ПО ЗИ - Форум по вопросам информационной безопасности

Предисловие: мне хотят дать ПО(антивирус, средства защиты от несанкционированного доступа) на правах аренды для защиты объекта информатизации.

В одном месте говорят, что надо иметь своё ПО - на правах собственности. В другом можно и на правах аренды.

Обязательно ли приобретать дистрюбутив ПО, если создаю свою систему ЗИ. И если придет проверка, то они будут требовать дитрюбутивы этих ПО?

Не очень понятно как можно передать в аренду ПО СЗИ. Лицензия на их использование всё равно должна быть вашей. К тому же СЗИ НСД и антивирус должны быть сертифицированными и вместе с диском дистрибутива у вас должен быть формуляр на это ПО, в котором наклеен специальный защитный знак (СЗЗ), подтверждающий, что продукт сертифицирован. Номер знака каждого экземпляра СЗИ уникальный и при аттестации у вас обязательно должны проверить его наличие

Игорь, а можете сказать где и в каких(ом) нормативном документе это записано?

Посмотрите лицензионное соглашение на эти СЗИ, я уверен, что в них будет пункт о запрете передачи лицензии 3м лицам.

В том то и дело, что в лицензионном соглашении нету такого пункта

В сублицензионном договоре, который Вы подписывали с организацией, продавшей Вам ПО - может быть на самом деле что угодно. А должна быть вся информация. И то, что 3-им лицам нельзя передать, и отслеживаться вся цепочка Лицензиар-Лицензиат-Сублицензиат тоже. Тем более, ПО сертифицированное привязывается к конечному пользователю, что будет указано в сертификате.

> В одном месте говорят, что надо иметь своё ПО - на правах собственности. В другом можно и на правах аренды.

И у первых, и у вторых уровень идиотизма зашкаливает, так что вы лучше к ним с вопросами не обращайтесь.

Не бывает ни собственности, ни аренды ПО. Бывает использование ПО на основании лицензионного договора. Лицензионный договор вы можете заключить с правообладателем (грубо говоря, с разработчиком ПО, купив лицензию) или с другим пользователем ПО (сублицензия), если это допускает лицензионный договор, который с правообладателем заключил он сам.

Если придет проверка, она будет требовать у вас лицензионный договор. В случае лицензии все просто. В случае сублицензии вам придется как-то доказывать, что лицензиат имел право заключить с вами сублицензионный договор. И как вы собираетесь это подтверждать?

Подскажите пжта вот после проведения аттестации Автоматизированного рабочего места (АРМ) и получения аттестата соответствия на работу по гостайне федеральная организация, проводившая аттестацию, требует ещё и проведение ежегодного технического контроля АРМ. А за эти контроли тоже надо платить. Вот на этот раз они мне выставили 25000 руб за этот ежегодный контроль. Вопрос - каким документом установлен этот ежегодный отъём денег ? Нигде не нашел его законность и в Положении по аттестации объектов информатизации тоже его нет. Кто знает точно, дайте пжта ссылочку на документ.

Михаил | 61212
В СТРе написано и в ГОСТе по аттестации объектов информатизации.

Михаил, это тема уже обсуждалась не раз. Как же без ежегодного контроля? В том числе инструментального - эффективность СЗИ должна быть проверена однозначно. За три года может что угодно произойти.
Другой вопрос, что Вы можете заключить с лицензиатом договор по аттестации, который будет включать проверку за эту же цену или больше - как договоритесь. Все должно быть прописано.
Но основа - аттестат не более 3 лет, проверка - не реже раз в год. ну или в зависимости от класса по РД.