Вот тебе и аттестовали... - Форум по вопросам информационной безопасности

Борзометр явно не откалиброван, признаюсь...
все ухожу в пополье - пусть ругают за прогул))

> внутренняя политика компании Microsoft для OEM

Наклейка означает только то, что ЕСЛИ пользователь приобрел комп с предустановленой операционкой у лицензиата OEM и ЕСЛИ он не переустанавливал операционку, то эта операционка "лицензионная". Поэтому, с точки зрения закона, для подтверждения "лицензионности" требуется, как минимум:
- наличие в операционке лицензионного ключа дистрибьютора;
- наличие заключенного с дистрибьютером договора поставки компьютеров;
- наличие у дистрибьютера OEM-лицензии.

Строго говоря, операционка будет "нелицензионной" при отсутствии любого одного из этих трех признаков. Политика Microsoft - дело хорошее, но это всего лишь "джентлбменнское соглашение", не влияющее на "лицензионность" софта. Microsoft просто обещает вас не преследовать.

Крендель,
строго вы не можете и не имеете права судить о том, является ли софт в аттестуемой ИС "лицензионным". "Лицензионность" - вопрос гражданско-правовых отношений, требующий применения норм права. Применять нормы права могут только органы государтвенной власти и суды в пределах своей компетенции. Вы не являетесь ни первым, ни вторым. Поэтому, на мой взгляд, с точки зрения права вы чисты, а как к этому отнесетя регулятор - вопрос "личных взаимоотношений".

А вот с нас при продлении аттестата аккредитации нынче(в июле 2010) потребовали лицензионные договора на ПО используемое в собственных ОИ.
Благо кое-что было! Причем комиссия была московская.

> А вот с нас при продлении аттестата аккредитации нынче(в июле 2010) потребовали лицензионные договора на ПО используемое в собственных ОИ.

Так это одно из требований к соискателю лицензии на ТЗКИ :)

Есть один нюансик:
В соответствии с постановлением Правительства Российской Федерации от 15 августа 2006 г. № 504 «О лицензировании деятельности по технической защите конфиденциальной информации» (п.5) и Постановлением Правительства Российской Федерации от 31 августа 2006 г. № 532 «О лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации» (п.4) в Административные регламенты ФСТЭК России (п. 9.2 ) внесено требование о представлении в числе документов, прилагаемых к заявлению о предоставлении лицензии, "копии документов, подтверждающих право на используемые для осуществления лицензируемой деятельности программы для электронно-вычислительных машин и базы данных;".
Это писаное правило. И при аттестации ОИ у соискателя лицензии по ТЗКИ, СЗКИ его необходимо выполнять. А вот в ГТ такого нет. Так что daddy такое требование при продлении аттестата аккредитации (получении такового) - самодеятельность отдела сертификации 2 управления ФСТЭК России. Есть правда исключеньице - программные средства контроля защищенности. Правообладатели не разрешают передавать из третьим лицам без разрешения. Поэтому проверка наличия лицензии на них - тест на вшивость (ваши-не ваши).

да не обращайте внимание на ломаные винды. в конфи еще можно сослаться на СТР-К, а вот с гос можно заткнуть таких проверяльщиков. а то в конец обарзели в последнее время - лезут не в свои вопросы.

Для Некто:
Лицензирование и аттестация ОИ - это абсолютно разные "вещи" и абсурдно их смешивать.
Требования по лицензированию определяются законом и постановлением Правительства, а требования по безопасности информации при проведении аттестации определяются ФСТЭКом. Правительство говорит ФСТЭКу: вот моё требование - при выдаче лицензии проверь у соискателя, кроме всего прочего, соблюдение авторских прав на ПО. Вот он и проверяет.
Сам же ФСТЭК регулирует вопросы технической защиты, в полномочия которых не входят проверки соблюдения авторских. Другими словами выдавая лицензию, ФСТЭК уполномочивая определённую организацию на данный вид деятельности не может делегировать полномочий больше, чем имеет сам.
Аттестация ОИ на соответствие требованиям по безопасности (!) (а не лицензионных) проводится по документам ФСТЭКа и в отдельных случаях стандартами, которые не касаются проверок соблюдения авторских прав.

Иначе говоря, проводя аттестацию АС а Программе аттестационных испытаний вы должны будите указать где-то проверку соблюдения авторских прав, объём такой проверки, основание и дать соответствующий вывод. Может ещё у заказчика вообще начнём на основании лицензии ФСТЭКа вмешиваться в финансово-хозяйственную деятельность (например, от каких заказов у него закрытая информация, в каком объёме, как он налоги платит и т.д.)

Ряд лицензиатов ФСТЭК при аттестации ОИ для ГТ в оформляемых документах указывает сведения об установленном ПО и праве его использования в организации.
Например ФГУП "Гостехстрой" ФСТЭК России.
Объясняют - требование ФСТЭК.
Ничего странного. Использовать нужно только лицензионное ПО на законных основаниях. Пора быть цивилизованными.

Страннику:
Никто и не говорит о возвращении в "пещерную" жизнь или про то, что надо нарушать закон.
Речь идёт о том, что при проведении аттестации АС на соответствие требованиям по безопасности соблюдение авторских прав не проверяется. Ни руководящие документы ФСТЭК, ни ГОСТы, на которые стоит ссылка в РД, это не определяют. Соблюдение авторских прав на ПО определены только законом (в частности IV Часть ГК РФ). Если проводить проверку по этому документу, то проверка будет являться не проверкой требований, а проверкой прав. По поводу полномочий проверки соблюдения прав выше уже было сказано malotavr'ом 22501.
Т.о. лицензионные требования к лицензиату со стороны государства перед выдачей лицензии - это одно, а требования по безопасности к АС - это другое.

> Например ФГУП "Гостехстрой" ФСТЭК России.
> Объясняют - требование ФСТЭК.

Попросите их, пусть покажут это требование "в натуре" (где у ФСТЭКа оно написано и как). Иначе их объяснение - это просто лозунг.