СВОБОДНОЕ ПО - Форум по вопросам информационной безопасности

ofisniy planktON, я работаю в органе по аттестации ОИ. Есть опыт работы и с Г\У, по части ГТ и обследований на соответствие 152 ФЗ. В основной массе СПО не применяется по ряду причин:
1. закупка ПО идёт планово по распоряжению "сверху".
2. админы ограничиваются лишь стандартным набором ПО, который им хорошо известен и удобен, и это далеко не всегда СПО
3. "Наша любимая бухгалтерия" впадает в кататонический ступор при виде OpenOffice и 7Zip :)
4. Существующая ИТ-инфраструктура не позволяет безболезнено перейти на СПО

Работаю в бизнесе, и у нас на уровне конечных пользователей использование СПО минимально, в основном по 4 и 3 причине. На Вашем месте я бы руководствовался здравым смыслом в рамках НМД, и не тратил бы деньги на то что можно и не приобретать :)

Про бадания с проверяющим, тут каждый случай индивидуальный. всё будет зависеть от проверяющих и проверяемых, на чём они сойдутся.

2ofisniy planktON :
Да, с обновлениями сложность. Хотя есть варианты решения, но уже нужно смотреть по ситуации. Например, если ПО относится к сетевым СЗИ, поставить две копии и пропускать данные через оба :) одну обновлять, вторую использовать для прохождения проверок. Бред конечно, но в некоторых случаях может помочь.
А зачем вы ищете запрет на СПО? Ну нет его, какой документ Вы ожидаете увидеть? :) Органы же, в лице некоторых своих представителей, к сожалению сами бывают весьма дремучи, потому, учитывая еще и общую кривость законодательства, от них не всегда приходится ожидать подробного и грамотного ответа.
Собственно так и есть - Роском регистрирует факт обработки - наличие средств - документы.. , ФСТЭК проверяет технические средства на достаточность и сертифицированность, ФСБ соответственно криптографию - никого из них свободность или проприетарность сама по себе в общем-то не интересует. Это вообще прерогатива скорее отдела "К" :)

Кирилл в рамках НМД всегда лучше.. у нас очень много нe лицензионного офиса (от Microsoft), WinRar*a (Trial - версий) и что Вы думаете.. кто использует свое служебное положение и устанавливает (распространяет пиратское ПО?), кому грозит до шести лет лишения свободы и административный штраф? в общем перечислять долго.. нет я понимаю что не посодютЪ т.к. все в одной лодке сидим но и предписаний получать тоже не очень охота..
Цитата >>Про бадания с проверяющим, тут каждый случай индивидуальный. всё будет зависеть от проверяющих и проверяемых, на чём они сойдутся. <<
Здесь вы правы на 100% и я это понимаю, но реальных практик по этому вопросу не встречал..

Для AIB и Кирилла

Ну так и как же мне поступить? печалиться о том что у меня Верд не лицензионный или Опен офисс поставить? я все же склоняюсь к СПО т.к. это более юридически грамотный поступок чем пиратка

ofisniy planktON, тут всплывает ещё одна распространённая проблема и уже не в рамках организаций, а по масштабней. Руководство часто работает в режиме "ракета земля-воздух", пустил распоряжение и забыл, и часто забывают, что делегируются полномочия и не всегда ответственность. А отсюда и минимальная мотивация в работе в рамках законодательства + корявость того же самого законодательства.
А по сабжу, уходите от триалов и серого ПО, и спите спокойно. И удачи в "воспитании" руководства на право спать спокойно:)

Для AIB
Да Вы правы именно отдел "К" +_+ , а ведь весело получается...
Какая отсталая у нас законодательная база сколько живу - удивляюсь..

Кирилл Вы правы, спасибо за дискуссию и дельный совет.

Если вопрос по ЛИЦЕНЗИОННОСТИ - то печалиться-печалиться. Если руководство требует поставить нечто серое и "не совсем легальное", то требовать с того руководства ПИСЬМЕННОЕ указание поставить конкретно данный дистрибутив, или хотя-бы в виде письма по электронной почте. Хотя, конечно, многое зависит и от того, что именно у вас за организация, в каких неофициальных отношениях она с органами и прочих нюансов - в общем, типичное управление рисками, но уже своими собственными в рамках УК. Потому как если нагрянет проверка, а распоряжения только устные, то сделать крайним админа - раз плюнуть, и прецеденты именно что получения сроков уже вполне имеются.
Причем нужно иметь в виду, что при установке заведомо контрафактного ПО даже по распоряжению руководства будет как минимум сговор. Материальные подтверждения распоряжений нужны скорее как мотивировация руководства не подставлять сотрудников, чем как гарантия от негативный последствий для себя лично.

Отдельно по триалам - они вполне легальны, но не всегда есть смысл с ними работать, обычно у них весьма жесткие ограничения.

По сертификации СЗИ все в некотором роде проще, т.к. личной ответственность заметно меньше. Но там бывает геморрой с обновлениями.. )

AIB спасибо, буду как то выкручиваться.. +_+