Size: a a a

Чат ruCyberSecurity

2021 March 25

AM

Alex Matrosov in Чат ruCyberSecurity
Андрей Слободчиков
1. Пишет директору организации или непосредственному руководителю, что выявлены конкретные недостатки и указанием, что такое ПО надо удалить и просит согласовать либо отказать в согласовании руководство.
В случае проверки ответственность перенесена на руководителя так как он отказал в разрешении удалить ПО.
2. Если ПО продаётся отдельной позицией, то да.
Спасибо за Ваше мнение.
По первому - насколько мне известна судебная практика, наличие такой бумажки не только не защищает, но и наоборот играет злую шутку, особенно, если с момента начала работы в должности прошло например 5 месяцев; да и пассивщина в принципе называется бездействием (когда бумагу написал и забил).
Интересна активная стратегия, когда бумага написана, но руководству она побоку.
По второму вопросу - нет, ПО отдельной позицией не продаётся, только в составе оборудования, либо досылается бесплатно, если ранее (когда ПО ещё не было в принципе).
источник

АП

Алексей П in Чат ruCyberSecurity
Alex Matrosov
Спасибо за Ваше мнение.
По первому - насколько мне известна судебная практика, наличие такой бумажки не только не защищает, но и наоборот играет злую шутку, особенно, если с момента начала работы в должности прошло например 5 месяцев; да и пассивщина в принципе называется бездействием (когда бумагу написал и забил).
Интересна активная стратегия, когда бумага написана, но руководству она побоку.
По второму вопросу - нет, ПО отдельной позицией не продаётся, только в составе оборудования, либо досылается бесплатно, если ранее (когда ПО ещё не было в принципе).
По 1 вопросу:
1. Прокурору или сотруднику ФСБ будет необходимо будет увидеть, что сисадмин после отлупа руководства не успокоился, а написал еще и еще, начал проводить работу по удалению ПО и т.д. Если этого не будет, то да, сисадмин станет стрелочником.
источник

АП

Алексей П in Чат ruCyberSecurity
Alex Matrosov
Спасибо за Ваше мнение.
По первому - насколько мне известна судебная практика, наличие такой бумажки не только не защищает, но и наоборот играет злую шутку, особенно, если с момента начала работы в должности прошло например 5 месяцев; да и пассивщина в принципе называется бездействием (когда бумагу написал и забил).
Интересна активная стратегия, когда бумага написана, но руководству она побоку.
По второму вопросу - нет, ПО отдельной позицией не продаётся, только в составе оборудования, либо досылается бесплатно, если ранее (когда ПО ещё не было в принципе).
По 2 вопросу: А лицензия на ПО какая: MIT, Apache...?
источник

AP

Andrei Potseluev in Чат ruCyberSecurity
Коллеги, а можно, чтобы не быть голословными, ссылки на документы. В частности, где регламентируются полномочия ФСБ по контролю за соблюдением лицензионных требований (не в части СКЗИ) и на основании чего руководитель юрлица освобождается от ответственности за совершение преступления по причине недостаточно частых напоминаний о совершении данного преступления со стороны подчиненных?
источник

AP

Andrei Potseluev in Чат ruCyberSecurity
И где регламентирована частота данных напоминаний и что именно считать «активными» действиями?
источник

АП

Алексей П in Чат ruCyberSecurity
Andrei Potseluev
Коллеги, а можно, чтобы не быть голословными, ссылки на документы. В частности, где регламентируются полномочия ФСБ по контролю за соблюдением лицензионных требований (не в части СКЗИ) и на основании чего руководитель юрлица освобождается от ответственности за совершение преступления по причине недостаточно частых напоминаний о совершении данного преступления со стороны подчиненных?
Я при проверке не спрашивал) Пишу из личного опыта участия в проверках + общения с кураторами, когда хотел свою пятую точку прикрыть. В моем случае 15 писем/служебок за 5 лет + определенный объем работ оказался достаточным. (опыт был не в коммерции)
источник

AP

Andrei Potseluev in Чат ruCyberSecurity
Алексей П
Я при проверке не спрашивал) Пишу из личного опыта участия в проверках + общения с кураторами, когда хотел свою пятую точку прикрыть. В моем случае 15 писем/служебок за 5 лет + определенный объем работ оказался достаточным. (опыт был не в коммерции)
Ну тут надо разделять комерсов и особые организации. 😊 Просто комерсов обычных ФСБ не в рамках СКЗИ проверять не будет, да и в случае проверки (кем угодно) все вопросы будут к руководителю юрлица (ему надо будет доказывать, что админ поставил без его ведома, но это маловероятно т.к. сразу будет резонный вопрос "а Вас не смущало что ПО не закупается, а организация работает?").
источник

АП

Алексей П in Чат ruCyberSecurity
Andrei Potseluev
Коллеги, а можно, чтобы не быть голословными, ссылки на документы. В частности, где регламентируются полномочия ФСБ по контролю за соблюдением лицензионных требований (не в части СКЗИ) и на основании чего руководитель юрлица освобождается от ответственности за совершение преступления по причине недостаточно частых напоминаний о совершении данного преступления со стороны подчиненных?
При работе в государственной корпорации при проверке вышестоящей СБ вопрос ПО также вставал. Показал, что на основании таких-то документов приобретение ПО только в рамках торгов + бюджетное планирование - все документы с моей стороны были оформлены и согласованы своевременно.  Раз в квартал я писал длинные служебки листов на 3-5 с обоснованием приобретения ПО и СЗИ докучи, приводил примеры нарушения пользователей. С началом года руководство мне заявляло, что денег ни копейки не выделят, Я продолжал писать, что документы с моей стороны на закупки есть, но они зависли у руководства (рвали и выбрасывали).  При проверке у меня были копии с росписью о получении. По результатам проверки у проверяющих ко мне вопросов не было. Как там этот вопрос порешало руководство, достоверных сведений не имею. 😀
источник

АП

Алексей П in Чат ruCyberSecurity
Andrei Potseluev
Ну тут надо разделять комерсов и особые организации. 😊 Просто комерсов обычных ФСБ не в рамках СКЗИ проверять не будет, да и в случае проверки (кем угодно) все вопросы будут к руководителю юрлица (ему надо будет доказывать, что админ поставил без его ведома, но это маловероятно т.к. сразу будет резонный вопрос "а Вас не смущало что ПО не закупается, а организация работает?").
Вы абсолютно правы, но работа однозначно должна вестись. И человек с опытом уже нутром чувствует, когда стоит соломки подстелить 😀
источник

N

N S M in Чат ruCyberSecurity
Alex Matrosov
Доброго и хорошего вечера знатокам.
Как известно, вечер среды - не повод не выпить кружку пенного в компании.
Так вот, в ходе процесса потребления тёмного, возникло два несвязаных меж собой вопроса в междусобойной дискуссии, было решено обратиться за сторонним мнением.
1. В некоей абстрактной организации принимают на работу системного администратора. В должностной инструкции администратора, помимо прочего, имеется обязанность осуществления контроля за соблюдением лицензионных соглашений (бдеть, чтоб никто крякнутого ПО не установил). В ходе своей работы он выясняет, что львиная доля ПО - триалы лохматых годов / без лицензий. Но при попытке исполнить должностные обязанности, а именно - снести ПО - сталкивается с запретом от руководства.
Какие дальнейшие шаги админа, чтобы в случае посещения организацией маски-шоу, он не уехал сухари сушить?
2. Имеется некое оборудование, к нему имеется ПО, которое поставляется совместно с оборудованием. При этом оборудование исполняет свое назначение как с, так и  без ПО. Отдельно ПО не продаётся. Стоимость оборудования не включает в себя фактическую/предполагаемую стоимость ПО, т.е. теоретически ПО идёт как некая плюшка.
Является ли в данной ситуации ПО коммерческим?
Провести внутренний аудит ( он это так или иначе будет делать чтобы организовать свою работу ) - пишет на имя руководство со ссылкой на пункты своего д.р. описание ситуации и предложения. Копию себе.- не проводит работы по установке нового крякнутого ПО ( не путать с по работающего в рамках демо версий ) - старое работает как есть. Последствия: 1 проверка- разбирательство, любая экспертиза докажет время и дату установки прикладного по, 2 - факт либо работа либо её смена 3 - оставить все как есть минимизируя риски ( использование для левого по сервер терминалов ) 4 - не спорить с системой и принять как есть
источник

N

N S M in Чат ruCyberSecurity
Andrei Potseluev
Ну тут надо разделять комерсов и особые организации. 😊 Просто комерсов обычных ФСБ не в рамках СКЗИ проверять не будет, да и в случае проверки (кем угодно) все вопросы будут к руководителю юрлица (ему надо будет доказывать, что админ поставил без его ведома, но это маловероятно т.к. сразу будет резонный вопрос "а Вас не смущало что ПО не закупается, а организация работает?").
Посмотрите статистику судебную и будете удивлены полностью противоположной практикой
источник

N

N S M in Чат ruCyberSecurity
Алексей П
При работе в государственной корпорации при проверке вышестоящей СБ вопрос ПО также вставал. Показал, что на основании таких-то документов приобретение ПО только в рамках торгов + бюджетное планирование - все документы с моей стороны были оформлены и согласованы своевременно.  Раз в квартал я писал длинные служебки листов на 3-5 с обоснованием приобретения ПО и СЗИ докучи, приводил примеры нарушения пользователей. С началом года руководство мне заявляло, что денег ни копейки не выделят, Я продолжал писать, что документы с моей стороны на закупки есть, но они зависли у руководства (рвали и выбрасывали).  При проверке у меня были копии с росписью о получении. По результатам проверки у проверяющих ко мне вопросов не было. Как там этот вопрос порешало руководство, достоверных сведений не имею. 😀
Гос - госа не обидит тем более в рамках подведомственности. Коммерсы другое дело
источник

AP

Andrei Potseluev in Чат ruCyberSecurity
N S M
Посмотрите статистику судебную и будете удивлены полностью противоположной практикой
Охотно верю, но при этом на 99% уверен, что «подсудимый (админ) все признал, содействовал следствию, ходатайствовал о рассмотрении дела в особом порядке». А на нет, как говорится, и суда нет.
источник

OS

Oleg Spiridonov in Чат ruCyberSecurity
Andrei Potseluev
Охотно верю, но при этом на 99% уверен, что «подсудимый (админ) все признал, содействовал следствию, ходатайствовал о рассмотрении дела в особом порядке». А на нет, как говорится, и суда нет.
Уже не так. Начало верное, но теперь "...в особом порядке, но вот вам суд и  минималочка."
источник
2021 March 29

АБ

Андрей Боровский... in Чат ruCyberSecurity
Подгруппа по кибербезопасности НТИ «Энерджинет» проводит исследование на тему российского законодательства в области ИТ и ИБ и просит анонимно ответить на несколько вопросов.
Поделиться своим мнением можно по ссылке: https://forms.gle/P4qBqncVNVNzGnNi6
источник
2021 March 30

I

IGoR in Чат ruCyberSecurity
Добрый день вопрос в следующем может не по адресу конечно но все же. Приобрели MaxPatrol в органы власти необходимо какой то нормативный документ по работе с данным ПО что можно взять за основу или есть похожие нормативки  ?
источник

AK

Alexander Korb in Чат ruCyberSecurity
Вы этим документом чего собираетесь регулировать?
источник

NY

Nick Y in Чат ruCyberSecurity
IGoR
Добрый день вопрос в следующем может не по адресу конечно но все же. Приобрели MaxPatrol в органы власти необходимо какой то нормативный документ по работе с данным ПО что можно взять за основу или есть похожие нормативки  ?
Возьмите руководство пользователя, издайте на его основе свой, назначьте приказами админов, аибов, контролёров. В приказе укажите, что они ознакомлены с эулмпутационной документацией. Если есть желание, то сделайте руководство админа, аиба. Если будете контролировать жизнь работников, то проверьте что при приеме они ознакомлены с соответствующими внд
источник

N

N S M in Чат ruCyberSecurity
IGoR
Добрый день вопрос в следующем может не по адресу конечно но все же. Приобрели MaxPatrol в органы власти необходимо какой то нормативный документ по работе с данным ПО что можно взять за основу или есть похожие нормативки  ?
Для Вас исходный документ 17  и 21 приказы фстэк. Они являются основанием для внедрения данного технического решения.
источник

SL

Serafima Lebedeva in Чат ruCyberSecurity
N S M
Для Вас исходный документ 17  и 21 приказы фстэк. Они являются основанием для внедрения данного технического решения.
для ГИС - только 17
источник