требование по сертифицированному антивирусу для ГТ - Форум по вопросам информационной безопасности

Насколько я понимаю, прикладное ПО может быть каким угодно. Наши регуляторы проверяют СЗИ и бумажки к ним.
Как проверять лицензионность? Только одним путем - доказывать что Вы приобрели(!!) это ПО у правообладателя. Я могу например скачать дист-в Касперского через Инет и приобрести ключик. И попробуйте прикопаться что у меня здесь что-то нелицензионное :)
Технарские мысл вроде "аааа дистр-в скачан с инета, значит Вы пираты" идут лесом.

У лицензиата ФСТЭК нет полномочий проверять "лицензионность" ПО, установленного на объекте Заказчика. Лицензиат ФСТЭК проверяет АС/ИС на соответствие требованиям по безопасности информации, установленными нормативно-методическими документами ФСТЭК, а не на соответствие требованиям IV части ГК РФ. На этом форуме это уже обсуждалось.

"И это самый мощный аргумент, который удалось найти в РД"

Читайте весь пост! И еще... ППр 912, положение по аттестации, СТР, положение по сертификации СЗИ.
Я никакие аргументы и не собирался приводить "антивирус-СЗИ, СЗИ под ГТ должны быть сертифицированы" об этом разговор.

"У лицензиата ФСТЭК нет полномочий проверять "лицензионность" ПО, установленного на объекте Заказчика"

Полномочий ? А какие интересно полномочия нужны гражданину или организации что бы настучать о противоправных действиях другого гражданина или организации.
Читайте СТР! Вкратце...орган по аттестации в ответе за свои
аттестованные объекты в том числе и за правообладание заявителем на ПО,СВТ,помещения и т.д.
Поэтому и проверяет как может... Другой вопрос что неразбериха и отсутствие четких правил, но это не значит что на все пофиг держите аттестат.

Г-н Секира, не надо возводить уровень лицензиата ФСТЭК в "заоблачные дали". Иногда складывается впечатление, что Вы из лицензиата лЕпите некий следственный орган.
Лицензиат ФСТЭК должен выполнять работы в рамках требований данного ведомства и лицензии ему предоставленной! Если он решил реализовать свои иные правомочия, например, "настучать о противоправных действиях другого", то это он сделает не как лицензиат ФСТЭК, а как субъект иного права (зависит от ситуации).
Аттестация объекта проводится согласно Программе аттестационных испытаний. Почитайте её внимательно: где в ней прописано, как и в каком объёме проверяется выполнение законодательства о соблюдении авторских прав на используемое программное обеспечение??? И в СТР нас можно носом не тыкать, поскольку там про проверку выполнения "лицензионности" требований ничего не прописано. Увы.
Аттестация - есть разновидность оценочной деятельности: установило государство перечень требований по безопасности, выдало лицензию организации, которое проверяет, как эти требования выполняются (то бишь оценивает их выполнение). Если установленные требования выполняются (то бишь положительные результаты аттестации), то выдаётся документ о соответствии объекта установленным требованиям. И чего тут "отсебятину" то плести? Разумеется, если лицензиат компетентен как делать, то кроме "оценивания" он ещё в рамках лицензии может компетентно выполнять работы по подготовке объекта (то бишь проводить установку, настройку и т.д.). Равно как и наоборот.
Если Вы такой поборник выполнения ВСЕХ требований, тогда давайте обяжем лицензиата ФСТЭК выполнять всё до конца (а не выборочно и кусочно в той части, которая Вам приглянулась - в части "лицензионности" ПО): законность приобретения аппаратной части на объекте (ОТСС, ВТСС); проверка аренды и прав на собственность производственных помещений, в которых размещён объект; законность заключаемых договоров на обработку той или иной информации ограниченного доступа; проверки работоспособности пожаро-охранной сигнализации, видеонаблюдения; условий "законности" физической защиты объекта; выполнения требования СаНПиНа и т.п.
Хотя Вы со мной можете не согласиться...

"И в СТР нас можно носом не тыкать, поскольку там про проверку выполнения "лицензионности" требований ничего не прописано. Увы."

п. 11.6.

"где в ней прописано"
Программу пишет орган, захотели написали что бы перестраховатся (фстэк то устно требует), заказчик несогласен, пишет письмо во фстэк, фстэк говорит уберите, убираем, на все претензии фстэк показываем им их же письмо.

"И чего тут "отсебятину" то плести?"

Белые пятна законодательства... ФСТЭК палит при проверке не лицензионное ПО или СВТ у одной организации помещения у другой в этом духе...орган получает по шапке и на следующей аттестации начинает проверят то что по документам фстэка же проверять не должен. Вот и вся любовь..
А с остальным я согласен - ну не написано. Хотя получается как бы на пиратское ПО в АС - аттестат как государственная бумага - как то нелогично?

Во-первых, Программу пишет орган по аттестации, но пишет он в ней не чего ему вздумается и хочется!!! А в рамках своих полномочий, предоставленных ему ведомством ФСТЭК выданной лицензией!!! Аттестовывая в 1 отделе АС-ку, Вы же не прописываете в Программе и не проводите проверку правила ведения секретного делопроизводства и оформления допусков? Так, ради того, чтобы "перестраховаться"? Не потому ли, что лицензия ФСТЭК этого не охватывает и для этого надо получить лицензию ФСБ на право проведения специальных экспертиз?
Во-вторых, проверка "лицензионности" ПО - это не "ФСТЭКовская область" и наличие наклейки на системном блоке ещё ничего не говорит. Установление, что на объекте используется нелицензионое ПО, производится в судебное порядке и не обязательно по инициативе обладателя авторских прав.
В-третьих, проверка ФСТЭКом у лицензиата результатов его деятельности (результатов его работы, в частности проводимой им аттестации) и проверка у лицензиата выполнения лицензионных требований (соответствует ли лицензиат требованиям быть лицензиатом) - это разные "вещи", согласитесь?!
Вроде бы эта тема уже обсуждалась на этом форуме.

"И в СТР нас можно носом не тыкать, поскольку там про проверку выполнения "лицензионности" требований ничего не прописано. Увы."

п. 11.6.

"где в ней прописано"
Программу пишет орган, захотели написали что бы перестраховатся (фстэк то устно требует), заказчик несогласен, пишет письмо во фстэк, фстэк говорит уберите, убираем, на все претензии фстэк показываем им их же письмо.

"И чего тут "отсебятину" то плести?"

Белые пятна законодательства... ФСТЭК палит при проверке не лицензионное ПО или СВТ у одной организации помещения у другой в этом духе...орган получает по шапке и на следующей аттестации начинает проверят то что по документам фстэка же проверять не должен. Вот и вся любовь..
А с остальным я согласен - ну не написано. Хотя получается как бы на пиратское ПО в АС - аттестат как государственная бумага - как то нелогично?

Не ту кнопку нажал :))