Про затвердження Ліцензійних умов провадження господарської діяльності з розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг у галузі технічного захисту інформації

Відповідно до статей 8 та 9 Закону України "Про ліцензування певних видів господарської діяльності", статті 17 Закону України "Про Державну службу спеціального зв'язку та захисту інформації України"

1. Затвердити Ліцензійні умови провадження господарської діяльності з розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг в галузі технічного захисту інформації, що додаються.

2. Департаменту ліцензування Державного комітету України з питань регуляторної політики та підприємництва (Іванченко О.Б.), Департаменту регулювання діяльності у сфері технічного захисту інформації Адміністрації Державної служби спеціального зв'язку та захисту інформації України (Діхтяренко М.Д.) в установленому порядку забезпечити подання цього наказу на державну реєстрацію до Міністерства юстиції України.

3. Директору Департаменту регулювання діяльності у сфері технічного захисту інформації Адміністрації Державної служби спеціального зв'язку та захисту інформації України (Діхтяренко М.Д.) забезпечити публікацію цього наказу в засобах масової інформації.

4. Визнати таким, що втратив чинність, наказ Державного комітету України з питань регуляторної політики та підприємництва та Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 29.12.2000 N 89/67 "Про затвердження Ліцензійних умов провадження господарської діяльності, пов'язаної з розробленням, виробництвом, впровадженням, обслуговуванням, дослідженням ефективності систем і засобів технічного захисту інформації, наданням послуг у галузі технічного захисту інформації", зареєстрований у Міністерстві юстиції України 20.01.2001 за N 50/5241.

5. Контроль за виконанням цього наказу покласти на заступника Голови Державного комітету України з питань регуляторної політики та підприємництва Приступу М.І. та заступника Голови Державної служби спеціального зв'язку та захисту інформації України Фролова О.В.

1.1. Ліцензійні умови провадження господарської діяльності з розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг у галузі технічного захисту інформації (далі - Ліцензійні умови) розроблені відповідно до Законів України "Про ліцензування певних видів господарської діяльності", "Про захист інформації в інформаційно-телекомунікаційних системах", "Про державну таємницю", "Про Державну службу спеціального зв'язку та захисту інформації України".

1.2. Ліцензійні умови визначають кваліфікаційні, організаційні, технологічні та інші вимоги до суб'єктів господарювання, виконання яких є обов'язковою умовою провадження видів робіт та надання видів послуг у межах господарської діяльності з розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг у галузі технічного захисту інформації (далі - господарська діяльність у галузі ТЗІ).

1.3. Суб'єкт господарювання може провадити господарську діяльність у галузі ТЗІ з усіх або з окремих видів робіт, визначених цими Ліцензійними умовами.

Якщо суб'єкт господарювання провадить господарську діяльність у галузі ТЗІ з окремих видів робіт, Ліцензійні умови поширюються на нього в частині, що встановлює вимоги до провадження обраних ним видів робіт.

1.4. Здійснення господарської діяльності у галузі ТЗІ без ліцензії, після закінчення строку дії ліцензії, визнання ліцензії недійсною або її анулювання не допускається.

1.5. У разі наявності у суб'єкта господарювання філій, інших відокремлених підрозділів, які провадитимуть господарську діяльність у галузі ТЗІ за видами робіт, визначеними цими Ліцензійними умовами, загальне керівництво провадженням ними зазначеної діяльності здійснює суб'єкт господарювання, у тому числі забезпечує їх відповідність цим Ліцензійним умовам.

1.6. Наявність у суб'єкта господарювання ліцензії Адміністрації Державної служби спеціального зв'язку та захисту інформації України (далі - Адміністрація Держспецзв'язку) на види робіт у галузі ТЗІ, визначені у пунктах 3.1, 3.2, 3.7 Ліцензійних умов, надає йому право проводити атестацію комплексів технічного захисту інформації від витоку технічними каналами на об'єктах інформаційної діяльності.

У Ліцензійних умовах наведені нижче терміни вживаються у такому значенні:

комплекс (система) ТЗІ - сукупність заходів та засобів, призначених для реалізації ТЗІ на об'єкті інформаційної діяльності;

засоби технічного захисту інформації - технічні засоби, основним функціональним призначенням яких є захист інформації від загроз витоку, порушення цілісності та блокування; технічні засоби, у яких додатково до основного призначення передбачено функції захисту інформації, засоби, що призначені, спеціально розроблені або пристосовані для пошуку закладних пристроїв, які створюють загрозу для інформації, або контролю ефективності технічного захисту інформації;

закладний пристрій - потай установлений технічний засіб, який створює загрозу для інформації;

розроблення комплексу (системи) ТЗІ - стадія життєвого циклу комплексу (системи), яка пов'язана зі складанням технічного завдання, ескізним, технічним (ескізно-технічним), робочим проектуванням, розробленням експлуатаційної документації, програм і методик приймальних (атестаційних) випробувань;

впровадження комплексу (системи) ТЗІ - стадія життєвого циклу комплексу (системи), яка пов'язана із реалізацією передбачених проектною документацією інженерно-технічних заходів, проведенням приймальних (атестаційних) випробувань, складанням акта прийняття комплексу (системи) в експлуатацію;

дослідження ефективності комплексу (системи) ТЗІ (оцінювання захищеності інформації) - визначення відповідності фактичного рівня ТЗІ, який забезпечується комплексом (системою), вимогам нормативних документів з ТЗІ;

обслуговування (супроводження) комплексу (системи) ТЗІ - забезпечення функціонування комплексу (системи) після його впровадження згідно з експлуатаційною документацією.

Терміни "технічний захист інформації", "комплексна система захисту інформації", "об'єкт інформаційної діяльності", "інформаційно-телекомунікаційна система" вживаються у значеннях, наведених у Законах України "Про захист інформації в інформаційно-телекомунікаційних системах", "Про Державну службу спеціального зв'язку та захисту інформації України".

3.1. Розроблення, впровадження, дослідження ефективності, обслуговування на об'єктах інформаційної діяльності комплексів (систем) технічного захисту інформації, носіями якої є акустичні поля, надання консультативних послуг.

3.2. Розроблення, впровадження, дослідження ефективності, обслуговування на об'єктах інформаційної діяльності комплексів (систем) технічного захисту інформації, носіями якої є електромагнітні поля та електричні сигнали, надання консультативних послуг.

3.3. Розроблення, виробництво, впровадження, дослідження ефективності, супроводження засобів та комплексів технічного захисту інформації в інформаційних системах, інформаційних технологій із захистом інформації від несанкціонованого доступу, надання консультативних послуг.

3.4. Виявлення та блокування витоку мовної та видової інформації через закладні пристрої на об'єктах інформаційної діяльності, надання консультативних послуг.

3.5. Виробництво засобів забезпечення технічного захисту інформації, носіями якої є акустичні поля.

3.6. Виробництво засобів забезпечення технічного захисту інформації, носіями якої є електромагнітні поля та електричні сигнали.

3.7. Розроблення, впровадження, дослідження ефективності, обслуговування на об'єктах інформаційної діяльності комплексів (систем) технічного захисту інформації, носіями якої є хімічні речовини, надання консультативних послуг.

4.1. Суб'єкт господарювання повинен мати штатних або найманих за договором спеціалістів, що відповідають заявленому виду діяльності та обсягу робіт за кількістю, освітою, стажем роботи.

Спеціалісти, для виконання видів робіт, визначених пунктами 3.1-3.4, 3.7, повинні мати повну чи базову вищу освіту за напрямом підготовки "Інформаційна безпека" або інженерно-технічну освіту фахового спрямування відповідного обраному виду роботи з додатковою підготовкою на курсах перепідготовки та підвищення кваліфікації фахівців з питань ТЗІ чи стажем роботи у галузі ТЗІ за обраним видом роботи не менше 5 років.

Для виконання видів робіт, визначених пунктами 3.5, 3.6, суб'єкт господарювання повинен мати:

керівника роботи з повною чи базовою вищою освітою за напрямом підготовки "Інформаційна безпека" або інженерно-технічною освітою відповідного фахового спрямування з додатковою підготовкою на курсах перепідготовки та підвищення кваліфікації фахівців з питань ТЗІ і стажем роботи на інженерних та (або) наукових посадах не менше 5 років;

спеціалістів з повною чи базовою вищою освітою за напрямом підготовки "Інформаційна безпека" або з повною (неповною) чи базовою вищою інженерно-технічною освітою відповідного фахового спрямування з додатковою підготовкою на курсах перепідготовки та підвищення кваліфікації фахівців з питань ТЗІ і стажем роботи на відповідних посадах не менше 1 року.

4.2. Спеціалісти повинні знати:

положення нормативно-правових актів та нормативних документів з питань ТЗІ, що регламентують проведення обраних видів робіт;

принципи роботи і технічні характеристики засобів забезпечення ТЗІ, засобів вимірювальної техніки, контролю, допоміжних засобів та обладнання (далі - обладнання), що забезпечують виконання обраних видів робіт;

технологію виробництва відповідно до своїх функціональних обов'язків (для видів робіт, визначених пунктами 3.5, 3.6).

4.3. Спеціалісти відповідно до своїх функціональних обов'язків повинні вміти:

користуватися наявним обладнанням;

здійснювати обробку результатів робіт та оформляти звітні (підсумкові) документи.

4.4. Спеціалісти повинні забезпечувати проведення повного циклу (всіх стадій) виробництва засобів забезпечення ТЗІ, що може бути пов'язаним (містити у себе) з впровадженням технології виробництва, комплектуванням, виготовленням, випробуванням та контролем за забезпеченням якості (для видів робіт, визначених пунктами 3.5, 3.6).

5.1. Примірники звітних документів (протоколи, приписи, акти тощо) за результатами усіх виконаних за ліцензією робіт повинні зберігатися протягом 5 років.

5.2. Порядок виробництва засобів забезпечення ТЗІ повинен відповідати вимогам стандартів системи розроблення і поставлення продукції на виробництво (у частині, що стосується виробництва), інших нормативних документів.

6.1. Суб'єкт господарювання повинен мати в обсязі, що забезпечує проведення обраних видів робіт:

нормативно-правову базу (нормативно-правові акти та нормативні документи з питань ТЗІ, нормативні документи системи розроблення та поставлення продукції на виробництво), що забезпечує проведення обраного виду робіт;

власне або орендоване згідно з довгостроковими договорами обладнання, в тому числі повірені засоби вимірювальної техніки. Склад обладнання повинен забезпечувати виконання обраних видів робіт;

атестовану відповідно до вимог законодавства України в сфері метрології вимірювальну лабораторію для проведення вимірювань, результати яких використовуються під час виконання обраних видів робіт (за необхідності);

власну або таку, що використовується на інших законних підставах, виробничу базу, яка забезпечена виробничим, технологічним і контрольно-вимірювальним обладнанням, засобами випробування, технічною і технологічною документацією та дає змогу виготовляти, випробовувати та проводити контроль якості засобів забезпечення ТЗІ згідно з вимогами державних стандартів, нормативно-правових актів та нормативних документів на ці засоби, узгоджених, затверджених та зареєстрованих відповідно до чинного законодавства (для видів робіт, визначених пунктами 3.5, 3.6).

6.2. Суб'єкт господарювання повинен виконувати вимоги нормативно-правових актів та нормативних документів з питань ТЗІ, які регламентують проведення обраних видів робіт.

6.3. Суб'єкт господарювання повинен розробити з урахуванням апаратурного забезпечення та погодити із Адміністрацією Держспецзв'язку Методику виявлення технічних каналів витоку мовної та видової інформації, що утворюються за рахунок несанкціонованого використання закладних пристроїв (для виду роботи, визначеного пунктом 3.4).

7.1. Залежно від важливості інформації для особи, суспільства, держави та правового режиму доступу до інформації встановлюються особливі умови провадження робіт у межах господарської діяльності у галузі ТЗІ:

з наданням права провадження робіт у галузі технічного захисту інформації усіх видів, у тому числі інформації, що містить відомості, які становлять державну таємницю;

з наданням права провадження робіт у галузі технічного захисту інформації, що не містить відомостей, які становлять державну таємницю.

7.2. Для провадження робіт із технічного захисту інформації усіх видів, у тому числі інформації, що містить відомості, які становлять державну таємницю, суб'єкт господарювання, його філії, інші відокремлені підрозділи повинні мати:

спеціальний дозвіл на провадження діяльності, пов'язаної з державною таємницею;

допуски до державної таємниці на спеціалістів, що залучаються до виконання робіт, пов'язаних із державною таємницею;

приміщення, для проведення секретних нарад, обговорень та робіт, зі створеними та атестованими на відповідність вимогам нормативних документів з ТЗІ комплексами з ТЗІ від витоку технічними каналами та (або) технічні засоби обробки секретної інформації, в тому числі інформаційні та інформаційно-телекомунікаційні системи, в яких створено комплексну систему захисту інформації з підтвердженою відповідністю (за потреби).

7.3. Виконання робіт із технічного захисту секретної інформації дозволяється в межах терміну дії спеціального дозволу на здійснення діяльності, пов'язаної з державною таємницею, та допусків до державної таємниці для спеціалістів, що залучаються до виконання робіт, пов'язаних із державною таємницею.

7.4. При виконанні робіт за пунктом 3.4 на об'єктах інформаційної діяльності, на яких циркулює інформація, що містить відомості, які становлять державну таємницю, а також у державних органах та установах ліцензіат зобов'язаний:

терміново (телефонним зв'язком та не пізніше наступного дня письмово) інформувати Службу безпеки України про виявлення закладних пристроїв;

до початку подальших дій, які будуть визначені Службою безпеки України за фактом виявлення закладних пристроїв, забезпечувати їх схоронність у стані, в якому вони були на час виявлення.

7.5. При виконанні робіт за пунктом 3.4 на об'єктах інформаційної діяльності, що не належать державним органам чи установам та на яких циркулює інформація, що не містить відомостей, які становлять державну таємницю, ліцензіат зобов'язаний рекомендувати замовнику робіт у разі виявлення закладних пристроїв інформувати про це Службу безпеки України та попереджати його про обов'язкове їх вилучення.

За згоди замовника робіт з наданими рекомендаціями при виявленні закладних пристроїв проводяться дії відповідно до пункту 7.4.

За незгоди замовника робіт з наданими рекомендаціями виявлені закладні пристрої вилучаються та передаються до Служби безпеки України за актом приймання-передачі. У разі недоцільності чи неможливості вилучення здійснюється їх знищення за актом, який затверджується керівником ліцензіату.

7.6. При виконанні робіт за пунктом 3.4 відомості про факти виявлення закладних пристроїв (тип та технічні характеристики закладних пристроїв, місце та спосіб встановлення, демаскуючі ознаки, спосіб та метод виявлення тощо) та виконання дій, встановлених пунктами 7.4, 7.5, ліцензіат зобов'язаний надавати до Адміністрації Держспецзв'язку письмово у тижневий термін після їх завершення.

8.1. Суб'єкт господарювання, який має намір провадити господарську діяльність у галузі ТЗІ та відповідає цим Ліцензійним умовам, подає до Адміністрації Держспецзв'язку заяву про видачу ліцензії на провадження господарської діяльності у галузі технічного захисту інформації (додаток 1).

До заяви про видачу ліцензії додаються:

копія свідоцтва про державну реєстрацію суб'єкта господарювання або копія довідки про внесення до Єдиного державного реєстру підприємств та організацій України, засвідчена нотаріально або органом, який видав оригінал документа;

відомості про кваліфікацію спеціалістів, які займаються (займатимуться) діяльністю у галузі ТЗІ (додаток 2);

перелік наявних засобів вимірювальної техніки та контролю, допоміжних засобів та обладнання, що забезпечують виконання обраних видів робіт (додаток 3);

перелік наявних нормативних документів з питань технічного захисту інформації, необхідних для провадження заявлених видів робіт (додаток 4).

Для отримання права провадження робіт у галузі технічного захисту інформації усіх видів, у тому числі інформації, що містить відомості, які становлять державну таємницю, до заяви також додаються:

засвідчена в установленому порядку копія дозволу на провадження виду господарської діяльності, пов'язаного з державною таємницею;

відомості про атестовані приміщення та (або) об'єкти електронно-обчислювальної техніки (додаток 5).

8.2. У разі створення у ліцензіата нової філії, іншого нового відокремленого підрозділу, які провадитимуть господарську діяльність у галузі ТЗІ згідно з отриманою ліцензією, ліцензіат повинен подати до Адміністрації Держспецзв'язку заяву про видачу копії ліцензії на провадження господарської діяльності у галузі технічного захисту інформації (додаток 6).

До заяви додаються документи, що визначені у пункті 8.1.

8.3. У разі виникнення підстав для переоформлення ліцензії, пов'язаних зі зміною найменування юридичної особи (якщо зміна найменування не пов'язана з її реорганізацією), місцезнаходження або з провадженням ліцензіатом видів робіт в межах господарської діяльності у галузі ТЗІ, що підлягають ліцензуванню, ліцензіат зобов'язаний подати до Адміністрації Держспецзв'язку заяву про переоформлення ліцензії на провадження господарської діяльності у галузі технічного захисту інформації (додаток 7) разом з ліцензією, що підлягає переоформленню, та відповідними документами або їх нотаріально засвідченими копіями, які підтверджують зазначені зміни.

У разі переоформлення ліцензії у зв'язку із змінами, пов'язаними з намірами ліцензіата розширити свою діяльність, до заяви додаються документи, що визначені у пункті 8.1.

8.4. У разі втрати або пошкодження ліцензії ліцензіат зобов'язаний звернутися до Адміністрації Держспецзв'язку із заявою про видачу дубліката ліцензії на провадження господарської діяльності у галузі технічного захисту інформації (додаток 8). До заяви в разі втрати ліцензії додається документ, що засвідчує внесення плати за видачу дубліката ліцензії, а в разі пошкодження - також непридатна для користування ліцензія.

8.5. Плата за видачу, переоформлення ліцензії, видачу копії, дубліката ліцензії вноситься суб'єктом господарювання на відповідний рахунок територіального органу Державного казначейства України за місцезнаходженням суб'єкта господарювання. Розмір та порядок зарахування плати за видачу, переоформлення ліцензії, видачу копії, дубліката ліцензії визначаються постановою Кабінету Міністрів України від 29.11.2000 N 1755 "Про термін дії ліцензії на провадження певних видів господарської діяльності, розміри і порядок зарахування плати за її видачу".

Оформлення та видача ліцензії (копії, дубліката) здійснюються Адміністрацією Держспецзв'язку після надходження від заявника (ліцензіата) документа, що підтверджує внесення плати за її видачу.

8.6. Про всі зміни даних, зазначених у документах, що додавалися до заяви про видачу ліцензії, ліцензіат зобов'язаний письмово повідомляти Адміністрацію Держспецзв'язку протягом десяти робочих днів з моменту виникнення таких змін разом з документами або їх нотаріально засвідченими копіями, які підтверджують зазначені зміни.

8.7. Відомості про зміст виконаних протягом року робіт з технічного захисту інформації за ліцензією (додаток 9) надаються ліцензіатом до Адміністрації Держспецзв'язку щорічно до 1 лютого наступного року.