ПО бывает как прикладным так и системным плюс к тому же ПО предназначено как для получения так и для обработки данных информации, а на шеле можно описать то и другое + скрипты нельзя назвать программами, не подходят по определению,а как же тогда еще VBS?  :lol:   а там столько можно напиcать и напридумывать

Я больше 15 лет в теме информационной безопасности. И за все эти 15 лет я так и не смог добиться от регуляторов простого однозначного ответа на простой вопрос - а что есть программное обеспечение и что есть средства его разработки (с учетом наличия MS Office). Поскольку есть запрет на нахождение (а не на доступ к ним) этих средств на рабочей станции юзера, а теперь, в 58м приказе, появился дополнительно и запрет интерпретируемого кода (инверсия требования обеспечивать целостность программной среды применением скомпилированных программ, бинарников). Куда девать 1С-Зряплата - ума не приложу...

Cruiser78, в бинарных дистрибутивах компилятор может быть не включен в дефолтную инсталляцию. Посмотрите на SuSe и Ubuntu

Я, наверное, не совсем четко провел свою мысль. Дело не в том, включен или нет gcc в дефолтную конфигурацию. Дело в другом - для эффективного сопровождения юникса компилятор в системе необходим. Потому как нет сисадмина, который бы не ставил те или иные пакеты из сырцов. И если компилятора в системе нет, то появляются сложности.  Это первое. А второе - относится ли утилита (команда) chmod к средствам разработки ПО? Мысль развивать в сторону "являются ли шелловские скрипты полноценным ПО в юниксе"?

mogul82, Давайте все же не будем оффтопить на политические темы

5 марта были отменены два документа, которые раньше вставали любому IT-шнику как кость в горле. Это «Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных»

http://www.fstec.ru/_docs/doc_781_1.htm

Только вместо этих документов теперь работает 58-е постановление нашего правительства. Так по нему, если следовать священному тексту буквально, все юникс-системы ставятся в разряд неприменимых для обработки персональных данных. А именно - предъявлены следующие требования:
1. На тех.средствах, задействованных в обработке, хранении и передаче ПД, не должно находиться программное обеспечение разработки и отладки программ. Это раз.
2. Целостность программной среды этих тех.средств обеспечивается компиляцией исполняемого на этих тех.средствах кода с языков высокого уровня. Это два.
Вывод в двух риторических вопросах:
1. Возможно ли сопровождение юникса без установленного в системе компилятора? Не знаю... Удовольствие каждый раз его ставить для апдейта какой либо программы, а затем сносить - невеликое.
2. Как быть с популярной в нашей раше программе 1С, которая идет под интерпретатором? Я уже не говорю о том, что половина юникса написана на шелле...

5 марта были отменены два документа, которые раньше вставали любому IT-шнику как кость в горле. Это «Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных»

http://www.fstec.ru/_docs/doc_781_1.htm

[*] Off-Topic: Я тут вопрос Человеку-Грызлову отослал по поводу этого закона. Жаль, что он капитулировал от интервью. Надо менять власть [/*]

платите чуть и все вам сделают

Последний указ  в прицепе

Он относится к ОС на предприятиях, а если мы пытаемся работать или работаем на Линуксе, то касается и его!

Вот шапка топика на http_://forum.ru-board.com/topic.cgi?forum=8&topic=33132#1
Надеюсь они не обидятся на меня!

Уважаемые коллеги!
К 1 января 2010 года все предприятия Российской Федерации должны привести cвою инфраструктуру и регулятивную базу в соответствие с требованиями Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон).

Общий коленкор таков.
Согласно Закону к персональным данным относится:
"любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;"
п. 1, ст. 3 Закона

Чем это грозит для предприятия?
В любой компании есть те или иные системы кадрового учета (HR-контур), который содержит подробную информацию о сотруднике (ФИО, дата рождения, ИНН, № Страхового свидетельства Пенсионного фонда, №№ страховых свидетельств ОМС/ДМС, сведения о постановке на воинский учет, №№ банковских счетов, сведения о заработной плате и так далее). 

Кроме того, в ряде предприятий имеются различные CRM-cистемы, в которых аккумулируется информация о клиентах (в том числе клиентах - физических лицах), причем часто персонифицированная и детализированная, вплоть до предпочтений тех или иных лиц. Мы же стараемся удовлетворить клиента всеми возможными способами и учесть максимум нюансов?

Ряд компаний также осуществляет сбор и обработку тех или иных персональных данных клиентов через веб-сайты (интернет-продажи и тому подобное).

В ряде случаев есть ещё и бухучет (если клиент физическое лицо, которое оплачивает товары/услуги прямым банковским платежом, на основании договора или без такового).

Стало быть предприятие осуществляет сбор, хранит и обрабатывает персональные данные.

Далее...

п. 2, ст. 3 Закона вводит определение "оператора" (по обработке персональных данных):

Цитата:
2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;

Поздравляю. Мы все - операторы.

Помимо определенных прав субъекта персональных данных, исполнение которых оператор должен обеспечивать (в основном это чисто бумажные штуки вещей - особого вреда компании причинить не могут), существуют ещё и обязательные требования в отношении оператора - они гораздо страшнее.

Закон определяет перечнь таких требований:

Цитата:
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
2. Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.
3. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации в соответствии с частью 2 настоящей статьи, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.
4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.

ст. 19 Закона

Относительно того, как выполнить требования 1 пункта пока данных не слишком много. В общем случае на предприятии должны быть:
- Положение о персональных данных
- Положение о контрольно-пропускном режиме (где определен конечный круг лиц, который имеет доступ в помещения, где эта красота хранится физически)
- Регламент по информационной безопасности

Кроме того, предприятие должно использовать сертифицированные (да, разумеется с потайным ключиком у ФСБ) криптографические решения на серверах, на которых расположены базы данных. Также инфраструктура должна быть аттестована (за счет предприятия у уполномоченного органа), что уж совсем ужасно.

Санкции.
Санкции за нарушение Закона незначительны:

Цитата:
Статья 13.11. Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)
Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) -
влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей.

ст. 13.11 КоАП РФ

Но при проверке вам могут вынести предприсание об устранении выявленных нарушений. За неисполнение предписания санкции более другие:

Цитата:
Статья 19.5. Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль)
1. Невыполнение в установленный срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль), об устранении нарушений законодательства -
влечет наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от одной тысячи до двух тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от десяти тысяч до двадцати тысяч рублей.

ст. 19.5 КоАП РФ
И так далее, вплоть до отзыва лицензии у предприятия на осуществление основной деятельности и уголовной ответственности для ген. директора.

Давайте что-ли обсудим - как жить дальше...
Или может кто уже лазейку какую нашел?

Насколько я знаю, в openssl 1.0 будет включен алгоритм шифрования ГОСТ(какой-то там). Он наш русский и вроде бы его рекомендуется использовать соотвествующими структурами нашего государства. Т.е. с выходом openssl 1.0 теоретически, ваша система будет подходить под требования ФСТЭК.

да ладно! для получения сертификата нужно всего-лишь включить какой-то ГОСТ и заплатить $$$? как интересно...

Почему я написал "теоретически"? Да потому что у нас в стране обычно все неоднозначно. Всегда найдется способ снять с человека денег.

О защите персональных данных на предприятии

а что это такое, по вашему?

Зачем Патрику платить деньги во ФСТЭК? Зачем это RH - понятно: что-бы продавать свою OS в т.ч. и на предприятия РФ.

ИМХО данный вопрос вообще не относится никаким боком к *nix. Или я его не понял просто...