Что такое ФИС ФРДО – Статьи для развития

Этот пост, ориентирован к IT-специалистам, занимающимся компьютерной безопасностью и охраной персональных данных. Также, в какой-то мере, мы хотим обратиться к силе pikabu, чтобы найти правильные ответы и как-то повлиять на ситуацию. В посте много специфических терминов и ссылок на законы, уж извините, ничего не поделаешь, такая тема.

Перед организацией стоит задача – подключиться к этой государственной информационной системе “Федеральному реестру документов об образовании” (ФИС ФРДО). Как только начали заниматься перед нами возникло примерно такое коммерческое предложение:

На рынке “компьютерной безопасности” десятки (а может и сотни) лицензированных компаний, которые, занимающихся подключением к ФИС ФРДО. Это типичное коммерческое предложение. И это только “стартовый” платеж и только на одно рабочее место! Об этом не говориться сразу, ведь примерно столько же нужно будет платить за каждый последующий год обслуживания. Трехлетний период функционирования, в среднем, обойдется организации в 150 000 рублей. Спрашивается, а нам точно всё это надо? А почему такой конский ценник?

Читая требования на сайте ФИОКО, оператора защищенной сети VipNet 3608, в которой осуществляется доступ к ФИС ФРДО (т.е. просто так через интернет к ней не подключишься), видим, что для подключения требуется лишь копия лицензии на право пользования ViPNet client для сети 3608(п.7), а так же требуется некая “мифическая” копия документа, являющегося официальным подтверждением соответствия требованиям безопасности информации, установленным федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации (п.6). Вот вокруг этого документа и весь сыр-бор.

Со слов поставщиков “решения” “Подключение к ФИС ФРДО”, для подключения к государственной информационной системе, нужно провести крайне дорогостоящее лицензирование рабочего места! И никак иначе, потому что тогда, при проверке ФСТЭК или ФСБ, нас ждут адские кары шестизначные суммы штрафов и приостановка деятельности.

Решили не идти по простому пути и почитать что говорит закон на эту тему. Перечитали: федеральные законы 149-ФЗ “Об информации, информационных технологиях и о защите информации”, 152-ФЗ “О персональных данных”, 98-ФЗ “Об образовании”; Постановления Правительства №729, №1119; 21 и 17 приказы ФСТЭК. Ниже наша субъективная компиляция видения ситуации с подключением:

– С точки зрения законов, в контексте Подключения к ФИС ФРДО, есть четкое разделение сторон на: оператора государственной информационной системы и на организации, вносящие информацию в ФИС ФРДО.  ПП РФ №729 от 26.08.2021 п.2 и п.4

– К оператору ФИС ФРДО в лице Рособрнадзора, предъявляются требования по защите персональных данных в соответствии с п.8 ПП №729, приказами №№ 17, 21 ФСТЭК. Формирование и ведение информационной системы, в том числе внесение в нее сведений, доступ к этим сведениям и их защита, осуществляются с соблюдением требований, установленных законодательством Российской Федерации об информации

– К организациям, вносящим информацию, предъявляется лишь требование п.9 ПП №729: Доступ к информационной системе для размещения сведений осуществляется органами и организациями  с применением усиленной квалифицированной электронной подписи

– Так называемые поставщики “решений по подключению” вводят в заблуждение организации, которым нужно подключение для внесения информации, утверждая, что для безопасности персональных данных к ним предъявляются такие же требования, какие предъявляются к оператору Государственной Информационной Системы!

– Исходя из ложных требований безопасности, покупателям навязываются не нужные им программные продукты и услуги (что, вообще-то, является уголовным преступлением).

Как на самом деле обеспечивается подключение к ФИС ФРДО? В большинстве случаев, для подключения к ФИС ФРДО нужен установленный законом минимум программных средств и орг.мероприятий.

В большинстве случаев, самим оператором защищенной сети VipNet 3606, предъявляются очень простые требования к защищенности соединения. Это наличие лицензионного ПО VipNet-Client и документа, подтверждающего соблюдения 4 уровня безопасности персональных данных в контексте ФЗ №152-ФЗ “О персональных данных” и ПП №1119. В этом контексте, оператором (Но не государственной информационной системы, а оператором персональных данных) является сама организация, и она сама самостоятельно принимает меры для соответствия уровню защищенности (п.17 ПП №1119). Даже без привлечения дорогостоящих сторонних организаций, имеющих святую корову лицензию ФСТЭК на деятельность по защите информации.

Сейчас ситуация такова, что когда мы настаиваем на нашем праве приобрести отдельно ПО VipNet Сlient, нам либо отказывают в продаже, мотивируя это тем, что компания “поставляет только решение в комплексе”, либо пытаются всучить дополнительные средства защиты, типа Secret Net Studio. На наши просьбы мотивировать необходимость дополнительных покупок ссылкой на закон, никакого вразумительного ответа, естественно, нет. Кто-то говорит, что “без этого” вообще работать не будет, кто говорит, что это указания производителя ПО, хотя сам производитель, с которым мы провели неоднократные консультации, утверждает обратное, и т.п. Ситуация длится уже несколько недель, добиться счетов пока не удалось.

Разбираясь в этой ситуации, нас не оставляет ощущение некоего картельного сговора как производителя ПО, дилеров ПО и организаций, имеющих лицензию ФСТЭК на деятельность по защите информации с целью навязывания товаров и услуг, ненужных потребителю.

Может быть кто-то на Пикабу занимался подключением своей организации к ФИС ФРДО, или к какой-нибудь иной государственной информационной системе? Расскажите а как у вас прошло? Какие меры по защите персональных данных принимались у вас и как вы провели лицензирование рабочих мест, или как подтвердили соответствие требуемым нормам безопасности?

Сейчас, только в нашем провинциальном Усть-зажопинске порядка сорока автошкол, и не знаю даже сколько прочих организаций дополнительного образования. Каждая из них теперь обязана подключиться к ФИС ФРДО и вносить сведения! Каждая организация должна отстегнуть заплатить за подключение. Сколько таких городов по России? Неплохие деньги кто-то получает! Обязаны ли мы их заплатить? Можем ли мы избежать таких весьма спорных расходов?

Заранее спасибо всем кто откликнулся! По возможности отвечу на все вопросы.