Если компания создаёт продукт, который относится к средствам защиты информации, — межсетевой экран, систему обнаружения вторжений, средство контроля съёмных носителей, средство доверенной загрузки, — то её деятельность подпадает под отдельное лицензирование: разработка и производство средств защиты конфиденциальной информации. Это не та же лицензия, что на техническую защиту информации, и получают её по другому перечню требований.
Практический вопрос, с которым чаще всего приходят разработчики, звучит так: наш продукт вообще относится к СЗИ или нет? Между «обычным» софтом с функцией разграничения доступа и средством защиты информации граница не очевидна, а цена ошибки высокая — от невозможности участвовать в закупках до претензий по поводу безлицензионной деятельности. Отвечать на этот вопрос нужно до релиза, а не после.
Что входит в сопровождение:
- квалификация продукта: относится ли он к средствам защиты информации и по какому классу;
- определение, какие именно виды деятельности из перечня нужно лицензировать — разработка, производство или оба;
- аудит готовности: помещения, испытательное и контрольно-измерительное оборудование, персонал;
- подготовка комплекта документов и заявления в ФСТЭК России;
- организационно-распорядительные документы: система менеджмента разработки, учёт экземпляров, контроль изменений;
- сопровождение проверки и подготовка ответов на замечания;
- консультация по дальнейшей сертификации продукта — это отдельная от лицензии процедура.
Лицензия и сертификат — разные вещи
Их постоянно смешивают, а в закупках требуют и то и другое. Лицензия выдаётся организации и разрешает вид деятельности — разрабатывать и производить средства защиты. Сертификат соответствия выдаётся на конкретный продукт конкретной версии по результатам испытаний в аккредитованной лаборатории и подтверждает, что средство соответствует требованиям по безопасности информации.
Отсюда практическое следствие: наличие лицензии не даёт права поставлять несертифицированный продукт туда, где сертификат обязателен, а сертификат на старую версию не покрывает новую сборку. Планировать оба трека нужно вместе — сначала лицензия, параллельно подготовка к испытаниям, затем поддержание сертификата при обновлениях.
Кому это нужно
- вендорам средств защиты информации — собственный продукт, поставляемый заказчикам;
- разработчикам ПО с функциями защиты, которые выходят на корпоративный и государственный сегмент;
- производителям аппаратных решений — доверенная загрузка, защищённые носители, шлюзы;
- компаниям, локализующим производство зарубежного решения в России;
- тем, кто уже получил лицензию и добавляет новые виды деятельности или новые продукты.
Как мы работаем
- Изучаем продукт: функциональность, архитектуру, документацию, планируемых заказчиков и сценарии применения.
- Даём заключение о квалификации продукта и о необходимом перечне лицензируемых видов деятельности.
- Проводим аудит готовности компании и формируем план устранения расхождений.
- Готовим документы: заявление, сведения о помещениях, оборудовании и специалистах, внутренние регламенты.
- Подаём заявление, сопровождаем проверку соискателя.
- После получения лицензии консультируем по подготовке продукта к сертификационным испытаниям.
Сроки и стоимость
Сопровождение — от 120 000 ₽. Заключение о квалификации продукта готовится 5–7 рабочих дней и заказывается отдельно, если нужен только ответ на вопрос «нужна ли лицензия». Подготовка комплекта — от трёх недель. Срок рассмотрения заявления установлен регламентом ФСТЭК России; решение принимает ведомство, и результат мы не гарантируем. Испытания в лаборатории, оборудование и обучение оплачиваются отдельно.
Вопросы и ответы
Наш продукт — не антивирус, у него просто есть разграничение доступа. Нужна ли лицензия?
Зависит от заявленного назначения. Если функции защиты — вспомогательные и продукт не позиционируется как средство защиты информации, лицензирование обычно не требуется. Если вы продаёте эти функции как защитные и заказчик применяет продукт для выполнения требований по безопасности — вопрос становится другим. Это и есть предмет заключения о квалификации.
Нужна ли лицензия для продажи чужого продукта?
Дистрибуция как таковая не является разработкой или производством. Но если вы дорабатываете продукт, собираете сборки или обслуживаете его у заказчика — набор нужных лицензий меняется. Разбираем по фактическим действиям, а не по названию договора.
Можно ли разрабатывать на удалёнке, без офиса?
Лицензионные требования включают наличие помещений и оборудования, соответствующих установленным условиям. Полностью распределённая команда без помещений требованиям не отвечает, и это нужно решать до подачи заявления.
Сертификат нужен на каждую версию?
Сертификат выдаётся на конкретную версию. Обновления сопровождаются процедурами инспекционного контроля и поддержания сертификата — порядок нужно закладывать в цикл разработки заранее, иначе релизы окажутся вне сертифицированного периметра.
Есть ли требования к образованию разработчиков?
Да, к части специалистов предъявляются требования по профильному образованию в области информационной безопасности или по переподготовке, а также по стажу. Кадровый вопрос закрывается дольше всего, поэтому мы поднимаем его первым.
Получить консультацию
Расскажите, что за продукт вы разрабатываете и кому планируете поставлять. Скажем, нужна ли лицензия, какой перечень заявлять и как выстроить путь до сертификата. Оценка задачи бесплатная.
Смежные вопросы лицензирования и защиты информации — в разделе «IT, искусственный интеллект и кибербезопасность».
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.
