Добрый день.
В связи с введением закона о защите персональной информации на компьютерах в организациях, и требованием использования сертифицированного ПО такой вопрос, можно ли поставить любой дистрибутив линукс (убунту, федору, мандариву) и не думать об этом законе?
Или установленный дистрибутив линукса тоже должен быть сертифицирован фстэком?
И вообще если на предприятии установлена линукс система, может это повлечь какие нибудь наказания.
Заранее спасибо
LinuxForum.Fans
Лицензирование, сертифицирование и т.п.
Автор: jeff87
32 сообщений
13965 просмотров
Нужно иметь распечатанную лицензию, по которой распространяется линукс. Она должна быть переведена и обязательно заверена у натариуса. Это избавит от проблем, если они конечно не будут придираться. ИМХО.
Нужно иметь распечатанную лицензию, по которой распространяется линукс. Она должна быть переведена и обязательно заверена у натариуса. Это избавит от проблем, если они конечно не будут придираться. ИМХО.
тогда с лицензией мне понятно.
а сертификация нужна будет?
В связи с введением закона о защите персональной информации на компьютерах в организациях, и требованием использования сертифицированного ПО
ссылку дайте на этот закон. сертификаты разные бывают.
вот неплохая Сертифицированная ОС:
Дистрибутив Mandriva 2008 Spring Powerpack предназначен для создания защищенной офисной рабочей станции или небольшого сервера. Mandriva Linux — один из самых популярных в мире дистрибутивов операционной системы GNU/Linux, выгодно отличающийся удобством и простотой для начинающих пользователей, данная версия дистрибутива прошла сертификацию ФСТЭК.
Сертификация ФСТЭК
Дистрибутив сертифицирован ФСТЭК России (сертификат №1766 от 27 января 2009 года),
* по 5 классу для СВТ («Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992)
* по 4 уровню контроля НДВ («Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999).
http://shop.mandriva.ru/mandriva_08_spring_pp_sertific_fstek/
И вообще если на предприятии установлена линукс система, может это повлечь какие нибудь наказания.
конечно. если вы не купите, а скачаете с п2п вот эту мандриву, вас накажут также, как накажут за варезную венду.
Есть ещё Mandriva Free, эту можно свободно устанавливать, но на неё нет сертификатов ФСТЭК. На остальные ОС которые вам тут рекомендовали тоже нет.
если они конечно не будут придираться. ИМХО.
будут. у них работа такая. ИМХО (впрочем, ко мне не придрались, точнее - из-за ОС не придрались, как увидели Linux, сразу отстали от компов :) )
Или вот еще один http://www.altlinux.ru/solutions/state/protection-information/
Т.е. идеальный вариант если какая нить убунта или федора получит сертификат фстэк и так же останется свободно распространяемой?
Иногда мне кажется что это прям заговор какойто, чтоб бабло срубить за эту сертифицированную продукцию.
Нужно иметь распечатанную лицензию, по которой распространяется линукс.
Они должны вроде как проверить самостоятельно электронные лицензии, и даже вроде это прописано в каком то законе.
и так же останется свободно распространяемой?
Иногда мне кажется что это прям заговор какойто, чтоб бабло срубить за эту сертифицированную продукцию.
сертификация == платная процедура. Если хозяин каноникал (которая убунту делает) не даст денег, убунта будет без сертификата. Если даст, то возможны два варианта:
1) появится сертифицированная и платная версия убунты.
2) (совсем фантастика) Марк сделает сертифицированную версию бесплатной,
На самом деле, всем глубоко наплевать на российский рынок, и потому никаких убунт/бубунт не ждите. Пользуйтесь российскими разработками, например Alt'ом. Ну или почти российской мандривой. И ещё:
1) есть свободное ПО
2) есть бесплатное ПО
3) есть сертифицированное ПО
Теоретически возможны все 8 комбинация этих трёх свойств. Они независимы. Я не очень понял, что в этом новом Законе прописано? Кстати, юристы и законодатели сами ещё слабо понимают, с чем имеют дело, потому пока, к сожалению, "закон что дышло - куда повернёшь, туда и вышло" :(
Т.к. имею отношение к разработке ПО работающим с персональными данными выскажу свое мнение.
Читал закон в пошлом году. Могу в чем то ошибаться. Сертифицировать свою программу не стали. Клиенту сказали понадобиться - скажите - сделаем. Клиент заключал договор на анализ класса данных. (персональных данных храниться/обрабатывается у нас много). Пока нам ни чего не сказали о необходимости сертификации. Хотя газпром не из тех клиентов, что делает все на половину :) Хотя может быть не обязательно наше участие для сертификации.
Кстати по тому закону вообще больше вопросов организационных и для админов.
Так вот на скольку я помню не обязательно сертифицировать вообще все ПО. Сертифицировать надо то, что обеспечивает защиту от утечки. И вот тут может быть следующий подход: использовать криптозащиту всего раздела где храняться эти данные. Ведь по сути в любом документе офисном могут они содержаться.
Однако я не юрист -могу и ошибаться в своих выкладках.
может пригодиться ссылка http://www.reignvox.ru/privacy-guide.html
Вот еще почитайте [url]http://www.mail-archive.com/debian-russian@lists.debian.org/msg100076.html[/url]
Хотя может быть не обязательно наше участие для сертификации.
конечно нет! например сколько разработчиков разрабатывают дистрибутив линукса? тысячи! они и не в курсе, что их ПО получило сертификат.
Вот еще почитайте http://www.mail-archive.com/debian-russ … 00076.html
что-то не распарсил:
Не путайте. Операционная система и программное обеспечение есть разное
хоть и лежат в одной корзине.
UNUX/LINUX сертифицированы по C2 так же, как и Windows NT (XP и т.д.
исключая линейку DOS-ME). Это операционная система общего назначения,
которая выполняет все требования и нашего ГОСТа и оранжевой книги.
Для обеспечения закона N 152 "О персональных данных" требуется
использовать ПО которое отвечает требованиям безопасности, т.е. это
прикладное ПО
как можно надёжно сохранять данные в ненадёжной ОС?! только ОС сохраняет и защищает данные. Если в системе дыра, то не поможет никакое шифрование, ведь система имеет расшифрованный вариант этих данных! Если этот Виктор верно понял закон, то там написан полный бред, а следовательно этот закон не существует (де-юре).
Вот вам пример: некий витя ставит Сертифицированный и Не Ломаемый КриптоКонтейнер, а внутрь - венду 98 OSR 2RUS Warezz-edition. а некий петя регится на любимом витей ЛФ, с гиф-аватаркой, которая позволяет исполнять вредоносный код если на неё посмотреть из IE5. А этот код сливает ВСЕ витины данные на петин сервер. Ну и чем тут поможет сертификат? И контейнер?
с гиф-аватаркой, которая позволяет исполнять вредоносный код если на неё посмотреть из IE5.
поэтому у вити 64 битный проц у которого страницы памяти не являются исполняемыми
Вообще не важно закон какую ни будь пользу, да, принесет.
поэтому у вити 64 битный проц у которого страницы памяти не являются исполняемыми
1) для этого не нужен 64х битный проц.
2) венда 98 об этой фиче не в курсе, и там вся память исполняемая. Мало того, там одно приложение может читать данные в другом.
3) какая разница. Суть в том, что надёжное ПО не поможет залатать дыру в Системе. Не имеет смысла ставить сертифицированное ПО на не сертифицированную ОСь.
4) можно исполнять код без права исправления. Например любой скрипт. Или вообще любой код, если его подсунуть чему-нибудь, что это право имеет.
Вообще не важно закон какую ни будь пользу, да, принесет.
если я всё верно понял, то нет разницы, есть-ли вообще такой закон. Он не имеет юридической силы, и его невозможно применить. Только разве что как средство давления...
Он не имеет юридической силы
да ну
Например любой скрипт. Или вообще любой код, если его подсунуть чему-нибудь, что это право имеет.
Этот скрипт надо еще запустить
Этот скрипт надо еще запустить
[console]chmod -x script
sh script[/console]
прав нет, а скрипт работает. а запускать будем дырявой осью, например которая вместо вывода кривой картинки её исполняет :)
да ну
ну да.
сделайте запрет пить пиво настоящим русалкам. К кому вы будете применять этот закон, если русалок не бывает? smile
хотя в этой стране, не сомневаюсь, русалки будут схвачены, и публично наказанны по всей строгости :)
если я всё верно понял, то нет разницы, есть-ли вообще такой закон. Он не имеет юридической силы, и его невозможно применить. Только разве что как средство давления...
Это из разряда закон он на то и закон чтоб его нарушать?)
Наказания есть за несоблюдения этого закона, начиная от штрафов и кончая закрытием предприятия.
Просто этот закон доведен до абсурда, что личные данные приравниваются к гос тайне.
теперь в отделе кадров должна стоять невзламываемываемая сертифицированная система со всевозможными средствами зашиты, непробиваемый сейф, овчарка в кабинете, и два снайпера держащие кабинет под прицелом, чтоб никто не вздумал заглянуть в монитор и увидеть секретную информацию.
А вот давайте представим себе такую контору как яндекс. Если не ошибаюсь они используют freebsd (или другую unix систему), это им согласно этого закона что делать нужно? все серваки переносить на мандриву или альт т.к. у них есть сертификат ФСТЭК?
Или я что-то не так понимаю?
Просто этот закон доведен до абсурда, что личные данные приравниваются к гос тайне.
теперь в отделе кадров должна стоять невзламываемываемая сертифицированная система со всевозможными средствами зашиты, непробиваемый сейф, овчарка в кабинете, и два снайпера держащие кабинет под прицелом, чтоб никто не вздумал заглянуть в монитор и увидеть секретную информацию.
всё не так, реальность сегодняшней ситуации такова, что В ЛЮБОЙ МОМЕНТ, ВНЕЗАПНО, из пиндостана МОЖЕТ придти команда, которая парализует ВСЕ гос-учреждения. Понимаете? ВСЕ - от роддомов до ГБ. Я не очень силён в политике и бизнесе, я знаю, что это возможно технически. мало того, угроза может придти и не из пиндостана, а например из Чечни, или Грузии - достаточно сломать сервера обновлений мс. Естественно, всем ясно, что надо либо сделать свою ось, либо проверить чужую. Вот ФСТЭК и проверили. И выдали бумажку - "вредоносного кода нет". Бумажка называется "сертификат", и не удивительно, что ось с такой бумажкой продают. И не удивительно, что без бумажки не продают. У всех вещей есть сертификат, что удивительного, что его продают и проверяют? Кстати, сама кровавая ГБня уже давно себе запилила линух, и его использует везде, где есть хоть какой-то намёк на важность - называется МСВС. Причина даже не столько в каких-то "тайнах", причина в надёжности, и в том, что МСВС зависит только от МСВС и этого, как его.. ВНИИНС. У них есть договор с красной шапкой, но они его в любой момент могут и расторгнуть. А расторгнуть договор с мысы в любой момент не получится. Это надо все компы переводить на что-то другое. А с МСВС это не нужно, дыры и в ВНИИНС'е могут самостоятельно закрывать. И новые фичи тоже могут прикручивать.
А вот давайте представим себе такую контору как яндекс. Если не ошибаюсь они используют freebsd (или другую unix систему), это им согласно этого закона что делать нужно? все серваки переносить на мандриву или альт т.к. у них есть сертификат ФСТЭК?
Или я что-то не так понимаю?
а яндекс не гос-структура. насколько я понимаю, им это фиолетово. такие конторы как яндекс сами в состоянии проверить ос, и поддерживать её в актуальном состоянии. В отличие от какого-нибудь детского садика.
а яндекс не гос-структура. насколько я понимаю, им это фиолетово. такие конторы как яндекс сами в состоянии проверить ос, и поддерживать её в актуальном состоянии. В отличие от какого-нибудь детского садика.
исходя из закона, не важно гос ты структура или не гос, если обрабатываешь персональные данные будь любезен иметь бумажку, что твоё по и ос сертифицированы фстэком.
исходя из закона, не важно гос ты структура или не гос, если обрабатываешь персональные данные будь любезен иметь бумажку, что твоё по и ос сертифицированы фстэком.
разумно. или вы хотите, что-бы ВАШИ персональные данные утекли в свободный доступ из-за какого-то глюка венды? Я - не хочу.
Войдите или зарегистрируйтесь, чтобы ответить.
