Audyt legalności oprogramowania

[kostek8]

Poproszę o podpowiedź - dostałem temat z którym próbuję się mierzyć: to próba wykonania audytu oprogramowania.

Dodam, że tematem wcześniej się nie zajmowałem.

Szukałem darmowych narzędzi i tu się powiodło znalazłem dwa: Winaudit i Everything (wersja beta) które nadają się do ewentualnego wykorzystania komercyjnego.

Przeprowadziłem skan kilku jednostek i zabrałem się za plan raportu.

Jak do te pory największym problemem jest dla mnie jednoznaczna interpretacja zapisów licencyjnych pod kątem możliwości komercyjnego wykorzystania (czy też możliwości przetrzymywania ich na firmowym dysku). 

Oczywiście mam świadomość tego, że podejmując się tego zadania potrzebna jest ponadprzeciętna wiedza z zakresu licencjonowania i praktyka (jednak chwilowo nic w tych tematach nie będę w stanie zmienić)... i tu pojawiają się pytania.

 

1. Czy oprogramowanie komercyjne z zakresu audytu zawiera coś takiego jak wzorce identyfikujące aplikacje które z "automatu" zaznaczają nam aplikacje wymagające posiadania licencji ?

2. Chodzi mi o to czy są aplikacje lub bazy do nich pozwalające ominąć w pewnym stopniu etap analizowania każdej licencji ? Czy może ocena legalności wynika raczej tylko z wiedzy otrzymanej z własnej interpretacji zapisu licencyjnego i informacji udzielanej przez producenta danego oprogramowania ? 

3. Czy ewentualnie da się gdzieś zdobyć taką bazę zawierającą osobno zapisy które skrócą proces sprawdzenia licencji ?

4. Czy ma ktoś możliwość udostępnić jakąś nawet poobcinaną (z danych firmowych) wersję raportu z wykonanego audytu ? Interesuje mnie w szczególności opis zaleceń pokontrolnych i rozdziału z wykazem oprogramowania wymagającego zmiany/usunięcia/zakupu licencji.

5. Mógłbym tu podać kilka programów i poprosić o podpowiedź chociaż nie rozwiąże mi to oczywiście tematu: AFPL Ghostscript 8.54 wraz z fontami, Irfanview, MPC-HC 1.6.4.6052, PrimoPDF, Retriever 1.1.4.0, ScanSoft PaperPort 11. 

Będę wdzięczny za każdą pomoc i uwagi które ułatwią mi wykonanie zadania.

Edytowane 10 Grudnia 2013 przez kostek8

[_KaszpiR_]

Szczerze powiedziawszy to nie uzywalem komercyjnych softow do tego rodzaju analiz, jest za to kilka opensource'owych aplikacji ktore pomagaja zbierac dane informacje.

 

Najpierw robisz liste aplikacji i licencji jakie zostaly zakupione przez dana firme/osobe - na bazie faktur, emaili potwierdzajacych.

Musisz np zdefiniowac jakigo rodzaju jest to licencja:

- czy jest to licencja per stanowisko, aktywacje, czy jednoczesnie dzialajacych klientow w systemie (np limit 5 klientow online, mimo, ze masz np 20 instalacji softu w firmie)

- czy aktywacja wymaga dodatkowych elementow jak np serwer licencjonowania wewnatrz firmy, czy aktywacja przez internet/telefon, czy moze aktywje sie poprzez np 'dongle' czyli klucz podpinany w port USB/COM1/LPT

- czy jest to licencja tzn MAK (multi activation key, np Microsoft ma takie dla firm, do 50 aktywacji na kluczu), czy moze Volume License

 

Potem robisz inwentaryzacje softu poprzez przeskanowanie zainstlowanych programow - soft wyciaga klucze albo identyfikatory licencji.

Potem mozesz zestawic to z liczba licencji i trzeba podjac decyzje na jakich komputerach trzeba odinstalowac soft lub dokupic licencje/zmienic plan licencjonowania.

 

Z darmowych softow to do tego jest OCSInventory + GLPI lub FusionInventory + GLPI - mozna z paczek w debianie zainstalowac (i chyba tez w ubuntu). Potem mozna w OCSInvenotry dorzucic dodatkowe specyfikacje oprogramowania i wersji. W GLPI mozna ustawic za to informacje o licencjach.

Potem na komputerach uzytkownikow instalujesz soft i przy instalacji wskazujesz adres serwera z ocsinventory i mozesz np wymusic wykonanie inwentaryzacji natychmiast.

Jest tez opcja wygenerowania raportu na komputerze klienta jak nie ma np polaczenia z internetem, wtedy plik wynikowy mozna zapisac na pendrive a potem zaimprotowac do OCSInventory.

 

W efekcie w GLPI mozna potem zrobic raport nt liczby zainstalowanego oprogramowania wg nazwy i wersji.

 

Jesli nie chcesz robic nowego komputera z serwerem z debianem to najlepiej na jakims komputerze z Windows zainstalowac Virtualbox'a, dodac do niego maszyne wirtualna -z najlepiej 1GB ram, 2 rdzenie, i jakies 12GB dysku, reszte rzeczy zostawiasz domyslnie, tylko w sieciowke ustawiasz w tryb bridge.

Najlepiej postawic to na serwerze/komputerze co ciagle dziala

 

OCSinventory chyba robi polaczenia i skanowanie co najmniej raz na 24h.

Edytowane 10 Grudnia 2013 przez _KaszpiR_

[kostek8]

Dzięki za podpowiedź odnośnie drugiej ścieżki audytu, pewnie ją kiedyś przetrę - może w domciu wypróbuję na jakimś ubuntu.

 

Pozostaje jeszcze temat samej interpretacji licencji albo pewnego źródła "gotowych" opinii którymi można się pokierować...