LINUX.ORG.RU
ФорумTalks

Сисадмин оборонного предприятия получил условный срок за использование бесплатного ПО

 


1

0

https://www.securitylab.ru/news/540852.php

В 2022 году обвиняемый, будучи администратором информационной безопасности на предприятии, подключил свой рабочий компьютер к интернету и скачал из открытых источников программное обеспечение FreeRADIUS, которое он установил на сервере системы контроля доступа Cisco Secure ACS. Эта система была использована для организации безопасного доступа к информационным ресурсам предприятия, в том числе к объектам критической информационной инфраструктуры (КИИ).

Обвиняемый утверждает, что он действовал в интересах работодателя, так как система Cisco Secure ACS была устаревшей и дорогостоящей в обслуживании. Он заявляет, что он сэкономил предприятию почти 2,5 миллиона рублей за лицензию и поддержку программного обеспечения. Он также уверяет, что он предпринял все необходимые меры безопасности при подключении к интернету и использовании бесплатного ПО.

Начальник обвиняемого дал ему задание найти замену системе Cisco Secure ACS.

На мой взгляд всем айтишникам, имеющим отношение к госорганам, стоит искать новую работу. Система сошла с ума.

★★★★
Ответ на: комментарий от vbr

Не представляю, сколько денег надо платить, чтобы люди согласились с таким риском работать.

Риска нет, если соблюдать инструкции. Вот, например, инструкция: в магазине ничего нельзя брать не заплатив. Если не заплатите, Вас могут посадить за кражу. Случаев когда посадилилюдей за кражу из магазина полно! Значит ли это что Вы в магазин не заходите из-за рисков быть обвинённым в воровстве?

ArtSh ★★★
()
Ответ на: комментарий от Zhbert

Если ты про возможность допуска к «секретным« докам, когда пускают в кабинет под роспись, то да, оно начинается со второй.

У нас поначалу (несколько лет) постоянных вахтеров в секретной комнате не было. Потом «все перестроили» добавили «газу», в смысле натурально другая «атмосферка» в части заполнения помещения и с большой светящейся табличкой «ГАЗ» над дверью, стало чутка посложнее :)

Но и треться форма

Третья она лайтовая.

Не совершенно секретные, а просто закрытые.

Ага, так и есть, совсек это вторая форма, не выездной емним на 10 лет.

anc ★★★★★
()
Ответ на: комментарий от vinvlad

Капец!) Типа, чувак устраивается на работу в режимное предприятие. Его при приеме предупреждают: «не делай того-этого, иначе последует уголовное наказание», а он так про себя: «хи-хи, нашли чем меня - такого хитрожопого - пугать и стращать». А потом: «За что…?!»

Много чая vinvlad ! Замечательно описали!

anc ★★★★★
()
Ответ на: комментарий от Zhbert

Что инициатива — это очень даже неплохо, и может быть полезна.

Осознание того факта, что у инициативы могут быть последствия ценой в миллионы енотов, очень быстро остужает горячие головы. Ну или билет на улицу, с получением новой профессии.

utanho ★★★★★
()
Ответ на: комментарий от Zhbert

Может и 5, хотя не исключаю что нормы меняли. И не «после увольнения», а после снятия формы, это «две разные женщины».

anc ★★★★★
()
Ответ на: комментарий от vbr

Не представляю, сколько денег надо платить, чтобы люди согласились с таким риском работать.

По закону «О государственной тайне» (PDF) ©.

Старая таблица надбавок за режимность ©:
ОВ – 50 - 75%
СС – 30 - 50%
С – 10 - 15%
Реальный диапазон «ширше», за работу на полигонах, в ночное время, …
Особенно сейчас, «когда косинус >5», кое-где кратный «оклад жалования».

quickquest ★★★★★
()
Ответ на: комментарий от dicos

Начальник не мог сказать никакого угу. Есть реестр ПО на сайте ФСТЭК. Вот в зависимости от режимности там и надо выбирать было ПО на замену. И если бы там никаких альтернатив не было бы, то и угукать можно было бы до посинения.

imul ★★★★★
()
Ответ на: комментарий от dicos

Так на всë, что не регламентируется надо просить письменный приказ. И тогда присел бы начальник. Но, я на 100% уверен, что письменно начальник ничего бы не написал. Ко мне как-то деятели из ОБ подкатывали, мол дай нам доступ к архиву почты сотрудников. Я их послал за письменным приказом гендира. На этом они успокоились и даже не ходили никуда.

imul ★★★★★
()
Ответ на: комментарий от imul

Я их послал за письменным приказом гендира

Гендир гендиру рознь, но направление правильное. Хотим? Пишите служебку. И в «немаленьких» компаниях очень часто все заканчивается на этой фразе. Из опыта: «Хотим!» Я:«Пишите служебку, все будет зашибись» (не от меня зависело, служебка должна уйти выше) и я знаю что там «два клика мышкой» пять нажатий в терминале, ибо до реорганизации имел полный доступ, но теперь оно «не моё стало», так что только через служебки.
Дык народ часто сливался на этом. Начиная от «нее это стремно», заканчивая «люлями» от начальника в виде «опупели? нах зачем вам это нужно»
И таки на таких служебках я ставил свою подпись, в качестве дополнительной/подтверждающей.

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 1)
Ответ на: комментарий от imul

хорошо, сертифицированный софт безопаснее?
сколько ошибок сертификация исправила?
где эта статистика, ведь про хорошее люди молчать не станут, не так ли?
А вот про мнимые, не проверенные достоинства громко кричать любят.

s-warus ★★★
()
Ответ на: комментарий от s-warus

хорошо, сертифицированный софт безопаснее?

Выпущенная по госту колбаса «безопаснее» выпущенной не по госту из ближайшей «мяукалки»?

anc ★★★★★
()
Ответ на: комментарий от s-warus

С точки зрения прикрывания задницы он как раз несравненно безопаснее. Ты хотя бы понимаешь смысл процесса сертификации? Или ты под дурачка даже не пытаешься косить?

imul ★★★★★
()
Ответ на: комментарий от ArtSh

Риска нет, если соблюдать инструкции. Вот, например, инструкция: в магазине ничего нельзя брать не заплатив. Если не заплатите, Вас могут посадить за кражу. Случаев когда посадилилюдей за кражу из магазина полно! Значит ли это что Вы в магазин не заходите из-за рисков быть обвинённым в воровстве?

Передергиваешь, нет никаких инструкций по хождению в магазин, тем более за которые могут посадить. Кража - это общее понятие и наказывают за нее не потому что инструкция, а потому что незаконный отъем собственности.

А насчет соблюдения инструкций бывают ситуации, когда например, инструкции от ИБ прямо противоречат инструкциям от пожарной охраны. И за нарушение любой из них могут вздрючить. Какую будешь нарушать?

praseodim ★★★★★
()
Ответ на: комментарий от cobold

Почти всегда приходится искать баланс между соблюдением инструкций/законов и эффективностью. Любой регламент - это помеха. Обе крайности плохи, будешь соблюдать все законы/уставы - тебя скорее всего обгонят, а ты вместе со своей работой/взводом окажешься в опе. Будешь нарушать - есть риск потерять очень много.

Но даже застойный совок был гораздо адекватнее и сбалансированнее по части соблюдения/пренебрежения регламентов и уважения к людям. В аналогичной ситуации почти на любом режимном предприятии собрались бы начальник отдела с безопасниками и с куратором, изучили проблему, а затем надрали бы уши пацану и написали документ, что или происшедшее состоялось в офлайне, или что на компьютере не было ничего секретного, или нашли бы отмазывающий пункт в регламенте, или что-нибудь в этом духе. Короче, убедились бы, что злого умысла не было, ущерба не нанесено и отмазали бы пацана от уголовки. Так что история с одной стороны вроде по закону правильная, а с другой мерзковатая

vaddd ★☆
()

Почитайте дело, там не за экономию и фрирадиус далеко. Так себя вести на режимном предприятии - ССЗБ. Не посадили кстати, и ладушки.

yu-boot ★★★★★
()
Последнее исправление: yu-boot (всего исправлений: 1)
Ответ на: комментарий от vaddd

Про союз мне сложно, т.к. в сознательном возрасте не застал, уж тем более что там в режимных предприятиях происходило. Но судя по тому что на слуху, союз был разным. Можно закон о колосках вспомнить, например. Да и такую ситуацию в союзе представить сложно, потому что не было вот этого вот - проковырять на свиче дырку для того чтобы с работы жене писать в мессенджер.

Про баланс ты прав. Но выбор тут не простой. На примере пожарной безопасности. Вот допустим пришел проверяющий не с целью денег срубить, а сделать свою работу. Видит нарушение( перекрыт эвак выход ). Оформил нарушение, предписание на устранение, ушел. Пришел еще раз, видит снова нарушение. Сажать ответственного? Но вроде не за что, ничего же не случилось, и мы не людоеды. Потом случается пожар, несколько человек отрезано огнем и не могут выбраться, эвак выход перекрыт. Ок, тут трагедия случилась, ответственного посадили, если догнали, кого-то из надзора уволили. Но такой способ дрессуры владельцев собственности и надзорных служб не выглядит эффективным решением, слишком дорого обходится обществу

cobold ★★★★★
()
Ответ на: комментарий от cobold

потому что не было вот этого вот - проковырять на свиче дырку для того чтобы с работы жене писать в мессенджер.

Да было что угодно - и на казенном оборудовании для себя что-то делали, включая и радиопередающее, и стрелковое что-то, и выносили любые ценности, и на копировальном аппарате что-то печатали. Или запорол регулировщик плату от номерного изделия, а премию терять не хочется - унес ее на выходные домой вместе с комплектом документации. Так что пожалуй побольше чем мессенждер )

На примере пожарной безопасности.

Случаи то тоже разные бывают. Вот реальный пример - в лудилке сломалась вытяжка. По технике безопасности там работать нельзя - не просто вредно, а духан такой, что привычных с ног собьет. Надо останавливать работу цеха на 200 человек на несколько дней. Парнишка-технолог взял на себя риск, позвал двух грузчиков с ломами, выломал заложеннное кирпичом окно (отчего цех получил бесконтрольную дырку на улицу - выноси что хочешь), поставил промвентилятор на вытяжку. Начальник цеха на словах дал добро и сразу от греха подальше на больничный убежал. Сплошные нарущения - и ТБ, и режимности, и чего-нибудь строительного. Зато эффективно )

vaddd ★☆
()
Ответ на: комментарий от praseodim

А в Ашане, например, по громкой связи такие инструкции говорят! Например не ешьте продукты до того как оплатите продукты на кассе. Так что всё верно.

Какую будешь нарушать?

Ту, которую начальник письменно прикажет.

ArtSh ★★★
()
Ответ на: комментарий от vaddd

Парнишка-технолог взял на себя риск, позвал двух грузчиков с ломами, выломал заложеннное кирпичом окно (отчего цех получил бесконтрольную дырку на улицу - выноси что хочешь), поставил промвентилятор на вытяжку.

Откуда у него деньги на вентилятор и двух грузчиков?

ArtSh ★★★
()
Ответ на: комментарий от ArtSh

в Ашане, например, по громкой связи такие инструкции говорят! Например не ешьте продукты до того как оплатите продукты на кассе

Помогает? Я часто вижу таких товарищей, которые то сами лимонад выжрут и булку съедят, а потом на кассу кидают мусор для оплаты, то детям дают мусолить и облизывать, а потом тоже на кассу выкладывают…

Zhbert ★★★★★
()
Ответ на: комментарий от Zhbert

Ну вот, риск! А из-за риска vbr в Ашан не ходит!

ArtSh ★★★
()
Ответ на: комментарий от ArtSh

Откуда у него деньги на вентилятор и двух грузчиков?

Вы с ума сошли, какие деньги? ) Грузчики - штатные работники цеха, вентилятор выписал с заводского склада. СССР же )

vaddd ★☆
()
Ответ на: комментарий от vaddd

Вот лошара! Нужно было ждать и чаи гонять, в цеху вентиляцию не исправят, а он мало того что всех остальных заставил работать и вредными испарениями дышать, так ещё и забесплатно нарушил массу инструкций!

ArtSh ★★★
()
Ответ на: комментарий от vaddd

Вы прекрасно справляетесь самостоятельно! 200 человек этому энтузиасту явно не желали здоровья, раз он им так его подпортил.

ArtSh ★★★
()

Фришного говна какого-то поставил, которое не имеет даже фиговой сертификации. Ссзб. Легко отделался еще.

crutch_master ★★★★★
()
Последнее исправление: crutch_master (всего исправлений: 1)

Он также уверяет, что он предпринял все необходимые меры безопасности при подключении к интернету и использовании бесплатного ПО.

Сделал реверс фрирадиуса и проверил на закладки? Ну и клован.

crutch_master ★★★★★
()
Ответ на: комментарий от ArtSh

А в Ашане, например, по громкой связи такие инструкции говорят! Например не ешьте продукты до того как оплатите продукты на кассе. Так что всё верно.

Это не инструкция, а по большому счету пожелание. Естественно у покупателя сохраняется обязанность оплатить товар, оставив упаковку.

Ту, которую начальник письменно прикажет.

Ситуация совсем не выдуманная. Емнип даже как-то здесь на ЛОР обсуждали. Инструкции и приказы от безопасника требуют, чтобы все было закрыто, решетки на окнах, мышь не прошмыгнула и враг не просочился, а инструкции от пожарного надзора, чтобы наоборот - решетки снять и проход разгородить.

А насчет начальника письменно прикажет, он такой приказ не выпустит, максимум подтвердит, что ты ВСЕ должен исполнять.

И еще насчет выполнения инструкций. Иногда за их выполнение можно не то, что сесть, а оказаться расстрелянным, как генерал Павлов в 1941. Поучительная история, которую стоило бы в учебниках приводить. Фактически (а не юридически) его расстреляли за выполнение приказов (Директивы №2), которые в той обстановке были неуместными и даже вредными и привели к развалу фронта.

Возвращаясь к безопаснику и пожнадзору. Если у тебя есть совесть и сила воли такого выбора даже не будет, ты в первую очередь позаботишься о том, чтобы случись чего люди не сгорели в пожаре. Ну или хотя бы уволишься и скажешь, что отвечать за маразм не собираешься.

Даже чисто практически, если не дай Бог возникнет пожар и кто-то сгорит, потому что ты выполнил приказы безопасника, то практика показывает, что самый крайний всегда тот, кто непосредственно обязан был выполнить все меры и хрен ты отмажешься, что тебе приказали.

Вообще, есть специальные меры пожарной безопасности для особо защищаемых (в спецпонимании) помещений, но они требуют дополнительных денег и мороки и руководство может захотеть тут схалявить.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 4)
Ответ на: комментарий от ArtSh

А как иначе то? Любое предприятие, а оборонные особенно, кормило людей гораздо больше премиями и прогрессивками, а не окладом. Оклад мог быть 180, а с премиями 300-400-500 могли на руки давать. Сорви они сроки поставки - премий за досрочное выполнение плана не видать.

Но имейте в виду - я это вам говорю для общего информирования, а не в попытке вас в чем-то убедить )

vaddd ★☆
()
Ответ на: комментарий от crutch_master

Фришного говна какого-то поставил, которое не имеет даже фиговой сертификации. Ссзб. Легко отделался еще.

Ага, зато проприетарная и даже в нынешних условиях чуть ли не вражеская Cisco ACS вся из себя безопасная только потому что кто-то ей формально сертификат выдал однажды.

А вообще, не спалили бы левое подключение к интернету, так бы, скорее всего, как ее поставил, так и работала бы она вместо циски после окончания лицензии. Админу показалось геморойно накатывать фрирадиус через флешки, ну и мда.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 1)
Ответ на: комментарий от vaddd

Конечно-конечно! Всем! Каждый месяц! И каждый квартал! Всем премия! И, конечно, технологу! Сразу 500! За то что всем премию не срезали! И машины у всех! Особенно у юного технолога! И в Болгарию каждый год!

ArtSh ★★★
()
Ответ на: комментарий от praseodim

У Вас что в должностной инструкции написано? Заниматься строительным ратники и администрировать сервера? Обычно что-то одно. Павлов, напомню, был генерал, а не инженер. И управлял не 10 и даже не тысячей человек, а поболее.

ArtSh ★★★
()
Ответ на: комментарий от ArtSh

Конечно-конечно! Всем! Каждый месяц! И каждый квартал! Всем премия! И, конечно, технологу! Сразу 500! За то что всем премию не срезали! И машины у всех! Особенно у юного технолога! И в Болгарию каждый год!

Совершенно верно. Причем большинство из сказанного. На впк предприятиях оклады были приличные, премии - практически ежемесячно. По итогам года - 13-я зп, иногда 14-я. Машины у многих, особенно если мелкий руководитель, типа начальник участка, начальник техбюро, регулировщики - каждый второй, опытные работяги с большим стажем иразрядом - почти каждый первый. У начцеха - газ-24, у остальных - жигуленки-москвичи. На завод каждый год приходила разнарядка на несколько десятков машин, так что желающие через три-пять лет работы могли купить. Плюс строили кооперативы. В Болгарию ездили не особо - это все-таки ВПК ) Но из нережимных цехов - вполне.

Тяжело это наверное, уложить в голове, особенно после того, как кто-то до этого вам мозг загадил своими сказками, да? )

vaddd ★☆
()
Ответ на: комментарий от vaddd

Конечно тяжело, ведь я математику знаю. Цех на 200 человек явно не единственный, несколько десятков машин в год означают что машины у многих могут появится только лет через 50… Так что остаётся только верить, про машины у многих, про премии практически каждый месяц, и особенно про 500р. На руки!

ArtSh ★★★
()
Ответ на: комментарий от ArtSh

Конечно тяжело, ведь я математику знаю

а пользоваться не умеете

машины у многих могут появится только лет через 50…

Вы пытаетесь подойти к покупке машин с современными мерками ) Большинству машины и не нужны были - это хлопотно и дорого. А вам наверное кажется, что народ бился в очереди. Любой десять раз бы подумал прежде чем отдавать полностью зарплату за год-два, для того, чтобы оказаться в мучительном поиске гаража )

Так что остаётся только верить, про машины у многих, про премии практически каждый месяц, и особенно про 500р. На руки!

Видите, как я вас травмировал ) Кстати, регулировщики на несерийном оборудовании получали около 1000 - на руки и каждый месяц )

vaddd ★☆
()
Ответ на: комментарий от ArtSh

У Вас что в должностной инструкции написано? Заниматься строительным ратники и администрировать сервера? Обычно что-то одно.

Что за строительным ратники? У меня такого выбора не стояло, у некоторых был, хз, что там у них в должностных инструкциях. Сисадмины иногда и начальниками отделов вообще-то бывают.

Павлов, напомню, был генерал, а не инженер. И управлял не 10 и даже не тысячей человек, а поболее.

Это просто масштаб. Суть примерно таже была. Объективно вредные в текущей обстановке вышестоящие приказы, которые по всем правилам надо исполнять.

В любом случае, смысл в том, что если тебе приказали какой-то маразм делать, это еще не значит, что его надо делать, потому что инструкции и приказ, иногда правильнее НЕ делать. В сабжевом случае не та ситуация, конечно, просто как пример.

praseodim ★★★★★
()
Ответ на: комментарий от ArtSh

про премии практически каждый месяц, и особенно про 500р. На руки!

Вообще-то с премиями и сейчас так. Основной оклад может быть маленьким и регулярная премия. Так в госах наверное везде, но и в коммерции обычно такой же подход, разве что зарплата совсем уже сдельная.

500р. на руки в СССР платили не каждому, но в оборонке тогда платили щедро, могу поверить.

praseodim ★★★★★
()
Ответ на: комментарий от praseodim

Строительными работами.

Это просто масштаб.

Это не просто масштаб. Начальник такого уровня сам может издавать приказы, менять инструкции и т. п. Простой системный администратор так не может. Если начальник не хочет менять инструкции, то пусть берёт на себя ответственность.

ArtSh ★★★
()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)