Доброго дня! Подскажите, пожалуйста!
Мы разрабатываем, распространяем ИС, защищенные с применением сертифицированных СКЗИ для заказчиков. У нас есть лицензия ФСБ на СКЗИ.
п.6 ФАПСИ 152
Вопросы:
1) Обязательно ли создавать у себя ОКЗ? Если да, это потому, что наша деятельность попадает под "разработку и осуществление мероприятий по организации и обеспечению безопасности хранения, обработки и передачи с использованием СКЗИ конфиденциальной информации"?
2) Правильно ли я понимаю, что ОКЗ это не структурное подразделение, а абстрактная сущность, в которую могут входить люди из разных отделов (т.е. не надо создавать новый отдел и вносить его в организационную структуру, а просто приказом возложить обязанности ОКЗ на определенных сотрудников)?
3) В ОКЗ включаются только сотрудники, которые удовлетворяют требованиям из ПП 313?
4) Нам нужно вести журнал/реестр распространения таких ИС (типа куда, кому передали дистрибутивы, лицензии нашего софта с внедренными СКЗИ)?
5) Разрабы, которые внедряют СКЗИ, например, в мобильные приложения, могут считаться пользователями СКЗИ, или они должны иметь квалификацию по ПП 313 и быть сотрудниками ОКЗ?