Традиционно шифрование использовалось в нашей стране для защиты государственных секретов. Именно поэтому регулированием в этой области занимались государственные органы, ответственные за контрразведку и обеспечение безопасности органов власти.
Сегодня криптография есть в каждом телефоне, планшете, ноутбуке или даже флешке. Защита информации дома, в коммерческой компании или государственной организации уже немыслима без применения целого набора средств шифрования (в том числе электронной подписи), которые, зачастую, встроены в операционную систему.
Не смотря на объединение функций по шифрованию и защите информации во всех ИТ процессах, регулированием этой области занимаются две разные службы: ФСБ и ФСТЭК. Это создает массу неудобств и избыточных обременений как для обычных организаций, так и для компаний, предлагающих услуги по защите информации или разрабатывающих средства защиты:
- требования ФСТЭК и ФСБ по защите информации ограниченного доступа часто дублируют друг друга или, наоборот, не совпадают;
- существует две параллельные ветки сертификации средств защиты информации. Часто случается, что продукт необходимо сертифицировать дважды;
- организациям необходимо получить сразу две лицензии ФСТЭК и ФСБ, чтобы полноценно оказывать услуги по защите информации.
Все эти тонкости существования нескольких регуляторов, ответственных, по большому счету, за одну и ту же сферу защиты информации ограниченного доступа, ложатся непосильным бременем на отделы и службы по защите информации различных организаций.
В отличие от ФСБ, деятельность ФСТЭК носит гораздо более открытый и прогрессивный характер. Все нормативные документы ФСТЭК широко обсуждаются с профессиональным сообществом и в большей степени соответствуют актуальным угрозам и потребностям организаций, чем аналогичные документы ФСБ, многие из которых разработаны ещё ФАПСИ и морально устарели.
Практический результат
Единый регулятор в области защиты информации.
Единая ветка сертификации средств защиты информации.
Единая база требований к организациям по защите информации ограниченного доступа (например, персональных данных).
Единая лицензия на деятельность по защите информации ограниченного доступа (в том числе с использованием средств шифрования).