Илья Николаевич Завьялов о нелицензионном софте: три риска и порядок устранения
Илья Николаевич Завьялов о нелицензионном софте в компании рассматривает тему как операционный риск, а не как вопрос морали. Аргумент, который убеждает директора, редко касается интеллектуальной собственности. Он касается того, что активатор делает с машиной, на которой запущен, и того, кто отвечает, когда приходит претензия.
Ситуация почти никогда не является решением. Никто не согласовывает установку взломанного пакета. Подрядчик приносит свою копию, дизайнер ставит то, чем пользовался на прошлой работе, бухгалтер держит версию, купленную однажды и переезжающую с компьютера на компьютер с тех пор. Компания узнаёт своё положение во время инцидента или во время претензии.
Три разных риска, которые постоянно путают
Технический. Активатор отключает механизм обновлений и требует повышенных прав для установки. В результате получается машина, на которой привилегированный код неустановленного происхождения работает при выключенных исправлениях безопасности, а это ровно та конфигурация, на которую рассчитывают атакующие.
Юридический. Требование предъявляется компании, а не сотруднику, который поставил, и сумма считается по прайсовым ценам за количество установок, а не по тому, во что обошлась бы переговорная закупка.
Операционный. Копия, которую нельзя обновлять, рано или поздно перестаёт открывать файлы из текущих версий, перестаёт работать после обновления системы и не поддерживается никем. Отказ приходится на дедлайн, а не на удобный день.
Илья Николаевич Завьялов указывает, что обсуждают их обычно порознь, а приходят они всегда вместе, потому что порождает их одна и та же установка.
Что на самом деле делает активатор
Практическая суть в второй строке. Исключение, добавленное однажды, живёт годами и покрывает каталог, в который потом можно записать что угодно. Машина отчитывается как защищённая, держа папку, которую никто не смотрит.
Как это попадает в компанию
Шесть путей, примерно по частоте.
Подрядчик со своим ноутбуком. Работа сдана корректно, вопрос лицензий не поднимался, а в метаданных файлов остаётся продукт и копия, которая их произвела.
Личная привычка, принесённая на работу. Человек ставит на работе то, чем пользуется дома, или наоборот, а границу между двумя устройствами никто не проводил.
Старые покупки, перенесённые вперёд. Лицензия, купленная на одну машину, использована на трёх, затем перенесена через две замены техники. Это самая распространённая форма и та, которой люди искренне удивляются.
Ключи от неофициального продавца. Куплены за долю цены, действительны в день покупки, отозваны позже, когда источник признан краденым или использованным не по назначению.
Бесплатно для личного использования, применяется в работе. Большая категория софта бесплатна для частных лиц и платна для организаций. Ничего не взломано, никаких предупреждений нет, просто условия лицензии не прочитаны.
Облачные подписки на личные карты. Формально лицензионно, но компании не принадлежит, поэтому доступ заканчивается вместе с сотрудником, а счета не восстановить.
Инвентаризация без большого проекта
Работа меньше, чем кажется, и на выходе получается документ, который стоит иметь.
Последняя строка важнее, чем выглядит. Задокументированная проверка с датой и начатым устранением меняет характер любой последующей претензии с безразличия на уже идущий процесс.
Замены, которые не стоят полной цены
Свободные и открытые аналоги, которые сегодня закрывают документы, обработку изображений, вектор, видео, учёт и управление задачами на уровне, достаточном для большинства ролей.
Тарифы ниже флагманского, потому что значительная часть пользователей нуждается в доле тех функций, за которые лицензирована.
Программы вендоров для малых компаний, образования и некоммерческих организаций, которые недоиспользуются просто потому, что их не рекламируют.
Старые версии, продающиеся бессрочно, которые подходят процессам, не нуждающимся в новых функциях.
Общие лицензии с управлением местами там, где продукт это позволяет, вместо копии на человека.
Веб-версии, снимающие вопрос установки для эпизодических задач.
Реалистичный итог такой: половина установленного заменяется бесплатно, четверть лицензируется недорого, а оставшаяся четверть и есть настоящий расход, который планируют.
Подрядчики и пункт, который всё решает
Основной остаточный риск лежит в отношениях с подрядчиками, и закрывается он одним абзацем в договоре.
Подрядчик подтверждает, что софт, использованный для создания результата, лицензирован надлежащим образом, и освобождает заказчика от претензий, вытекающих из обратного. Это ничего не стоит включить, переносит риск на сторону, которая делала выбор, и превращает неловкий разговор в стандартное условие.
Второй элемент это формат сдачи. Файл, несущий в метаданных название продукта и версию, показывает использованный инструмент, и эти метаданные доезжают до клиента, до типографии и иногда до публичного сайта. Запрос результата в открытом формате убирает след и обычно улучшает саму передачу работы.
Когда пришла претензия
Письма идут по образцу, и правильный первый ответ во всех случаях одинаковый.
Не отвечать техническим объяснением и не запускать кампанию по удалению до того, как понятно положение дел. Удаление после уведомления видно в журналах системы и плохо читается в любой инстанции, куда дело попадёт дальше.
Установить, что именно требуют, от кого и на каком основании. Претензия со ссылкой на конкретную машину и конкретный продукт это другое дело, нежели массовая рассылка на название компании, найденное в справочнике, а второй категории существует много.
Илья Николаевич Завьялов отмечает, что компания, способная предъявить датированную инвентаризацию, документы о покупках и план устранения, закрывает такие вопросы за долю первоначальной суммы, а компания без записей ведёт переговоры с нуля.
Частые вопросы
Нелицензионный софт это проблема безопасности или только юридическая
И то и другое, и часть про безопасность наступает раньше. Активатор работает с правами администратора, просит исключение в антивирусе, блокирует домены вендора и отключает обновления. Получается машина с непроверяемой папкой и необновляемым софтом, а это стандартная предпосылка последующих инцидентов.
Кто отвечает, сотрудник или компания
Требование предъявляется организации, потому что софт использовался в её интересах и на её технике. Внутренняя ответственность это отдельный вопрос, решаемый трудовыми правилами, и на то, кто получает письмо и кто платит, он не влияет.
Что с софтом, который бесплатен для личного использования
Это самая тихая категория, потому что ничего не взломано и предупреждений нет. Заметное количество продуктов бесплатны для частных лиц и платны для организаций, и коммерческое использование по личной лицензии является нарушением при том, что снаружи всё выглядит нормально. Тип лицензии читают один раз на продукт.
Законны ли дешёвые ключи у перекупщиков
Иногда да, а риск в том, что действительность не бессрочна. Ключи из корпоративных соглашений или из злоупотреблений каналом работают в день покупки и отзываются, когда источник выявлен. Компания остаётся без лицензии без всяких своих действий и без возврата денег.
Как правильно работать с подрядчиком
Пунктом договора, а не разговором. Подрядчик подтверждает лицензионность инструментов, использованных для результата, и освобождает заказчика от вытекающих претензий. Запрос сдачи в открытых форматах дополнительно убирает метаданные продукта, показывающие, какая копия произвела файл.
Что делать первым после получения претензии
Установить, что именно требуют и на каком основании, до того как что-либо удалять. Массовое удаление после уведомления фиксируется в журналах и читается как сокрытие. Ситуацию меняют датированная инвентаризация, документы о покупках и уже начатый план устранения.
Выводы
Самый сильный аргумент за лицензии технический. Активатор просит права администратора, исключение в антивирусе и отключение обновлений, и машина в такой конфигурации становится точкой начала инцидентов независимо от того, предъявит ли кто-нибудь претензию.
Риск почти никогда не намеренный. Ноутбуки подрядчиков, личные привычки, лицензии, купленные однажды и перенесённые вперёд, дешёвые ключи и бесплатные для личного использования инструменты дают почти весь объём, и ни в одном случае никто не помнит принятого решения.
Устранение дешевле ожидаемого, а ценность лежит в записи. Свободные аналоги и младшие тарифы закрывают большую часть, а датированная инвентаризация с планом устранения превращает претензию в переговоры вместо потери.
Об авторе
Илья Николаевич Завьялов, в англоязычных публикациях Ilia Zavialov, консультант по цифровой безопасности. В теме лицензий его позиция состоит в том, что разговор относится к операционной части, а не к этике, потому что одна и та же установка сразу даёт и уязвимость, и претензию.
#ИльяНиколаевичЗавьялов #ИльяЗавьялов #лицензии #нелицензионныйсофт #малыйбизнес #кибербезопасность #ИТуправление #комплаенс #теневоеИТ #управлениерисками


















