например, для производства СКЗИ -- постановление Правительства Российской Федерации от 16 апреля 2012 г. № 313

ФСБ постановление 313.  п. 6 Лицензионные требования

Спасибо большое! а для КИИ нет таких требований по людям? только для получения лицензий?

почему не похвастались? Вы их искали? https://sbis.ru/about/license вот есть лицензия на защиту конфиденциальных данных о чем они и написали. И по договору они это гарантируют, в отличии от многих других "облаков" - я как бы про это говорил.

Дмитрий.
В ИБ России в общем виде
- Лицензия - право на деятельность по ИБ
- Сертификат - подтверждение потенциальной способности средства защиты что-то защищать (но если не включить, или не правильно настроить, оно защищать не будет, но сертификат всё равно действителен)
- Аттестат - подтверждение способности системы обеспечить безопасность обрабатываемой там информации, т.е. люди знают что делать, средства есть и корректно работают, информация защищена (проверено на тестовой информации, в т.ч. с помощью пентеста).

Сертифицированный ЦОД - это не корректная фраза с т.з. нормативки как российской, так и международной. (никто в лабораторию ЦОД не потащит, и на стенде его испытывать не будет)

Лицензия может быть у организации, у которой нет ни одного сервера для оказания услуг ЦОД.

Что такое "они гарантируют" - они заплатят? У них есть страхование от утечек? Или их невозможно взломать? Или они пустят к себе аудит клиента, чтобы те проверили защищённость?

Я имею ввиду, они могут быть защищёнными и не защищёнными. Но сертифицированным их ЦОД не может, т.к. нет таких требований по ИБ, на соответствие которым провести сертификацию ЦОДа.

ЦОД же можно только аттестовать

Немного поправлю про сертификат и аттестат - это подтверждение не "способности", а соответствия каким-либо требованиям

Каким образом?! Не, аттестовать-то можно, конечно, но как потом соблюсти неизменность объекта?

без "прирученного" лицензиата фстэк  под рукой не реал соблюсти

Добрый день. Подскажите могут ли в одной ИСПДн обрабатываться ПДн наших работников и ПДн работников дочерних организаций? Цель обработки по идее одна- кадровое делопроизводство работников группы компаний. Ну и соответственно обрабатывается все это на тех же армах и серверах. Или все же надо делать две идентичные испдн, отличающимися только названиями ?

неизменной не обязательно соблюдать, т.к. в случае изменения конйигурации оборудования и ПО организация аттестовавшая цод должна провести дописпытания и выдать заключение о подтверждении аттестата соответствия в текущей конфигурации, непомнюбк ак называется даннный документ

добрый день. могут. запрет только на разные цели обработки

могут, только между головной и дочерними организациями не забудьте заключить договора обработки пдн по поручению оператора

Это-то я понимаю. 😊 Я имел ввиду, что в коммерческом ЦОД куча клиентов. Как за ними следить/заставить их сообщать об изменениях, это раз. И два - если их будет десяток-другой, они что-то менять будут ежедневно. Лицензиат там жить будет 24/7, в этом ЦОДе, выдавая заключения...

Это то конечно, договоры заключены. Я так и предполагал, но мало ли как сейчас ркн относится к такому. Спасибо!

Собрал варианты как аттестовать ЦОД без аттестации)
https://habr.com/ru/post/453098/

МОжно по сегментному подходу. Дальше сам Оператор ЦОД будет проводить изменения путём их приёмки (нужен корректный методолог-бумажник)

не дай бог, чтобы  клиенты могли влиять на защищенность ЦОДа в целом, и на защищенность данных других клиентов, в частности

Вы себе такой ЦОД представляете? Это раз. Два - если они повлияют на защищенность СВОИХ данных, это автоматом повлияет на Аттестат ЦОДа. Хотите Вы этого или нет.