обробки, зберігання інформації з обмеженим доступом і засобів технічного захисту інформації;

мати (при необхідності) режимно-секретний орган або спеціально призначену особу, яка виконує функціональні обов'язки з питань організації режимно-секретної діяльності для збереження документів та інформації з обмеженим доступом;

мати необхідну нормативну, технічну та методичну документацію, що забезпечує виконання обраного ввиду діяльності згідно з державними стандартами України;

мати виробничу базу та документацію, які дозволяють організувати виробництво захищених засобів, засобів технічного захисту інформації, включаючи апаратно-програмні згідно з державними стандартами України.

При здійсненні діяльності відповідно до одержаної ліцензії суб'єкти підприємницької діяльності повинні дотримуватись таких правил:

виконувати вимоги нормативних, технічних та методичних документів, які регламентують здійснення діяльності у галузі технічного захисту інформації;

негайно повідомляти підприємства, установи, організації та Державну службу про виявлення закладних пристроїв в електронно-обчислювальній техніці та виділених приміщеннях;

у місячний строк інформувати Державну службу про роботи з технічного захисту таємної інформації, проведені суб'єктом підприємницької діяльності на підприємствах, в установах і в організаціях;

кожне півріччя подавати в Державну службу перелік об'єктів, на яких проведено роботи з технічного захисту конфіденціальної інформації;

надавати послуги у галузі технічного захисту інформації лише за письмово укладеними господарськими договорами;

використовувати тільки ті технічні засоби захисту інформації, які мають сертифікат відповідності цих засобів нормативам технічної захищеності;

не передавати ліцензію для використання іншим юридичним (фізичним) особам.

7.1. Контроль за дотриманням суб'єктами підприємництва умов і правил здійснення діяльності у галузі технічного захисту інформації здійснює Державна служба.

7.2. У випадку порушення суб'єктом підприємництва умов і правил здійснення діяльності у галузі технічного захисту інформації Державна служба видає обов'язкові для виконання розпорядження щодо усунення порушень чи зупиняє її дію на визначений термін або до усунення цих порушень.

7.3. У разі повторного або грубого порушення суб'єктом підприємництва умов і правил здійснення обраного ним виду діяльності ліцензія може бути анульована Державною службою.

До грубих порушень умов і правил здійснення діяльності у галузі технічного захисту інформації відносяться:

порушення норм технічного захисту інформації або невиконання рекомендацій методик перевірки ефективності захисту;

використання несправної, неповіреної в установлені строки контрольно-вимірювальної апаратури;

використання несертифікованих засобів технічного захисту інформації;

виконання робіт з установки, монтажу, наладки захищених засобів, засобів технічного захисту інформації на об'єктах замовника з порушенням вимог проектної документації;

невиконання повного обсягу робіт з технічного захисту інформації передбаченого договором;

залучення до виконання робіт з технічного захисту інформації спеціалістів, які не відповідають вимогам цієї Інструкції;

необгрунтована оцінка можливостей витоку інформації при її зберіганні, обробці, передачі і відображенні;

несвоєчасне інформування Державної служби про роботи з технічного захисту таємної інформації проведені суб'єктом підприємництва на підприємствах, в установах і організаціях;

невиконання наказів, розпоряджень Державної служби, що стосуються умов та правил виконання робіт з технічного захисту інформації.