Как получить лицензию ФСТЭК (по техническому и экспортному контролю) — СКБ Контур

Процесс сертификации можно представить в виде пяти основных шагов:

1. Свяжитесь с одним или с несколькими FSC аккредитованными органами по сертификации, работающими в России (контактные данные здесь). Орган по сертификации предоставит вам информацию о требованиях к сертификации FSC. Чтобы оценить время, которое потребуется вам на подготовку к сертификации, и ее стоимость, органу по сертификации понадобятся некоторые основные сведения о вашей деятельности.

2. Вы должны самостоятельно решить, с каким органом по сертификации вы хотите работать, и подписать с ним соответствующий договор.

3. Следующим шагом является собственно сертификационный (основной) аудит, или основная оценка. Он проводится органом по сертификации для оценки готовности вашей компании к сертификации.

4. На основе данных сертификационного аудита составляется отчет об аудите, на основании которого орган по сертификации принимает решение по сертификации.

5. Если решение положительное, то вы получаете сертификат FSC. Если в результате проверки выяснилось, что ваша деятельность еще не приведена в соответствие с требованиями FSC, то после устранения несоответствий в своей деятельности, указанных в отчете, вы можете пройти повторный аудит.

Сертификаты FSC действительны в течение пяти лет. Ежегодно выбранный вами FSC аккредитованный орган по сертификации проводит у вас так называемый надзорный (контрольный) аудит для проверки вашего постоянного соответствия требованиям FSC сертификации.

В некоторых случаях (например, при появлении информации о значительных несоответствиях в промежутке между надзорными аудитами) могут проводиться дополнительные проверки обоснованности выдачи сертификатов. Через 5 лет проводится ресертификация – то есть, вам опять нужно будет пройти полный сертификационный аудит.

Здесь описаны только ключевые шаги процесса сертификации, в деталях процесс является более сложным. Эти шаги одинаковы как для сертификации лесоуправления, так и для сертификации цепочки поставок. При сертификации лесоуправления может потребоваться так называемый предварительный аудит (проводится перед собственно сертификационным аудитом).

Он обязателен в случаях, когда площадь арендной базы превышает 50 000 га и/или в арендной базе присутствуют леса высокой природоохранной ценности (ЛВПЦ). Предварительный аудит также может быть проведен и по инициативе органа по сертификации. При сертификации цепочки поставок предварительный аудит не требуется, однако в некоторых случаях он также целесообразен.

Органы по сертификации имеют право проводить сертификацию только в разрешенных областях (сертификация лесоуправления, сертификация цепочки) и в определенных географических регионах.

Камни преткновения

Во время работ по лицензированию организации сталкиваются с тремя основными сложностями:

1. Оборудование. Для выполнения работ и оказания услуг по аттестации защищаемых помещений и автоматизированных систем необходимо закупить (иметь в собственности или на любом ином законном основании) оборудование. Стоимость комплекта варьируется, но составляет около миллиона рублей. И если начать работы по лицензированию с покупки оборудования, то к моменту подачи заявления может оказаться так, что его придется заново поверять (сертификаты о поверке действительны один год). Можно попытаться сэкономить и взять оборудование в аренду, но она должна быть специальным образом оформлена. Требуется периодически подтверждать владение оборудованием, заключать дополнительные соглашения к договорам аренды о том, что оборудование находится именно у арендатора. Минус варианта с арендой в том, что он снижает шансы на получение лицензии — велика вероятность оформить отношения неверно и получить отказ.
2. Аренда помещений. Если соискатель лицензии арендует помещение у субарендатора, то необходимо представлять всю цепочку документов вплоть до владельца помещения. Также необходимо следить за тем, чтобы фактические номера помещений совпадали с кадастровыми, чтобы помещения однозначно идентифицировались исходя из одних лишь документов.
3. Кадровая документация. У сотрудников должны быть дипломы о высшем профессиональном образовании в области технической защиты информации и стаж более трех лет либо диплом о высшем образовании с курсов переподготовки / о высшем техническом образовании и стаж более пяти лет. Сотрудников должно быть не менее трех, и они должны быть трудоустроены у соискателя по основному месту работы.

Лайфхак по успешному лицензированию

Для того чтобы получить лицензию, а затем успешно проходить в случае необходимости плановые проверки ФСТЭК на соблюдение требований, предлагаем учесть ряд моментов:

1. Оборудование (если оно необходимо для выбранного вами вида деятельности) лучше покупать, а не брать в аренду.
2. Постоянно следить за изменениями в законодательной базе и поддерживать документацию в актуальном состоянии, в том числе периодически обновлять и докупать ГОСТы (информация об этом не является тайной, официальный сайт ФСТЭК России открыт для всех).
3. Своевременно обновлять антивирусное ПО и лицензии на контрольно-измерительное программное обеспечение и оборудование.
4. Вовремя проводить переаттестацию помещений и автоматизированных систем, поскольку аттестаты действительны максимум три года.

Первичное получение лицензии и плановая проверка: отличия

Когда соискатель впервые получает лицензию, то связь с лицензирующим органом дистанционная: стороны обмениваются документами и общаются по телефону. Никаких личных визитов контролирующие органы соискателю не наносят.

Плановая проверка может проводиться через три года после получения лицензии. В этом случае представители ФСТЭК изучают, существуют ли в реальности кадры, помещения, оборудование и ПО, которые были заявлены при получении лицензии. В том числе проводится оценка знаний и компетенций кадров, заявленных в документах на получение лицензии.

Проверяющие могут запросить перечень аттестатов, которые выдала аттестующая организация (в случае если такой виде деятельности есть в лицензии), а также перечень клиентов, которым выданы эти аттестаты. Таким образом контролирующие органы удостоверяются, действительно ли аттестующая организация оказала эти услуги и насколько они качественные.

Возможна также внеплановая проверка, которая проводится в любое время по заявлению граждан, юридических лиц, прокуратуры или по решению суда.

Получение сертификата fsc – только первый шаг. необходимо регулярно подтверждать соответствие стандартам fsc, которые применяются в вашей организации.

Вот несколько важных советов:

1. На вашем предприятии должен быть ответственный за сертификацию – человек, обязанностью которого является постоянная поддержка в рабочем состоянии системы управления, отвечающей необходимым требованиям FSC; эта система включает:

• управленческие решения
• необходимые документы (процедуры, инструкции, правила), обеспечивающие выполнение требований выбранных стандартов FSC
• обучение работников их применению согласно обязанностям каждого
• контроль (мониторинг) их применения
• внесение изменений в документы по результатам мониторинга, если необходимо.

2. Важно, чтобы ответственный за сертификацию обладал необходимыми для этого полномочиями и ресурсами (временными, материальными, кадровыми); для этого нужно, чтобы руководство предприятия осознавало необходимость постоянного поддержания сертификата, и было готово обеспечить ответственного всем необходимым;

3. Позаботьтесь также о том, чтобы не только ответственный за сертификацию, но и ключевые работники вашего предприятия были знакомы с основными требованиями FSC, которые применяются на предприятии; важные документы, связанные с сертификацией (договор с органом по сертификации, стандарты FSC, по которым вы работаете, процедуры, инструкции и др.) должны быть всегда доступны не только ответственному за сертификацию, но и ключевым сотрудникам, иначе в случае кадровых изменений может возникнуть риск сбоев в работе системы, что может привести к потере сертификата;

4. FSC – живая и развивающаяся система. Стандарты FSC и другие документы регулярно обновляются, пересматриваются, совершенствуются. Необходим постоянный мониторинг того, что происходит в системе; актуальная информация размещается на сайте FSC России и в наших информационных рассылках.

Работы по лицензированию: цена вопроса

С 1 января 2021 года госпошлина за первичное получение лицензии ФСТЭК на деятельность по технической защите конфиденциальной информации составляет 7 500 рублей, за продление — 3 500 рублей. Это неизбежные расходы и наименее затратная часть работ.

В соответствии с требованиями регламента по лицензированию необходимо провести аттестации и разработку документов по аттестации защищаемого помещения и автоматизированной системы обработки конфиденциальной информации. Эти услуги оказывают лицензиаты ФСТЭК, например представители проекта Контур.Безопасность.

В комплекс услуг входят: