Инвентаризация программного обеспечения - Форум по вопросам информационной безопасности

Александр
речь шла не только об установленном ПО, были поставлены несколько др. цели, пришлось определять альтернативы СПО, разрабатывать планы перехода. (одно это отняло уйму времяни- это анализ лицензий GNU GPL, MPL,MPL v1.1, LGPL, GPL v2, GPL v и.т.п. ).
Определять полномочия пользователей на обработку иной* информации нарушающей авторские права, например МП3, угры, картинки.

Андрей | 30712

1)Положение об ЛВС
2) Инструкции пользователи и администратора
3) Инструкция локального администратора


Эти документы Вы легко найдете в Интернете

какие условия нужно выполнить, чтобы провести инвентаризацию информационных активов предприятия??? кто этим моментом занимался, у кого-то может есть примерная инструкция или просто может дать дельный совет поделитесь

Что - то чем дальше, тем запутаннее, давайте немного разберемся, для чего в принципе проводится инвентаризация информационных активов предприятия и что такое информационный актив:
Информационный актив – это любая информация, независимо от вида ее представления, имеющая ценность для организации и находящаяся в ее распоряжении.
Инвентаризация ИА проводится для составления списка ИА предприятия, которые нуждаются в защите, выявления ПО не имеющего, либо просроченной лицензией, незаконно установленного ПО и не до установленного ПО.
Суть обсуждения переросла и закрутилась только на одном моменте, как собрать информацию о программном обеспечении и на этом в принципе вся инвентаризация закончилась, но пардон, а как же информация, которая представляет огромную ценность для предприятия, с которой работает пользователь? Ведь суть инвентаризации все таки сводится, как выявить и защитить именно это информацию, т.к. именно она представляет для предприятия наивысшую ценность, компьютер сломался его можно отремонтировать, или купить новый, а вот репутацию от украденной и попавшей информации в чужие руки, ой как сложно будет восстановить!
Здесь проскакивал момент, что инвентаризацию необходимо проводить без уведомления пользователей, но это большое заблуждение, ведь кто как ни пользователь знает, истинную ценность информации с которой он работает, ведь очень вряд тле системный администратор может представить ценность документов обрабатываемых бухгалтер, так и в свою очередь бухгалтер не в состоянии определить ценность программного кода или документации по настроек какого либо оборудования.
Предлагаю развивать эту тему немного в другом ключе, нежели чем она представлена, на сей момент. Нужно подойти к инвентаризации не со стороны железа, а со стороны людского фактора, обсудить, как наладить работу между сотрудника проводящими инвентаризацию и сотрудниками так сказать «инвентаризируемыми», какие инструменты попытаться использовать, и как они будут выглядит, например взять анкетирование, какие вопросы стоит включить в нее для пользователей, какие показатели необходимо выявить!

>>>Здесь проскакивал момент, что инвентаризацию необходимо проводить без уведомления пользователей, но это большое заблуждение, ведь кто как ни пользователь знает, истинную ценность информации с которой он работает, ведь очень вряд тле системный администратор может представить ценность документов обрабатываемых бухгалтер, так и в свою очередь бухгалтер не в состоянии определить ценность программного кода или документации по настроек какого либо оборудования.

Это вполне логично если у Вас есть перечень КИ и описаны технологические процессы обработки. Я так и делал бы.


>> Предлагаю развивать эту тему немного в другом ключе, нежели чем она представлена, на сей момент. Нужно подойти к инвентаризации не со стороны железа, а со стороны людского фактора, обсудить, как наладить работу между сотрудника проводящими инвентаризацию и сотрудниками так сказать «инвентаризируемыми», какие инструменты попытаться использовать, и как они будут выглядит, например взять анкетирование, какие вопросы стоит включить в нее для пользователей, какие показатели необходимо выявить!




Это целесообразно проводить в том случае если нет перечня КИ и нет строго регламентированного процесса обработки КИ. Но это не инвентаризация а обследование объекта (так это называется) где выявляется кто обрабатывает информацию , кто имеет к ней доступ кто и кому ее передает на каких этапах информация более уязвима и прочее

на мой взгляд пользователю лучше не знать истинную ценность информации - достаточно знать что она конфиденциальна.
истинную ценность информации должен знать руководитель и ответственный за ИБ (а конечный пользователь должен быть наделен минимально необходимыми и достаточными знаниями о ценности обрабатываемой информации - лучше ее разбить на части) в противном случае вы ставите себя в не выгодное положение..

Почему все с такой легкостью ссылаются на описание технологических процессов? По моему мнению это делают те, кто в действительности на практике не разу не пробовал описать процессы в организации, ведь даже в самой захудалой организации, это не ограничится несколькими процессами, а что говорить уже о крупном предприятии!? На одном форуме кто то очень хорошо высказался не помню дословно но звучало это так - «…мы начали делать описание технологических процессов, у нас даже специально человек занимается этим, уже в течении нескольких лет, а работа даже не приблизилась и на половину… ».
Нам в принципе, не важно знать, кто обрабатывает информацию дядя Петя или тетя Маша, а вот какую информацию он обрабатывает, вот это для организации и имеет значение!

в корне не верно
грамотно описанный технологический процесс решает многие задачи ИБ, и знать именно пользователя очень важно т.к. Дядя Петя - лоялен к политике защиты и вообще к организации а тетя Маша совсем новый работник и к ней следует отнестись с осторожностью... и отсюда следует вывод какую информацию можно доверить тете Маше а какую за нее сделает дядя Петя.

В корне не верно, что? Что описать технологический процесс не составляет большого труда? Или, что под этим нужно понимать? А на счет грамотного описания процесса, здесь безусловно правы!
Что же касается дяди Пети и тети Маши, то безусловно знать сотрудников нужно, но это задача ужу не только службы ИБ но и службы внутренней безопасности. Петя не может сделать работу за всех вновь пришедших Маш, здесь в любом случае придется доверить информацию и не куда не денешься, да еще и нет ни каких гарантий, что Петя не накопив определенный объем информации не киданет вас! Людской фактор присущ везде!
С этими размышлениями, все дальше откланяешься от первоначальной темы

Для того что бы хоть как то определиться как провести инвентаризацию нужно знать:
Принадлежность: ГУ или нет (думаю что не ГУ)
Есть ли перечень КИ
Введен ли режим обработки КИ
Наличие в штате сотрудника с образованием (как я понимаю есть).