Вы используете устаревший браузер!

Страница может отображаться некорректно.

Правовед

Правовед

Другие выпуски этой рубрики (54)
  • добавить в избранное
    Добавить в закладки

Сертифицированный антивирус – или штраф

Прочитали: 17168 Комментариев: 47 Рейтинг: 67

dushanba, 29-iyun, 2020

Бывает, что некий закон суров, но правоприменительной практики по нему мало. Суды по-разному рассматривают подобные дела, ждут руководящих разъяснений от высшей судебной инстанции, чтобы ориентироваться на них. У правоохранительных и проверяющих органов находятся различные замечания к потенциальным нарушителям.

Типичный пример – использование сертифицированных средств защиты информации. Их использования, например, требуют приказ ФСТЭК России № 21 и Постановление Правительства РФ № 1119 от 01.11.2012 г., выпущенные во исполнение положений 152-ФЗ «О персональных данных». Эти документы обязывают компании и организации (а также частных лиц), защищающих персональные данные, использовать сертифицированные средства защиты. Аналогичные требования содержатся в приказах ФСТЭК России № 17/31/239.

Технические средства, предназначенные для обработки информации, содержащейся в государственных информационных системах, в том числе программно-технические средства и средства защиты информации, должны соответствовать требованиям законодательства Российской Федерации о техническом регулировании.

Пункт 8 статьи 14 Федерального закона «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г. № 149-ФЗ

Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.

Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры.

Источник

Ранее мы уже обращали внимание на весьма широкий круг лиц, отнесенных законодателем к числу субъектов критической информационной инфраструктуры (см. выпуск «Удачной посадки»), многие компании о такой своей причастности могут просто не догадываться. А кто у нас не использует персональные данные? Почти никто. Получается, что любая компания должна применять сертифицированные продукты.

Это интересно.

Требования сертификации средств защиты информации, используемых госорганами при подключении к сети Интернет в России, существовали и до принятия этого документа. Еще в 2004 году был издан Указ Президента РФ № 611, которым было установлено, что владельцы открытых и общедоступных государственных информационных ресурсов могут осуществлять их включение в состав объектов международного информационного обмена (читай Интернет) только при использовании сертифицированных средств защиты информации, обеспечивающих ее целостность и доступность, в том числе криптографических, для подтверждения достоверности информации.

Источник

Соответственно, предусмотрена и ответственность за нарушение подобных требований:

"Кодекс Российской Федерации об административных правонарушениях" от 30.12.2001 N 195-ФЗ (ред. от 24.04.2020) (с изм. и доп., вступ. в силу с 01.06.2020)

КоАП РФ Статья 13.12. Нарушение правил защиты информации

Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до двух тысяч пятисот рублей с конфискацией несертифицированных средств защиты информации или без таковой; на должностных лиц - от двух тысяч пятисот до трех тысяч рублей; на юридических лиц - от двадцати тысяч до двадцати пяти тысяч рублей с конфискацией несертифицированных средств защиты информации или без таковой.

Нарушение требований о защите информации (за исключением информации, составляющей государственную тайну), установленных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами Российской Федерации, за исключением случаев, предусмотренных частями 1, 2 и 5 настоящей статьи, -

влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц - от одной тысячи до двух тысяч рублей; на юридических лиц - от десяти тысяч до пятнадцати тысяч рублей.

Аналогичные требования действуют и по защите гостайны – только ответственность там больше.

При этом интерес вызывает даже не штраф, а фраза «с конфискацией несертифицированных средств защиты информации». То есть компания или организация, вложившая деньги, например, в дорогостоящие аппаратные средства, может их лишиться (в скобках заметим, что было бы любопытно посмотреть на конфискацию встроенного антивируса 😊).

Несмотря на требования и ответственность за их неисполнение, выполняются они небрежно.

Думаю, никто не будет покупать в магазине несертифицированную водку или того хуже медикаменты, не прошедшие сертификацию минздрава.

Источник

А вот средства защиты, от работы которых зависит сохранность денег компании, почему-то можно поставить любые.

Что из средств защиты должно быть сертифицировано? Если кратко – все.

Согласно п. 3 Положения о системе сертификации средств защиты информации, утвержденного приказом ФСТЭК России от 3 апреля 2018 г. № 55, должны быть сертифицированы:

  • средства противодействия иностранным техническим разведкам, а также средства контроля эффективности противодействия иностранным техническим разведкам;
  • средства технической защиты информации, включая средства, в которых они реализованы, а также средства контроля эффективности технической защиты информации;
  • средства обеспечения безопасности информационных технологий, включая защищенные средства обработки информации.

Теперь перейдем к судебной практике.

Нарушение порядка использования сертифицированных средств защиты:

При проведении проверки режима секретности и состояния информационной безопасности федерального бюджетного учреждения «Санаторно-курортный комплекс «Сочинский» Министерства обороны РФ» на ул. Курортный проспект, д. 94, Хостинского района г.Сочи, установлено, что Михайлов Г.И., допустил использование несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну.

В ходе эксплуатации ЭВМ на экране увидел уведомление об истечении срока действия ранее установленного средства антивирусной защиты , в связи с чем был приглашен из сторонней организации человек для обновления антивирусной программы, тогда как согласно приказа обновление должно было производиться восьмым управлением МО РФ.

Привлечь Михайлова Г.И., …. года рождения, к административной ответственности по ч. 2 ст. 13.12 КоАП РФ и назначить ему наказание в виде административного штрафа в размере 500 (пятьсот) рублей без конфискации не сертифицированных средств защиты информации.

Источник

Это антивирус. А вот операционная система:

Выявлен факт использования несертифицированных для Министерства обороны РФ систем Microsoft Windows7 SP1 Профессиональная Гальцова О.Е., несмотря на указанные обстоятельства, использовала ПЭВМ для обработки служебной информации.

Признать «….» Гальцову О.Е. виновной в совершении административного правонарушения, предусмотренного ч. 2 ст. 13.12 КоАП РФ, и назначить ей наказание в виде административного штрафа в сумме 2500 (две тысячи пятьсот) рублей в доход государства.

Источник

Еще одно интересное дело (точнее, два). В ходе проверки двух скорее всего связанных между собой организаций были выявлены:

нарушения требований п.2 ч.3 ст. 19 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных»:

- программное обеспечение «крипто про», установленное на ПЭВМ, находящейся в офисном помещении ООО «ЧОО «Сфинкс Патруль» и используемой для обработки персональных данных, имеет просроченный сертификат ФСБ России;

- антивирусное средство, установленное не ПЭВМ, находящейся в офисном помещении ООО «ЧОО «Сфинкс Патруль» и используемой для обработки персональных данных, не входит в список средств защиты и информации, разрешенных ФСБ России.

Источник

А вот – еще одно аналогичное дело.

Однако руководитель компании решил обжаловать назначенный штраф в суде (а потом – и в апелляции).

…Просит обжалуемое постановление о назначении административного наказания отменить, производство по делу прекратить в связи с малозначительностью, ограничиться устным замечанием. Жалобу мотивирует и в том числе тем, что доказательства по делу об административном правонарушении, а именно: протокол обследования помещений от ДД.ММ.ГГГГ., протокол об административном правонарушении № от ДД.ММ.ГГГГ. получены с нарушением федерального закона, и подлежат исключению из числа доказательств административного судопроизводства.

Источник

Суд принял решение, что:

Доводы законного представителя Хайруллина Д.Р. о том, что доказательства по делу об административном правонарушении… получены с нарушением федерального закона, и подлежат исключению из числа доказательств, для суда не состоятельны, поскольку соответствуют требованиям закона…

ПозициюХайруллина Д.Р. по данному делу суд объясняет его желанием как руководителя привлекаемого к административной ответственности юридического лица избежать административную ответственность.

Несогласие заявителя с привлечением юридического лица к административной ответственности не свидетельствует о малозначительности правонарушения и не является основанием для прекращения производства по делу.

По мнению суда у юридического лица ООО «ЧОО «Сфинкс Патруль» имелась возможность для соблюдения правил и норм, за нарушение которых предусмотрена административная ответственность по ч.2 ст.13.12 КоАПРФ, однако юридическое лицо не приняло все зависящие от него меры по их соблюдению.

С учетом изложенного, суд приходит к выводу о законности и обоснованности вынесенного административным органом постановления по делу об административном правонарушении.

Короче, закон есть закон, и мелочей, за которые можно простить нарушения, – нет.

#законодательство #защита_от_потери_данных #корпоративная_безопасность #ответственность #персональные_данные #ущерб

Антивирусная правДА! рекомендует

Напомним, что Dr.Web обладает всеми необходимыми сертификатами соответствия ФСТЭК России. Остается решить, что проще: купить сертифицированное средство (тем более что его поставка теперь возможна и в электронном виде) или рисковать и платить штраф.

Оцените выпуск

Сделайте репост

Поставьте «Нравится»

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии