7

Необходимо ли лицензирование деятельности у ФСБ при разработке ПО с применением программно-аппаратных криптографических средств (в моей случае это опыт с eToken ГОСТ и JaCarta ГОСТ компании Aladdin R.D.) для целей аутентификации и формирования юридически значимой квалифицированной подписи на документы, если данное ПО подразумевается как коммерческий продукт для внешнего использования клиентами и третьей стороной?

Согласно п.3 постановления РФ от 16 апреля 2012 г. № 313 не могу однозначно понять.

Налицо встраивание уже лицензированного решения, вроде не разработка, но встраивание, и возможно распространение. Сами криптоустройства и плагин для связи токена и системы не распространяю. Само решение и без данной криптозащиты спокойно работает, но код взаимодействия остается.

Ответ на вопрос так же искал на форумах аладдина и криптопро, хабре и тостере, а так же направил вопрос в службу поддержки указанного решения.

Так или иначе может кто-то сталкивался с данным вопросом при разработке?

9
  • Не парся, КГБ тебя само найдет, если нужно. ;-)
    – cpp_user
    11 ноя 2015 в 15:22
  • @cpp_user Может одного меня и не жалко ;-) , но если продавать от лица компании, то страдания растут асимптотически. Простой подписи с использованием смс уже не хватает, так что нужно все же изучить вопрос.
    – Ice2burn
    11 ноя 2015 в 15:31
  • 1
    Это проблемы юристов, директоров и лица компании значит но никак не программистов.
    – cpp_user
    11 ноя 2015 в 15:41
  • @cpp_user Страдает компания - страдают и сотрудники. Я же как программист хотел бы знать, что рассматриваемое мной решение не потребует излишних затрат, а друзей юристов у меня нет. Если и у вас их нет, то предлагаю разойтись пить чай :)
    – Ice2burn
    11 ноя 2015 в 15:55
  • А денег на юристов тоже нет? Ну тогда согласен что вам делать нечего.
    – cpp_user
    11 ноя 2015 в 16:01

1 ответ 1

6

Вот что удалось самостоятельно выяснить:

Если использовать криптоустройства только для целей двухфакторной аутентификации, то лицензия не нужна, т.к. шифрование не осуществляется. (впрочем, здесь есть сомнения и все зависит от используемого протокола)

Если формирование ЭЦП, обслуживание и др. используется для личных нужд или внутренних нужд компании, то под постановление не попадаем.

Лицензия ФСБ требуется при встраивании криптографических средств (даже сертифицированных) в ПО которое будет предоставляться как товар/услуга для других лиц.

Соответственно при заказной разработке или для предоставления другим лицам как услуги лицензия фсб все же нужна.


В итоге остается 6 возможностей:

  1. Самостоятельное получение лицензии ФСБ со всеми вытекающими последствиями;
  2. Само приложение поставлять без криптозащиты. Ее подключать в виде отдельного модуля с помощью пользователя и/или посредника. При этом модуль в таком случае должен разрабатываться и распространяться отдельно посредником, имеющим лицензию. Поставлять модуль необходимо отдельно от основного приложения. Другими словами: использовать услуги другой стороны;
  3. Использовать простую подпись без криптографии, например усиленную смс-подтверждением. При этом нужно формировать соглашение между сторонами обмена о том, что такая подпись признается юридически значимой. А в суде факт формирования такой подписи осуществляется проверкой логов сервера и др. согласно условиям соглашения.
  4. Использовать средства СКЗИ встроенные в ОС. (под закон не попадает)
  5. Осуществлять подпись не на территории РФ. (Электронные подписи, созданные в соответствии с нормами права иностранного государства и международными стандартами признаются юридически значимыми согласно законодательству РФ)
  6. Не использовать криптографию и ЭЦП вовсе.

Отсутствие данной лицензии после первой возмездной/безвозмездной передачи другой стороне является нарушением статьи 171 "Незаконное предпринимательство" уголовного кодекса РФ а так же, КоАП РФ, Статья 13.13. Незаконная деятельность в области защиты информации и сулит серьезный штраф и возможно конфискацию всех СКЗИ.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.