Считайте, что это опечатка.

Правильная суть (дух, закладываемый создателями документа) этой фразы и правильное написание её таково:
"... Данным порядком рекомендуется руководствоваться также при организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием сертифицированных ФАПСИ средств криптографической защиты <*> не подлежащей обязательной защите конфиденциальной информации, доступ к которой ограничивается по решению обладателя конфиденциальной информации <**> (за исключением информации, содержащей сведения, к которым в соответствии с законодательством Российской Федерации не может быть ограничен доступ)..."

Уважаемый stranger!

Данная Инструкция достаточно старая и составлялась людьми, которые по объективным причинам не понимали, что заключение любых договоров основывается на принципах добровольности, осознанности и целесообразности, заложенных в действующем законодательстве РФ. При этом, если Обладатель и Лицензиат разные юридические лица (не важно, являются ли они зависимыми обществами или нет), то договор должен быть обязательно возмездным.
Поэтому Обладатель должен сначала добровольно захотеть доверить защиту конфиденциальной информации Лицензиату, осознать необходимость такого доверия, оценить экономическую целесообразность защиты конфиденциальной информации вообще, и Лицензиатом в частности.

Поэтому:
- если Обладатель и Лицензиат одно юридическое лицо (например, обособленные подразделения) то указание в форме локального нормативного акта (приказа) будет иметь юридическую силу.
- если Обладатель и Лицензиат разные юридические лица, являющиеся зависимыми обществами (входят в Группу компаний, Холдинг и т.д.), то указание от Совета Директоров/ Президента Группы компаний и т.п., направленное Лицензиату, обеспечить безопасность конфид.информации Обладателя НЕ будет иметь юридическую силу. Между Обладателем и Лицензиатом должен быть заключен возмездный договор на оказание услуг по криптографической защите конфиденциальной информации (это согласно Гражданского кодекса РФ). Согласно Налогового кодекса РФ по такому договору будет особый режим исчисления налога на прибыль при некоторых условиях, определённых в НК РФ.
- если Обладатель и Лицензиат разные юридические лица, (не важно, являются ли они зависимыми обществами или нет), то между Обладателем и Лицензиатом должен быть заключен возмездный договор на оказание услуг по криптографической защите конфиденциальной информации.
- если Обладатель и Лицензиат разные юридические лица, но являются структурными подразделениями одного органа власти (например, Центральный аппарат ФНС России и УФНС), то указание в форме приказа руководителя органа власти, направленное Лицензиату (например, ЦА ФНС), обеспечить безопасность конфид.информации Обладателей (например, УФНС) будет иметь юридическую силу. И договоры не заключаются.
- для Лицензиатов ФСБ не является вышестоящей организацией. ФСБ является регулятором, уполномоченным федеральным органом исполнительной власти в области безопасности.

У меня логика прочтения слегка другая.


Итак, п.1.: Если информацию обязательно защищать и используются СКЗИ => обязательно следовать данной инструкции.


Если информация не подлежит обязательной защите (доступ ограничен законодательством или по решению обладателя) и используются СКЗИ => инструкция носит рекомендательный характер.

Теперь, к вопросу о том, что это за случай: доступ ограничен законодательством или по решению обладателя, но обязательной защите не подлежит.

N 149-ФЗ, статья 9, п.2:

Есть ФЗ => обязательно защищать, и только тогда.

Когда нет ФЗ, но каким то иным законодательным актом доступ к информации ограничивается и используются СКЗИ, инструкция носит рекомендательный характер.

Н-р, по решению обладателя:
N 149-ФЗ, статья 6, п.3:

Обладатель информации действует по закону, и доступ к информации ограничен в соответствии с ФЗ - согласен.
Но сам ФЗ не предписывает защищать эту информацию, на мой взгляд огромная разница! ФЗ говорит лишь о том, что возможно ее защищать, а можно и не защищать.

Пример: рекомендательный характер: коммерческая тайна, обязательный характер: персданные.

Отредактировано пользователем 5 апреля 2012 г. 11:52:04(UTC)  | Причина: Не указана

Согласен, с коммерческой тайной не все просто.

В частности, если не предприняты шаги по защите КТ и правильно не оформлены соответствующие документы на предприятии, то при разглашении КТ ответственности не наступает.

Емельянников приводил случай, когда контора внесла в список сведений, составляющих КТ, не разрешенные к таковым позиции. И на основании этого юрист в суде доказал ничтожность режима КТ на предприятии и как следствие, отсутствие ответственности за разглашение таковой.

Вопрос философский, но мне кажется, 152 для КТ - рекомендация =)