Криптография: мнение юриста

Павел Логачев

Защищать информацию необходимо — с этим никто не спорит. Однако не секрет, что использование средств шифрования для охраны личной и коммерческой тайны регулируется большим количеством законов и нормативных актов. И для того чтобы правильно построить защиту с юридической точки зрения, необходимо получить четкое представление о текущем положении дел. Именно эту задачу мы поставили себе при написании данного материала.

Лицензирование импорта шифровальных средств в Российской Федерации

1. В соответствии со ст. 3 Закона РФ от 19. 02. 1993 № 4524-1 «О федеральных органах правительственной связи и информации» (далее по тексту — ФАПСИ), соответствующий государственный орган правомочен определять порядок и обеспечивать выдачу лицензий на экспорт и импорт шифровальных средств и нормативно-технической документации на их производство и использование, а также участвовать в определении порядка и обеспечения выдачи лицензий на экспорт и импорт защищенных технических средств передачи, обработки и хранения секретной информации.

Данные полномочия ФАПСИ, а также Министерства внешних экономических связей (МВЭС) РФ регламентированы и Указом Президента РФ от 03.04 1995 № 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации», п. 4 которого закрепляет, что Государственный таможенный комитет Российской Федерации принимает меры по недопущению ввоза на территорию Российской Федерации шифровальных средств иностранного производства без лицензии МВЭС РФ, выданной по согласованию с ФАПСИ. В настоящий момент функции упраздненного МВЭС переданы образованному в 2000 году Министерству экономического развития и торговли (Минэкономторг) Российской Федерации.

Таким образом, для осуществления ввоза шифровального средства иностранного производства необходимо получить соответствующую лицензию Министерства торговли, а также согласовать такой ввоз с ФАПСИ. Согласно «Методическим указаниям о порядке приема заявлений, выдачи экспортных и импортных лицензий, ведения федерального банка данных лицензий», утвержденных Приказом МВЭС от 11. 07. 1997 № 367, к средствам защиты информации относятся шифровальное (криптографическое оборудование и его части, нормативно-техническая документация (включая конструкторскую и эксплуатационную) к шифровальным средствам, а также пакеты программ для шифрования.

2. Процедура выдачи лицензии на импорт шифровальных средств регламентирована «Положением о порядке лицензирования экспорта и импорта товаров (работ, услуг) в Российской Федерации», утвержденным Постановлением Правительства РФ от 31.10. 1996 № 1299, а также рядом других подзаконных актов МВЭС и упраздненного Министерства торговли.

Выдача лицензий осуществляется Минэкономторгом через своих уполномоченных в регионах. Для получения лицензии заявитель должен направить уполномоченному следующие документы:

подписанное и заверенное своей печатью сопроводительное письмо с просьбой об оформлении лицензии;
заявление на лицензию в одном экземпляре на бланке установленной формы и заполненное в соответствии с установленными требованиями;
копию контракта (договора), на основании которого шифровальное средство импортируется в Россию на русском языке, а при отсутствии контракта на русском языке к копии контракта должен прилагаться скрепленный и заверенный заявителем перевод;
копии учредительных документов заявителя (импортера);
копии регистрационных документов заявителя (свидетельства о государственной регистрации и справки о постановке на учет в налоговом органе);
согласование заявления на лицензию ФАПСИ;
разрешение соответствующих органов исполнительной власти (ФАПСИ) на осуществление определенных видов деятельности (в случаях, предусмотренных российским законодательством;
копия платежного поручения, подтверждающего осуществление платы за оформление лицензии.

Копии вышеуказанных документов должны быть прошиты, заверены подписью и печатью заявителя. При этом заявитель несет ответственность за достоверность представляемых сведений.

Предъявляемые заявителем документы подлежат регистрации в Минэкономторге. Решение о выдаче лицензии или об отказе в выдаче лицензии принимается в течение 25 дней со дня получения заявления и всех необходимых документов. При необходимости доработки представленных документов срок принятия решения может быть продлен, но не более чем на 10 дней со дня представления доработанных документов.

Лицензия является официальным документом, разрешающим осуществление экспортных или импортных операций в течение установленного срока. Следует подчеркнуть, что лицензии оформляются на каждый вид товара в соответствии с товарной номенклатурой внешнеэкономической деятельности независимо от количества наименований товаров, включенных в контракт (договор). Лицензии могут быть разовыми или генеральными. Разовая лицензия выдается для осуществления экспортной или импортной операции по одному контракту (договору) сроком до 12 текущих месяцев, начиная с даты выдачи лицензии.

Министерство экономического развития и торговли может отказать в выдаче лицензии. Основанием для отказа в выдаче лицензии может явиться неправильное оформление заявления, либо сообщение недостоверных сведений о производимой экспортной или импортной операции, либо включение в контракте условий, наносящих ущерб экономическим интересам Российской Федерации. Решение об отказе в выдаче лицензии должно быть мотивированным и направляется заявителю в письменной форме.

Оформленная лицензия выдается в одном экземпляре и не подлежит передаче другим заявителям. Владелец лицензии направляет оригинал лицензии в таможенный орган Российской Федерации по месту регистрации. Лицензия является основанием для проведения таможенного оформления лицензируемых товаров (работ, услуг).

Срок действия лицензии может быть продлен с целью завершения выполнения контрактных обязательств. Для оформления продления срока действия лицензии ее владелец в письменной форме направляет в Министерство экономического развития и торговли просьбу (с указанием причин) с приложением по разовой лицензии (в случае ее выдачи указанным министерством на основании решения соответствующего федерального органа исполнительной власти (ФАПСИ) по отдельным видам товаров, в отношении которых действует особый порядок экспорта или импорта, установленный законодательством России решения соответствующего федерального органа исполнительной власти. Продление срока действия лицензии оформляется в виде письма, подписанного уполномоченным Минэкономторга в соответствующем регионе и заверенного его печатью. Указанное письмо является неотъемлемой частью лицензии.

Минэкономторг имеет право приостановить действие выданной лицензии или аннулировать ее в случае:

представления владельцем лицензии соответствующего заявления;
нарушения владельцем лицензии условий действия лицензии;
нарушения владельцем лицензии законодательства Российской Федерации.

Соответствующее решение доводится до владельца лицензии и таможенного органа в письменной форме в трехдневный срок со дня принятия решения о приостановлении действия об аннулировании лицензии.

По истечении срока действия лицензии ее владелец в 10-дневный срок направляет в указанное министерство копию лицензии с отметкой таможенных органов о ее исполнении. Таким образом, на заявителя возлагается обязанность произвести надлежащее таможенное оформление ввозимого товара в качестве одного из составляющих лицензионных требований. Поскольку планируемое к использованию в каком-либо проекте шифровальное программное обеспечение может быть передано по каналам электронной связи, возникает вопрос о его таможенном оформлении при таком способе ввоза. Эта тема является отдельным предметом рассмотрения и требует проведения дополнительных консультаций с таможенными органами России (в частности, с Московским таможенным управлением).

Решения и действия Минэкономторга, связанные с лицензированием экспорта или импорта товаров (работ, услуг), могут быть обжалованы в установленном порядке.

Лицензирование деятельности в области ифрования информации

1. Данный вид лицензирования осуществляется Федеральным агентством правительственной связи и информации при Президенте РФ на основании п. «к» ст. 11 Закона РФ от 19.02.1993 № 4524-1 «О федеральных органах правительственной связи и информации» и п. 4 Указа Президента РФ № 334 от 03.04.1995 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации». До настоящего момента Правительство РФ не приняло специального документа, регламентирующего порядок лицензирования рассматриваемых видов деятельности, в связи с чем порядок лицензирования определяется ведомственными нормативными актами ФАПСИ.

Для получения лицензии заявитель — юридическое лицо представляет в ФАПСИ заявление о выдаче лицензии, в котором указывает:

наименование и организационно-правовую форму, юридический адрес, номер расчетного счета и наименование соответствующего банка;
виды деятельности, на осуществление которых запрашивается лицензия (указываются в соответствии со ст. 17 Федерального закона от 25.09.1998 № 158-ФЗ «О лицензировании отдельных видов деятельности»1.
срок действия запрашиваемой лицензии;
адрес для переписки (если он не совпадает с юридическим адресом).
К заявлению прилагаются:
копии учредительных документов; если они не заверены нотариусом — с предъявлением оригиналов;
копия свидетельства о государственной регистрации (нотариально заверенная);
документ, подтверждающий оплату рассмотрения заявления;
копия свидетельства о постановке на учет в налоговом органе (нотариально заверенная).

Заявление подписывается руководителем предприятия-заявителя (либо лицом, его замещающим) с расшифровкой подписи и заверяется основной печатью предприятия и направляется почтой по адресу: 103031 Москва, Б. Кисельный пер., д. 4 на имя генерального директора ФАПСИ Матюхина Владимира Георгиевича.

Заявление принимается к рассмотрению только при наличии всех вышеперечисленных документов. Заявитель несет ответственность за достоверность представляемых им сведений.

2. Установленный порядок лицензирования предусматривает обязательное проведение специальной экспертизы заявителя с целью оценки его возможностей проводить работы по заявленным видам деятельности.

Специальная экспертиза осуществляется экспертной комиссией уполномоченного (аккредитованного) ФАПСИ аттестационного центра на основе хозяйственного договора аттестационного центра с заявителем. (Стоимость экспертизы устанавливается в каждом конкретном случае и зависит от сложности проводимых в ее ходе работ. Ориентировочная стоимость подобной экспертизы может составлять от 2,5-4 тыс. долл.). Все данные об аттестационном центре и перечень представляемых экспертной комиссии сведений, обосновывающих наличие у заявителя необходимых условий для проведения работ по заявленным видам деятельности, доводятся до сведения заявителя после принятия его заявления к рассмотрению.

3. Руководством ФАПСИ 12.02.1999 утверждены «Требования к соискателю лицензии ФАПСИ на право распространения, технического обслуживания и предоставления услуг в области шифрования информации с применением не сертифицированных ФАПСИ шифровальных средств иностранного производства». Данные требования распространяются на виды деятельности, связанные с не сертифицированными ФАПСИ шифровальными средствами иностранного производства, предназначенными к использованию в международных платежных системах и в рамках международного информационного обмена для связи с зарубежными корреспондентами вне пределов России.

К соискателю лицензии предъявляются следующие лицензионные требования:

соискатель обязан представить документальное подтверждение того, что шифровальные средства ввезены на территорию России законным порядком и обоснование функциональной невозможности использования сертифицированных ФАПСИ шифровальных средств в организуемых системах (сетях). Требования по стойкости к упомянутым шифровальным средствам не предъявляются;
соискатель принимает на себя обязательство уведомлять всех российских пользователей (юридических и физических лиц) организуемых систем (сетей) об использовании в этих системах (сетях) не сертифицированных в Российской Федерации средств криптографической защиты информации;
при проведении технической или специальной экспертизы соискатель лицензии обязан предоставлять по отдельным запросам ФАПСИ образцы шифровальных средств и совместно используемого оборудования, а также техническую и нормативно-эксплуатационную документацию, определяющую состав шифровальных средств и используемого оборудования, условия их эксплуатации. ФАПСИ и привлекаемые к проведению специальных экспертиз аттестационные центры обязуются соблюдать конфиденциальность в отношении всех предоставляемых соискателями лицензий материалов и их авторские права;
соискатель обязан предоставлять сведения о предполагаемой схеме связи в защищаемых с использованием шифровальных средств системах (сетях);
в тех случаях, когда соискатели лицензий являются организаторами защиты информации в системах (сетях), выдаваемые лицензии распространяются в части отдельных работ по техническому обслуживанию шифровальных средств на всех пользователей организуемых лицензиатом систем (сетей) с применением данных шифровальных средств и не освобождают их от необходимости получения отдельных лицензий на право деятельности с шифровальными средствами в других системах;
привлечение других юридических лиц для содействия в осуществлении деятельности в рамках выдаваемых соискателям лицензий может производиться по согласованию с ФАПСИ;
соискатель принимает на себя обязательства обеспечить в случае получения лицензии возможность осуществления федеральными органами правительственной связи и информации надзора за соблюдением лицензионных требований и условий;
соискатель обязан обеспечить поэкземплярный учет шифровальных средств, которые будут использоваться в соответствии с видами деятельности, указанными в заявлении на лицензирование.

4. В соответствии с п. 1 ст. 19 Федерального закона от 20.02.1995 № 24-ФЗ «Об информации, информатизации и защите информации» «информационные системы органов государственной власти Российской Федерации и органов государственной власти субъектов Российской Федерации, других государственных органов, организаций, которые обрабатывают документированную информацию с ограниченным доступом, а также средства защиты этих систем подлежат обязательной сертификации.

Данное положение закона нашло свое развитие в п. 1 Положения «О сертификации средств защиты информации», утвержденного Постановлением Правительства РФ от 26.06.1995 № 608, согласно которому технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации, являются средствами защиты информации и подлежат обязательной государственной сертификации. Положение также закрепляет, что криптографические средства должны быть отечественного производства и выполнены на основе криптографических алгоритмов, рекомендованных ФАПСИ. Таким образом, из приведенных положений можно сделать вывод о том, что программное шифровальное средство иностранного производства, не предназначенное для защиты сведений, составляющих государственную тайну, не подлежит обязательной сертификации согласно действующему российскому законодательству. При этом следует отметить, что существует возможность сертификации импортируемых средств защиты информации, что прямо следует из п. 8 этого положения, согласно которому сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных», а также признания зарубежного сертификата.

Согласно п. 2 Указа Президента РФ от 03.04.1995 № 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования» запрещается использование государственными организациями и предприятиями в информационно-телекоммуникационных системах шифровальных средств, не имеющих сертификата ФАПСИ, а также размещение государственных заказов на предприятиях, в организациях, использующих указанные шифровальные средства, не имеющие сертификата ФАПСИ. Таким образом, законодательство России содержит прямой запрет на использование шифровальных средств только государственными организациями и предприятиями. Данный вывод подтверждается, в частности, п. 4, устанавливающим запрет на осуществление деятельности, связанной с производством, реализацией и эксплуатацией шифровальных средств, а также на предоставление услуг в области шифрования информации без лицензии ФАПСИ. В указанном пункте, в отличие от п. 2, субъектами запрета прямо названы юридические и физические лица, а не предприятия.

Таким образом, действующее законодательство Российской Федерации не содержит никаких положений, запрещающих использовать не сертифицированные ФАПСИ шифровальные средства иностранного производства на территории нашей страны при условии наличия соответствующих лицензии Минэкономторга на их ввоз и лицензии ФАПСИ на их использование, как и указано настоящей статье.

Мнение руководства Лицензионного и сертификационного центра ФАПСИ отличается от результатов представленного анализа нормативных актов. Как было указано в ходе проведенных переговоров, согласование (разрешение) ввоза не сертифицированного ФАПСИ иностранного шифровального средства и получение лицензии на использование такого средства возможно при условии осуществления международного информационного обмена только между материнской и дочерней компанией. При этом данное шифровальное средство не может быть использовано для защиты информационного обмена внутри России между Обществом и его авторизованными дилерами, а также для международного информационного обмена между компанией «X» и его дилерами в России. В ходе беседы было также заявлено, что ФАПСИ не осуществляет сертификацию шифровальных программных средств иностранного производства. На вопрос о том, какими нормативными актами введены указанные ограничения, конкретного ответа не получено, а объяснения были сведены к особенностям государственной политики в этой области. В качестве возможного варианта технического решения создания защищенной информационной сети было предложено использовать не сертифицированное ФАПСИ шифровальное средство для обмена информацией между компаниями А и Б и сертифицированное ФАПСИ российское шифровальное средство для связи между А и С.

Нормативные акты (иные источники), использованные при подготовке правового заключения:

Закон РФ от 19 февраля 1993 № 4524-1 «О федеральных органах правительственной связи и информации».
Федеральный закон от 25.09.98 № 158-ФЗ «О лицензировании отдельных видов деятельности».
Федеральный закон от 20.02.1995 № 24-Ф3 «Об информации, информатизации и защите информации».
Указ Президента РФ от 03.04.1995 № 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации».
Указ Президента РФ от 22.09.1998 № 1142 «О структуре федеральных органов исполнительной власти».
Указ Президента РФ от 17.05.2000 № 867 «О структуре федеральных органов исполнительной власти».
Постановление Правительства РФ от 21.12.1999 № 1420 «Об утверждении Положения о Министерстве торговли Российской Федерации».
Постановление Правительства РФ от 05.07.2000 № 488 «Вопросы Министерства экономического развития и торговли Российской Федерации».
Постановление Правительства РФ от 06.11.1992 № 854 «О лицензировании и квотировании экспорта и импорта товаров (работ, услуг) на территории Российской Федерации», с последующими изменениями и дополнениями.
Положение о порядке лицензирования экспорта и импорта товаров (работ, услуг) в Российской Федерации, утвержденное Постановлением Правительства РФ от 31.10.1996 № 1299.
Методические указания о порядке приема заявлений, выдачи экспортных и импортных лицензий, ведения федерального банка лицензий, утвержденные Приказом МВЭС РФ от 11.07.1997 № 367.
Правила оформления заявления и лицензий, утвержденные Приказом МВЭС РФ от 18.03.1997 № 114.
Положение об установлении размеров платы за оформление, переоформление и продление срока действия лицензий на экспорт и импорт товаров (работ, услуг), сертификатов и паспортов бартерных сделок, утвержденное Приказом Минторга РФ от 06.08.1999 № 363.
Требования к соискателю лицензии ФАПСИ на право распространения, технического обслуживания и предоставления услуг в области шифрования информации с применением не сертифицированных ФАПСИ шифровальных средств иностранного производства, утвержденные руководством ФАПСИ 12.02.1999.
Положение «О сертификации средств защиты информации», утвержденное Постановлением Правительства РФ от 26.06.1995 № 608.

КомпьютерПресс 3'2002

1999	1	2	3	4	5	6	7	8	9	10	11	12
2000	1	2	3	4	5	6	7	8	9	10	11	12
2001	1	2	3	4	5	6	7	8	9	10	11	12
2002	1	2	3	4	5	6	7	8	9	10	11	12
2003	1	2	3	4	5	6	7	8	9	10	11	12
2004	1	2	3	4	5	6	7	8	9	10	11	12
2005	1	2	3	4	5	6	7	8	9	10	11	12
2006	1	2	3	4	5	6	7	8	9	10	11	12
2007	1	2	3	4	5	6	7	8	9	10	11	12
2008	1	2	3	4	5	6	7	8	9	10	11	12
2009	1	2	3	4	5	6	7	8	9	10	11	12
2010	1	2	3	4	5	6	7	8	9	10	11	12
2011	1	2	3	4	5	6	7	8	9	10	11	12
2012	1	2	3	4	5	6	7	8	9	10	11	12
2013	1	2	3	4	5	6	7	8	9	10	11	12