Często zadawane pytania

Fundacja LibreKAT działa na rzecz otwartego, kontrolowalnego i weryfikowalnego bezpieczeństwa informacji. Fundacja wspiera projekty, dzielenie się wiedzą i współpracę wokół bezpieczeństwa cyfrowego.

Tu nie chodzi tylko o oprogramowanie. LibreKAT chce także przyczynić się do lepszych praktyk pracy, większej przejrzystości i społeczności, w której ludzie mogą wspólnie poprawiać bezpieczeństwo cyfrowe.

Przeczytaj więcej na O Fundacji LibreKAT.

Bezpieczeństwo cyfrowe jest zbyt ważne, aby całkowicie polegać na zamkniętych systemach, niekontrolowanych procesach lub luźnych obietnicach. Organizacje muszą być w stanie zrozumieć, kontrolować i ulepszać sposób działania swoich zabezpieczeń.

LibreKAT istnieje, aby to promować. Fundacja zachęca do otwartych technologii, dzielenia się wiedzą i współpracy między ludźmi, którzy chcą zwiększyć odporność cyfrową.

Przeczytaj także Jakie są cele Fundacji LibreKAT? i O Fundacji LibreKAT.

Nie. LibreKAT jest fundacją i nie ma na celu zysku. Fundacja może współpracować z firmami, rządami, badaczami, wolontariuszami i organizacjami społecznymi.

Podstawowym celem współpracy jest przyczynienie się do otwartego, zrównoważonego i weryfikowalnego bezpieczeństwa cyfrowego.

Przeczytaj więcej na O Fundacji LibreKAT.

Libre odnosi się do wolności. Nie tylko swobodne korzystanie, ale przede wszystkim swoboda studiowania, kontrolowania, dostosowywania i dzielenia się technologią.

Jest to ważne ze względu na bezpieczeństwo informacji. Jeśli chcesz polegać na systemie lub metodzie, musisz być w stanie zobaczyć, jak on działa i jak podejmowane są decyzje.

To wiąże się z podstawowe wartości Fundacji LibreKAT.

Fundacja LibreKAT pragnie poprawić bezpieczeństwo cyfrowe poprzez zachęcanie do otwartego, kontrolowalnego i weryfikowalnego bezpieczeństwa informacji.

Konkretnie obejmuje to:

• rozwój i wykorzystanie oprogramowania i sprzętu typu open source na potrzeby bezpiecznej infrastruktury cyfrowej;
• przejrzystość i powtarzalność procesów bezpieczeństwa;
• badania, szkolenia i działania dotyczące odporności cyfrowej;
• powiązania pomiędzy obywatelami, firmami, rządem i organizacjami społecznymi.

Przeczytaj więcej na O Fundacji LibreKAT i na strona główna Fundacji LibreKAT.

LibreKAT to podstawa. OpenKAT to produkt do analizy podatności typu open source.

Nazwy są podobne, ale nie oznaczają tego samego. Fundacja może wspierać OpenKAT i OpenKAT wpisuje się w misję LibreKAT, ale OpenKAT sam w sobie nie jest fundacją.

Przeczytaj więcej o Fundacja LibreKAT i OpenKAT.

Otwarte oprogramowanie umożliwia kontrolę. Ludzie mogą zobaczyć, jak działa oprogramowanie, znaleźć błędy, zaproponować ulepszenia i zmniejszyć zależność od jednego dostawcy.

Open source nie jest automatyczną gwarancją bezpieczeństwa. Jest to ważny warunek przejrzystości, współpracy i możliwości odbudowy.

Więcej o zasadach przeczytasz na O Fundacji LibreKAT.

Ważne projekty na tej stronie to OpenKAT, MIAUW i OciDeck.

OpenKAT pomaga uwidocznić luki i zagrożenia cyfrowe. MIAUW sprawia, że ​​badania nad bezpieczeństwem informacji stają się weryfikowalne i warte audytu. OciDeck pomaga w uporządkowanych prezentacjach, raportach i bezpiecznym udostępnianiu informacji.

Przeczytaj więcej o OpenKAT, MIAUW i OciDeck.

LibreKAT jest dla każdego, kto chce, aby bezpieczeństwo cyfrowe było otwarte, weryfikowalne i bardziej zrozumiałe.

Pomyśl o specjalistach ds. bezpieczeństwa, programistach, administratorach, audytorach, badaczach, rządach, firmach, instytucjach edukacyjnych, organizacjach społecznych i zaangażowanych obywatelach.

Przeczytaj więcej na O Fundacji LibreKAT.

Tak. Możesz uczestniczyć na kilka sposobów: wnosząc kod, ulepszając dokumentację, testując, tłumacząc, zadając pytania, dzieląc się doświadczeniami lub pomagając w spotkaniach i działaniach społeczności.

Nie musisz wiedzieć wszystkiego technicznie, aby wnieść wartościowy wkład. Ważne są również dobre pytania, praktyczne doświadczenie i jasne wyjaśnienia.

Skontaktuj się z nami pod adresem Kontakt.

Jest to możliwe, jeśli współpraca będzie odpowiadać celom fundacji. LibreKAT poszukuje współpracy, która przyczyni się do otwartego, zrównoważonego i weryfikowalnego bezpieczeństwa cyfrowego.

Przykładami są dzielenie się wiedzą, badania, rozwój oprogramowania typu open source, dokumentacja, szkolenia lub praktyczne zastosowania projektów.

Zobacz także Wzmacniacz i Kontakt.

Ważnymi wartościami są bezpieczeństwo, wolność, otwartość, suwerenność, integralność, dzielenie się wiedzą, współpraca, człowieczeństwo i ciągłość.

Mówiąc prostym językiem: LibreKAT chce, aby bezpieczeństwo cyfrowe było weryfikowalne, sprawiedliwe, zrównoważone i użyteczne dla osób i organizacji, które są od niego zależne.

Przeczytaj także artykuł O naszych podstawowych wartościach.

Użyj strona kontaktowa, jeśli masz pytanie, chcesz wnieść swój wkład lub omówić współpracę.

Spróbuj krótko opisać, czego dotyczy Twoje pytanie: fundacja, MIAUW, OpenKAT, OciDeck, współpraca, prasa lub wkład techniczny. Wtedy szybciej będzie wiadomo, kto może odpowiedzieć.

Nie. Suwerenność nie jest autarkią i nie wymaga całkowitej niezależności. Organizacje i państwa zawsze polegają na wiedzy, dostawcach, surowcach i współpracy.

Celem jest, aby zależności były widoczne, łatwe w zarządzaniu i wymienialne w razie potrzeby. Możesz zlecić pracę na zewnątrz i nadal zachować kontrolę, jeśli odpowiednio ułożysz obowiązki, prawa, dostęp, ciągłość i opcje wyjścia.

Nie. Żaden produkt sam w sobie nie gwarantuje suwerenności cyfrowej. Suwerenność wynika z połączenia zarządzania, umów, jurysdykcji, architektury, otwartości, wiedzy, zarządzania i wykonalnych alternatyw.

OpenKAT i OciDeck mogą zapewnić konkretne elementy składowe: większy wgląd, weryfikowalność, otwarte formaty, samodzielne zarządzanie i mniej niepotrzebnej zależności. Organizacja musi świadomie projektować i nadal testować te opcje.

Zapisz pomiar bazowy i pożądany poziom dla każdego systemu krytycznego. Następnie zmierz konkretne właściwości, takie jak udział znanych stron łańcucha, przetestowany eksport danych, klucze zarządzane przez klienta, odzyskiwanie bez dostawcy, otwarte interfejsy i czas potrzebny na zmianę.

Zgłaszaj także pozostałe zależności i zaakceptowane ryzyko. Postęp nie oznacza, że ​​znikają wszelkie zależności, ale że organizacja zyskuje większy wgląd, swobodę wyboru i widoczne pole do działania.

Zgłaszaj żądania przed zawarciem umowy. Zapytaj o jurysdykcję, własność, lokalizacje danych, podwykonawców, zdalne zarządzanie, zarządzanie kluczami, otwarte standardy, formaty eksportu, prawa do audytu, ciągłość i wypowiedzenie.

Należy również zapisać, w jaki sposób przedstawiane są dowody i zgłaszane zmiany. Znak jakości ani ogólne oświadczenie marketingowe nie zastępują weryfikowalnej umowy. W stosownych przypadkach używaj celów ECSF i poziomów SEAL jako wspólnego języka.

Nie. Europejskie przechowywanie danych jest istotne, ale nie mówi wszystkiego o jurysdykcji, własności, zarządzaniu, dostępie do kluczy, podwykonawcach i zależności technicznej.

Oceń zatem całą strukturę: jakie podmioty świadczą usługę, z jakich uprawnień można się powołać, kto może wykonywać czynności zarządcze, kto zarządza kluczami szyfrującymi i jakie są dostępne opcje wyjścia?

Tak. Uzależnienie może mieć wpływ na dostępność, integralność i poufność informacji. Weź pod uwagę awarię lub zakończenie świadczenia usługi, niechciany dostęp w ramach innego systemu prawnego lub zmiany, których organizacja nie może sama kontrolować.

Dlatego suwerenność należy do regulacji, organizacji i technologii: trzech powiązanych ze sobą części opisanych w książce jako ROT. Nie jest to odrębna kwestia polityczna poza bezpieczeństwem informacji.

Nie wtedy, gdy wymagania są ukierunkowane na możliwe do zarządzania ryzyko i mają zastosowanie jednakowo i w sposób sprawdzalny do wszystkich dostawców. Protekcjonizm chroni przede wszystkim własny przemysł; polityka suwerenności chroni kontrolę, ciągłość, integralność i poufność.

Sama narodowość jest zatem słabym kryterium. Jurysdykcja, wykonalne umowy, izolacja techniczna, otwartość i możliwości wyjścia są bardziej merytoryczne.

Nie. Europejska nazwa lub lokalizacja nie stanowią pełnej gwarancji. Europejski dostawca może również zostać przejęty, zbankrutować, w dużym stopniu polegać na technologii spoza Europy lub zapewnić słabe gwarancje umowne.

Przyjrzyj się kontrolowanym cechom strukturalnym: własności i kontroli, obowiązującemu prawu, zarządzaniu i dostępowi do kluczy, zależnościom łańcucha, otwartym standardom i wykonalnemu planowi wyjścia.

Nie. Otwarte oprogramowanie zapewnia ważne prawa do badania oprogramowania, modyfikowania go i zlecania innym osobom utrzymywania go. Może zatem wspierać przejrzystość, zastępowalność i budowanie wiedzy.

Ale te prawa mają praktyczną wartość tylko wtedy, gdy istnieje dokumentacja, ludzie, zarządzanie, finansowanie, bezpieczne aktualizacje i dostęp do własnych danych. Open source może być również zależne od jednego opiekuna, zamkniętej usługi w chmurze lub trudnej do zastąpienia infrastruktury.

Nie. Suwerenność zależy od kontekstu. Pożądany poziom wynika z krytyczności procesu, wrażliwości danych, wymogów prawnych, apetytu na ryzyko i dostępnych alternatyw.

Najwyższy poziom dla wszystkich systemów może być niepotrzebnie kosztowny lub niewykonalny. Zmotywowany wybór dla każdego systemu jest silniejszy niż jeden ogólny cel bez priorytetów.

Nie jest to konieczne. Wymogi dotyczące interoperacyjności, przejrzystości, bezpieczeństwa i zamienności mogą w rzeczywistości stymulować innowacje, ponieważ nowi dostawcy mogą łatwiej nawiązywać kontakty, a klienci stają się mniej przywiązani.

Istnieją prawdziwe kompromisy w zakresie kosztów, szybkości i funkcjonalności. Należy je wyraźnie określić. Kontrast pomiędzy „innowacją a suwerennością” jest zbyt prosty; chodzi o odpowiedzialną innowację w ramach wybranego profilu ryzyka.

Zacznij od wglądu. Utwórz przegląd krytycznych procesów, danych, systemów, dostawców, podwykonawców, dostępu do zarządzania, obowiązującej jurysdykcji i istniejących opcji wyjścia.

Następnie powiąż najważniejsze zależności z dostępnością, integralnością i poufnością. Dopiero gdy będzie jasne, co jest najważniejsze i od czego zależy, można wybrać odpowiedni cel i środki.

Książka Suwerenność! Jak? omawia rozwój historyczny, związek z bezpieczeństwem informacji, ECSF, argumenty z debaty i praktyczną ścieżkę rozwoju organizacji.

Podstawowe przesłanie jest konkretne: suwerenność nie jest koncepcją typu „wszystko albo nic” ani jednorazowym projektem. Jest to trwała organizacja wglądu, kierunku i pola działania.

Koncepcja ta ukształtowała się w Europie w późnym średniowieczu i wczesnej epoce nowożytnej. W XVI wieku Jean Bodin opisał najwyższą, trwałą władzę państwową. Pokój westfalski z 1648 r. silnie powiązał wówczas suwerenność z państwami terytorialnymi i zasadą nieingerencji.

Później legitymizacja przeniosła się z monarchów na lud, a państwa zaczęły wspólnie sprawować władzę, np. w ramach Unii Europejskiej. Historia pokazuje, że suwerenność zawsze obraca się wokół tego samego podstawowego pytania: kto ostatecznie ma ostatnie słowo?

Ponieważ suwerenność to nie tylko prawdopodobieństwo, ale także wpływ i zdolność do działania. Zdarzenie może być mało prawdopodobne, a mimo to mieć niedopuszczalne konsekwencje dla procesu krytycznego.

Co więcej, zależność może już mieć wpływ bez faktycznego blokowania dostępu. Możliwość nałożenia sankcji, nakazów prawnych lub rozwiązania umowy może zmienić sposób podejmowania decyzji i przestrzeń negocjacyjną.

Rządy, firmy i organizacje społeczne stały się w dużym stopniu zależne od niewielkiej liczby dostawców rozwiązań chmurowych, oprogramowania biurowego, komunikacji i sztucznej inteligencji. Jednocześnie mogą zmienić się własności, ustawodawstwo, sankcje, przejęcia i relacje geopolityczne.

W rezultacie kontrola formalna może kolidować z faktyczną zależnością. Pilną kwestią jest nie tylko to, czy dostawca jest dziś niezawodny, ale czy organizacja będzie w stanie działać jutro, jeśli ulegną zmianie zasady, dostęp lub zainteresowania.

Rozróżnij naprawdę niezbędne funkcje od zależności, które powstały na skutek przyzwyczajenia, braku wiedzy lub starych wyborów. Konkretnie planuj połączenia, formaty danych, licencje, procesy i umiejętności.

Następnie przećwicz eksport, odzyskiwanie i alternatywy, zanim nastąpi kryzys. Plan wyjścia, który nigdy nie został przetestowany, nie daje dużej pewności. Czasami pełna migracja nie jest od razu możliwa, ale otwarte formaty, architektura modułowa i druga droga wdrożenia mogą już poprawić tę sytuację.

W takiej sytuacji rozsądne jest podejście etapowe. Najpierw określ, dla których procesów zależność stwarza największe ryzyko i które funkcje są naprawdę potrzebne. Następnie ulepsz umowy, architekturę i przenośność oraz migruj tam, gdzie dostępna jest odpowiednia alternatywa.

Fakt, że alternatywa jest dziś mniej dojrzała, jest argumentem dotyczącym tempa i wykonania, a nie automatycznym powodem do ignorowania ryzyka. Dlatego w książce omówiono ścieżkę wzrostu, a nie jedną wielką zmianę.

Suwerenność cyfrowa to stopień, w jakim rząd lub organizacja faktycznie utrzymuje kontrolę nad swoimi cyfrowymi funkcjami, danymi i zależnościami. Liczą się prawa formalne i faktyczne możliwości działania.

Konkretne pytania to: gdzie znajdują się dane, kto może uzyskać do nich dostęp, jakie prawo ma zastosowanie, kto zarządza kluczami, czy usługa może być kontynuowana w przypadku konfliktu i czy zmiana jest realistyczna?

ECSF to europejskie ramy oceny suwerenności chmury. Pomaga organizacjom publicznym opisać ryzyka suwerenności, ustalić wymagania dotyczące zakupów oraz porównać sytuację obecną i pożądaną.

Ramy przesuwają dyskusję z ogólnych twierdzeń, takich jak „europejski” lub „suwerenny”, na sprawdzalne właściwości. Uwzględnia między innymi jurysdykcję, dane, operacje, łańcuchy, technologię, bezpieczeństwo i zrównoważony rozwój.

Suwerenność dotyczy władzy i kierunku: kto ma ostatnie słowo i kto ponosi za to odpowiedzialność? Autonomia oznacza praktyczną umiejętność samodzielnego działania i korzystania z alternatyw.

Organizacja może uzyskać formalną autoryzację, ale mieć niewielką autonomię, jeśli z technicznego punktu widzenia nie może dokonać zmiany lub jeśli systemem może zarządzać tylko dostawca. Suwerenność bez wystarczającego pola działania pozostaje wówczas w dużej mierze na papierze.

Suwerenność to władza podejmowania wiążących decyzji i ponoszenia za nie odpowiedzialności. W środowiskach cyfrowych głównym pytaniem jest, kto ostatecznie decyduje o danych, infrastrukturze, technologii i dostępie.

Nie oznacza to, że organizacja musi sama wszystko zbudować lub zarządzać. Musi jednak umieć dokonywać świadomych wyborów, egzekwować umowy i działać, gdy zmienią się okoliczności. Książka Suwerenność! Jak? To wygląda na praktyczną kwestię administracyjną.

Poziomy SEAL opisują rosnące poziomy suwerenności chmury. Poziom 0 to standardowa chmura publiczna bez dodatkowych środków suwerenności; Poziom 4 oznacza wysoce suwerenne środowisko z możliwą do wykazania autonomią.

Poziomy nie są oceną dla dostawcy. Pomagają organizacji określić odpowiedni bieżący poziom (IST) i pożądany poziom (SOLL) dla każdej aplikacji. Systemowi krytycznemu można zatem przypisać wyższy cel niż usługa publiczna lub łatwa do zastąpienia.

ECSF wyróżnia osiem powiązanych ze sobą celów: suwerenność strategiczna; suwerenność prawna i jurysdykcyjna; suwerenność danych i sztucznej inteligencji; suwerenność operacyjna; suwerenność łańcucha; suwerenność technologiczna; suwerenność w zakresie bezpieczeństwa i zgodności; i suwerenność w zakresie zrównoważonego rozwoju.

Klasyfikacja ta zapobiega niewłaściwemu wykorzystaniu jednej cechy, takiej jak lokalizacja centrum danych, jako dowodu pełnej suwerenności. Serwis może zdobyć mocny wynik przy jednym golu, a słaby przy innym.

Otwarte oprogramowanie może być pomocne, ponieważ organizacja może studiować oprogramowanie, zlecać jego sprawdzanie, dostosowywanie i konserwację innej stronie. Otwarte prawa wspierają zatem przejrzystość, zastępowalność i rozwój własnej wiedzy.

Otwarte oprogramowanie nie jest automatyczną gwarancją suwerenności. Wartość praktyczna zależy również od dokumentacji, ludzi, zarządzania, finansowania, bezpiecznych aktualizacji, otwartych formatów danych i infrastruktury, na której działa oprogramowanie.

OciDeck wspiera suwerenność informacyjną i technologiczną, umożliwiając pozostawienie treści prezentacji w czytelnym Markdown. Otwarte formaty sprawiają, że treść jest łatwiejsza do kontrolowania, wielokrotnego użytku i przenośna niż wtedy, gdy jest zawarta wyłącznie w zamkniętym formacie aplikacji.

Przetwarzanie lokalne, eksport HTML w trybie offline oraz funkcje ukierunkowanego udostępniania i prywatności mogą zmniejszyć zależność od zewnętrznych usług prezentacji i przypadkowej dystrybucji. Ostateczna suwerenność zależy również od wyborów dotyczących przechowywania, zarządzania i użytkownika. Przeczytaj więcej na OciDeck.

OpenKAT pomaga głównie w zapewnieniu suwerenności operacyjnej, technologicznej i bezpieczeństwa. Łączy cyfrowe obiekty, relacje, obserwacje i ustalenia, dzięki czemu organizacja może lepiej zrozumieć i monitorować własne środowisko i ryzyko.

Ponieważ OpenKAT jest oprogramowaniem typu open source i można go uruchomić samodzielnie, organizacja może monitorować jego działanie i wybrać osobę zarządzającą systemem. OpenKAT nie zapewnia całkowitej suwerenności: konieczne jest ostrożne zarządzanie, zakres, ochrona danych, wiedza i działania następcze. Przeczytaj więcej na OpenKAT.

Przydatnym podejściem jest: 1. procesy inwentaryzacji, danych i zależności; 2. określić pożądany poziom suwerenności dla każdego systemu; 3. ulepszyć zakupy, kontrakty, architekturę, wiedzę i alternatywy; 4. Okresowo sprawdzaj, czy środki nadal działają i wprowadzaj poprawki.

Potraktuj to jako cykl. Dostawcy, własność, zmiany legislacyjne i technologiczne. Dlatego jednorazowa ocena szybko staje się nieaktualna.

Zarząd jest ostatecznie odpowiedzialny za kierunek, apetyt na ryzyko i akceptację ryzyka szczątkowego. Zakupy, kwestie prawne, bezpieczeństwo informacji, architektura, prywatność, zarządzanie i właściciel procesu stanowią niezbędną część obrazu.

Ponieważ wybory często mają długotrwałe konsekwencje, w książce suwerenność nazywa się „chefsache”. Tematyka nie może ograniczać się wyłącznie do technologii czy zarządzania kontraktami.

Open source jest formą licencjonowania. Twórca lub posiadacz praw z góry udziela innym pozwolenia na używanie, studiowanie, kopiowanie, rozpowszechnianie i adaptację dzieła.

Prawo do wprowadzenia zmian jest niezbędne. Jeśli modyfikacja nie jest dozwolona, ​​nie jest to oprogramowanie typu open source.

Rdzeń jest legalny. Otwarte oprogramowanie dotyczy sposobu korzystania z praw autorskich: poprzez licencję dającą szerokie prawa użytkowania.

Może kryją się za tym idee techniczne i społeczne, ale bez odpowiedniej licencji coś nie jest open source.

Oznacza to, że posiadacz praw wyraża zgodę na używanie, studiowanie, kopiowanie, rozpowszechnianie i modyfikowanie kodu źródłowego w ramach licencji open source.

Oprogramowanie pozostaje chronione prawem autorskim. Licencja określa, jakie prawa i warunki mają zastosowanie.

Otwarte oprogramowanie i wolne oprogramowanie dotyczą praw: używania, studiowania, udostępniania i dostosowywania. Freeware zazwyczaj oznacza po prostu, że coś jest darmowe.

Domena publiczna oznacza, że ​​nie istnieją już żadne ograniczenia dotyczące praw autorskich lub że posiadacz praw zrzekł się ich w zakresie, w jakim jest to prawnie możliwe. To coś innego niż open source.

Nie. Open source daje wiele praw, ale zawsze w ramach warunków licencji.

Warunki te mogą na przykład dotyczyć przypisania, zachowania tekstów licencji lub udostępniania zmian w ramach tej samej licencji.

Twórca lub posiadacz praw pozostaje właścicielem praw autorskich, chyba że prawo to zostało przeniesione.

Otwarte oprogramowanie nie oznacza, że ​​nie ma właściciela. Oznacza to, że właściciel poprzez licencję przyznaje szerokie prawa innym.

Tak. Open source nie wyklucza wykorzystania komercyjnego. Firma może korzystać z oprogramowania typu open source, sprzedawać usługi typu open source lub sama oferować oprogramowanie typu open source.

Model cen i przychodów jest odrębny od praw open source.

Otwarte oprogramowanie dotyczy praw do utworu, zazwyczaj oprogramowania. Otwarte standardy dotyczą porozumień, specyfikacji lub protokołów, z których może korzystać wiele stron.

Mogą się wzajemnie wzmacniać, ale to różne rzeczy.

Licencja open source to uprzednia zgoda udzielona przez posiadacza praw. Określa, co inni mogą zrobić z dziełem i jakie mają zastosowanie warunki.

Bez takiej licencji nadal obowiązują zwykłe prawa autorskie i ponowne wykorzystanie jest zazwyczaj niedozwolone.

Ponieważ prawa autorskie powstają automatycznie. W zasadzie każdy, kto tworzy tekst, projekt lub oprogramowanie, ma do tego prawo.

Licencja jasno określa, jakie pozwolenie otrzymują inni. W przypadku oprogramowania typu open source zezwolenie to jest szerokie i uzgodnione z wyprzedzeniem.

Kod jest wtedy widoczny, ale nie jest automatycznie darmowy. Widoczność to nie zgoda.

Bez licencji inna osoba nie może kopiować, rozpowszechniać ani modyfikować kodu, z wyjątkiem ograniczonych wyjątków prawnych.

Licencje zezwalające zapewniają dużą swobodę i zwykle nakładają ograniczone warunki, takie jak przypisanie i zachowanie tekstu licencji.

Licencje typu copyleft również przyznają szerokie prawa, ale mogą wymagać rozpowszechniania utworów pochodnych na podstawie tej samej lub podobnej licencji.

Copyleft to zasada licencjonowania, w ramach której należy przekazywać wolność. Każdy, kto rozpowszechnia utwór, często w zaadaptowanej formie, musi przyznać innym takie same prawa.

Nie jest to zatem zrzeczenie się praw, ale raczej aktywny sposób korzystania z praw w celu zachowania otwartości.

To zależy od licencji i tego, co robisz. Niektóre licencje typu copyleft mogą wymagać ujawnienia w przypadku dystrybucji zmodyfikowanego oprogramowania.

Jedynie użytek wewnętrzny zwykle nie prowadzi automatycznie do takiego obowiązku, ale dokładny wynik zależy od sytuacji i licencji.

Tak, wiele licencji typu open source umożliwia wykorzystanie komercyjne. To jest właśnie cecha otwartego oprogramowania.

Należy jednak przestrzegać warunków licencji. Rozważ podanie swojego imienia i nazwiska, treści licencji lub warunków dystrybucji.

Tak, open source powinno umożliwiać dostosowywanie. Możliwa jest także sprzedaż pod warunkiem zachowania warunków licencyjnych.

Niektóre licencje wymagają dostarczenia lub udostępnienia zmodyfikowanego kodu źródłowego podczas rozpowszechniania zmodyfikowanego dzieła.

Oto sposoby, aby zachować widoczność oryginalnego twórcy i licencji. Uznanie zwykle oznacza przypisanie. Plik powiadomień zawiera uwagi prawne. Nagłówek licencji często znajduje się na górze pliku.

Obowiązki te zapewniają rozpoznawalność praw i pochodzenia.

Klauzula patentowa gwarantuje, że użytkownicy otrzymają również pozwolenie na odpowiednie patenty od autorów, pod pewnymi warunkami.

Może to być ważne, ponieważ na oprogramowanie mogą wpływać nie tylko prawa autorskie, ale czasami także prawa patentowe.

Głównym ryzykiem jest nieprzestrzeganie warunków licencji. W takim przypadku możesz używać utworu bez ważnego pozwolenia.

Może to prowadzić do zobowiązań naprawczych, roszczeń prawnych, szkody dla reputacji lub problemów ze sprzedażą, przetargami lub audytem.

Zgodność z oprogramowaniem open source oznacza, że ​​organizacja wie, z jakiego oprogramowania open source korzysta, jakie licencje są z nim związane i jakie obowiązki mają zastosowanie.

Jest to głównie normalne zarządzanie prawne i organizacyjne: rejestrowanie, sprawdzanie, przestrzeganie i umiejętność wyjaśniania, co zostało wykorzystane.

Nie, nie ze względu na charakter open source. Bezpieczeństwo zależy od projektu, konserwacji, kontroli, wykorzystania i monitorowania luk w zabezpieczeniach.

Otwartość umożliwia kontrolę, ale nie jest automatyczną gwarancją bezpieczeństwa.

Nie. Często każdy może składać propozycje, ale to nie znaczy, że każdy może po prostu wprowadzać zmiany.

W przypadku poważnych projektów administratorzy oceniają, które wkłady zostaną uwzględnione. Niezawodność zależy od zarządzania i konserwacji, a nie tylko od typu licencji.

Nie. Wsparcie może mieć charakter dobrowolny, kierowany przez społeczność lub komercyjny. Wiele firm zapewnia płatne wsparcie dla oprogramowania open source.

Licencja określa prawa do utworu; wsparcie jest osobną usługą.

Nie. W otwartym oprogramowaniu chodzi o prawa do użytkowania, a nie o cenę.

Produkt typu open source może być pobrany bezpłatnie, ale wsparcie, hosting, certyfikacja, szkolenia lub dostosowywanie mogą być płatne.

Nie. Za darmo chodzi o cenę. Wolność dotyczy praw.

Darmowy produkt może zostać ściśle zamknięty. Produkt open source daje prawo do użytkowania, badania, udostępniania i modyfikowania.

Nie. Otwarte oprogramowanie mogą tworzyć wolontariusze, ale także firmy, rządy, uniwersytety i fundacje.

Licencja nie mówi nic o profesjonalizmie. Należy to ocenić na podstawie jakości, zarządzania i kontekstu.

Nie. Oprogramowanie typu open source może być bardzo profesjonalne, a oprogramowanie komercyjne może być słabo utrzymane. Możliwa jest także sytuacja odwrotna.

Profesjonalizm wynika z konserwacji, dokumentacji, zarządzania, jakości i umów, a nie samych otwartych lub zamkniętych licencji.

Otwartość oznacza, że ​​każdy może oglądać, łącznie ze złośliwymi stronami. Ale oznacza to również, że możliwa jest kontrola ze strony użytkowników, badaczy i dostawców.

Bezpieczeństwo nie wynika wyłącznie z tajemnicy. Wymaga konserwacji, reakcji i ostrożnego użytkowania.

Nie. Prawa przysługują wszystkim: użytkownikom, administratorom, nabywcom, prawnikom, audytorom i decydentom.

Programiści często pracują z kodem, ale organizacje również czerpią korzyści z przejrzystości, wolności wyboru i możliwości audytu.

Może to być kompromis, ale nie jest automatycznie wadą. Open source polega na świadomym określeniu, które części chcesz udostępnić i na jakich warunkach.

Czasami otwarte dzielenie się jest strategicznie przydatne, na przykład w celu promowania współpracy, zaufania lub standaryzacji.

To zależy od projektu. Kontrola może pochodzić od opiekunów, użytkowników, badaczy bezpieczeństwa, audytów, automatycznych skanów i organizacji wdrażających oprogramowanie.

Open source umożliwia taką kontrolę, ale sam jej nie organizuje.

To zależy od sytuacji. Administratorzy projektu mogą utworzyć aktualizację, ale użytkownik lub organizacja również musi zastosować tę aktualizację.

Open source nie zmienia faktu, że każdy, kto korzysta z oprogramowania, ponosi odpowiedzialność za ostrożne zarządzanie nim.

To bardzo się różni. Aktywne projekty mogą szybko reagować; nie rezygnuj z projektów. To samo tyczy się oprogramowania zamkniętego.

Dlatego nie patrz tylko na licencję, ale także na utrzymanie, proces raportowania i praktykę wydawniczą.

Ryzyko w łańcuchu dostaw pojawia się, gdy jesteś zależny od części pochodzących od innych osób. Jeśli taka część jest podatna na zagrożenia, złośliwa lub źle konserwowana, może to mieć konsekwencje dla Twojego produktu.

Ryzyko to nie dotyczy wyłącznie oprogramowania typu open source, ale oprogramowanie typu open source często sprawia, że ​​zależności stają się bardziej widoczne.

Zależności to części, na których opiera się produkt. W przypadku oprogramowania są to często biblioteki lub pakiety innych firm.

Są one ważne, ponieważ prawa, słabe punkty i konserwacja tych części wpływają również na Twoje własne użytkowanie.

Przyjrzyj się licencji, konserwacji, dokumentacji, sposobowi przeglądania zmian i obsłudze alertów bezpieczeństwa.

Niezawodność to połączenie przejrzystości prawnej, jakości i zarządzania.

Zdrowe sygnały to jasne informacje o licencjach, najnowsze aktualizacje, zrozumiała dokumentacja, aktywny proces raportowania i widoczne podejmowanie decyzji.

Pomocne jest również, jeśli w projekt zaangażowanych jest kilka osób lub organizacji, dzięki czemu projekt nie jest całkowicie zależny od jednej osoby.

Poszukaj starych wydań, powiadomień bez odpowiedzi, brakujących informacji o licencji, niejasnych opiekunów lub braku odpowiedzi na problemy związane z bezpieczeństwem.

Są to ryzyka projektowe. Występują w oprogramowaniu otwartym i zamkniętym, jednak w oprogramowaniu open source często są bardziej widoczne.

Podczas audytu bezpieczeństwa ktoś szczegółowo ocenia, czy istnieją jakieś luki lub słabe punkty. Dzięki open source kod źródłowy można sprawdzić bezpośrednio.

Audyt to migawka. Konserwacja i działania następcze będą wówczas nadal konieczne.

SBOM to zestawienie materiałów oprogramowania: przegląd używanych komponentów oprogramowania.

Taki przegląd pomaga zarządzać licencjami, podatnościami i zależnościami. Jest to szczególnie przydatne dla organizacji, które muszą być w stanie wyjaśnić, czego używają.

Projekt open source powstaje, gdy posiadacz praw publikuje dzieło na licencji open source. Często obejmuje to dokumentację, miejsce na wkład i sposób podejmowania decyzji.

Podstawą prawną jest licencja; społeczność i metoda pracy determinują dalszy rozwój projektu.

Zwykle zajmują się tym opiekunowie lub administratorzy projektu. Oceniają, czy wkład jest zgodny z jakością, kierunkiem i ustaleniami projektu.

Open source nie oznacza, że ​​każda zmiana automatycznie staje się częścią oficjalnego projektu.

Opiekun to osoba, która zarządza projektem. Ta osoba lub grupa przegląda wkłady, wydaje publikacje, monitoruje kierunek i utrzymuje dokumentację lub procesy.

W przypadku oprogramowania typu open source ta rola jest ważna, ponieważ prawa są szerokie, ale współpraca nadal wymaga organizacji.

Współtwórca to osoba, która wnosi wkład do projektu. Może to być kod, ale także dokumentacja, tłumaczenie, testowanie, projektowanie, wyjaśnianie lub zgłaszanie problemów.

Wkład open source ma zatem szerszy zakres niż programowanie.

Widelec to Twoja własna kopia projektu, nad którą ktoś może kontynuować pracę samodzielnie. Jest to możliwe, ponieważ open source pozwala na modyfikację i dystrybucję.

Czasami ulepszenie znajduje później odzwierciedlenie w oryginalnym projekcie. Czasami widelec rośnie we własnym kierunku.

To jest propozycja uwzględnienia zmiany w projekcie. Administrator może przejrzeć, omówić, skorygować lub odrzucić zmianę.

Jest to praktyczny sposób na zorganizowanie współpracy wokół open source.

Zarządzanie społecznością dotyczy porozumień, na podstawie których projekt podejmuje decyzje. Zastanów się, kto może uczestniczyć w podejmowaniu decyzji, w jaki sposób rozwiązuje się konflikty i w jaki sposób powoływany jest nowy administrator.

Licencja daje prawa; zarządzanie reguluje współpracę.

W projektach kierowanych przez społeczność kontrolę sprawuje głównie społeczność uczestników. W projektach kierowanych przez firmę firma często odgrywa główną lub decydującą rolę.

Obie formy mogą się dobrze sprawdzić, pod warunkiem, że będzie jasne, kto decyduje i na jakich warunkach.

To zależy od władz. Niektóre projekty mają jasne zasady podejmowania decyzji, kodeksy postępowania lub podstawy. Inne projekty są bardziej nieformalne.

Dobre porozumienia są ważne, ponieważ otwarte prawa nie oznaczają automatycznie, że wszyscy się zgadzają.

Projekty kończą się, gdy opiekunom kończy się czas, brakuje środków, znika potrzeba lub pojawia się lepsze rozwiązanie.

Nie jest to cecha charakterystyczna dla otwartego oprogramowania. Różnica polega na tym, że w przypadku oprogramowania typu open source inni mogą czasami kontynuować prace przy rozwidleniu.

Firmy niekoniecznie zarabiają na sprzedaży wyłącznie kodu, ale na usługach z nim związanych. Rozważ hosting, wsparcie, wdrożenie, zarządzanie, szkolenia, certyfikację lub personalizację.

Licencja otwarta i model biznesowy to dwie różne warstwy.

Typowe modele obejmują płatne wsparcie, zarządzany hosting, doradztwo, certyfikację, szkolenia, podwójne licencje i otwarty rdzeń.

Często punktem wyjścia jest: podstawowe prawa są otwarte, ale za wygodę, bezpieczeństwo lub dodatkowe usługi można zapłacić.

Otwarty rdzeń oznacza, że ​​rdzeń produktu jest open source, a niektóre dodatkowe funkcje są zamknięte lub płatne.

To może zadziałać, ale wymaga jasnej komunikacji. Użytkownicy muszą wiedzieć, która część jest otwarta, a która nie.

Podwójne licencjonowanie oznacza, że ​​ten sam utwór jest dostępny na dwóch różnych licencjach. Na przykład licencja open source i licencja komercyjna.

Może to dać organizacjom wybór, ale jest możliwe tylko wtedy, gdy posiadacz praw ma prawo oferować obie licencje.

Hosting zarządzany lub SaaS oznacza, że ​​ktoś oferuje oprogramowanie typu open source jako usługę. Użytkownik nie musi wówczas samodzielnie instalować oprogramowania i zarządzać nim.

Oprogramowanie może być oprogramowaniem typu open source, a towarzysząca mu usługa jest płatna.

Firmy mogą to zrobić, aby zwiększyć zaufanie, pobudzić współpracę, ustanowić standardy lub przyspieszyć wdrożenie.

Otwarte oprogramowanie może również pomóc zmniejszyć zależność od jednego dostawcy i zbudować ekosystem.

Ponieważ inni mogą opierać się na istniejącej pracy. Nie muszą zaczynać od nowa i mogą dzielić się ulepszeniami.

Licencja umożliwia legalną współpracę.

Otwarte oprogramowanie może zmniejszyć zależność od jednego dostawcy, ponieważ użytkownicy mają prawo do studiowania oprogramowania, modyfikowania go i zarządzania nim gdzie indziej.

Nie oznacza to, że zmiana dostawcy jest zawsze łatwa, ale podstawa prawna jest mniej zamknięta.

Open source jest interesujące, gdy ważna jest współpraca, przejrzystość, sprawdzalność, ponowne wykorzystanie lub niezależność.

Jest szczególnie silny we współdzielonej infrastrukturze, wartościach publicznych i sytuacjach, w których zaufanie wymaga czegoś więcej niż obietnicy dostawcy.

Otwarte oprogramowanie jest mniej odpowiednie, gdy posiadacz praw chce ograniczyć dystrybucję, dostęp lub modyfikację. To strategiczny wybór dotyczący kontroli.

Jest to również mniej odpowiednie, jeśli organizacja chce przyznać prawa, nie będąc przygotowana na jasne rejestrowanie warunków licencjonowania i zarządzania.

Startupy mogą szybciej bazować na istniejących komponentach i łatwiej zdobywać zaufanie dzięki otwartości. Mogą także rozwijać społeczność lub rynek wokół otwartego projektu.

Muszą mieć świadomość licencjonowania, pozycjonowania i swojego modelu przychodów.

Dla rządów otwarte oprogramowanie może przyczynić się do przejrzystości, możliwości kontroli, ponownego wykorzystania i mniejszej zależności od jednego dostawcy.

To dobrze pasuje do odpowiedzialności publicznej, pod warunkiem, że zarządzanie, bezpieczeństwo i zgodność z prawem są odpowiednio zorganizowane.

Edukacja może korzystać z oprogramowania typu open source, aby uczyć się na prawdziwych przykładach, udostępniać materiały i umożliwiać uczniom wnoszenie wkładu w istniejące projekty.

Ponieważ dostosowanie jest dozwolone, materiały dydaktyczne lub oprogramowanie można lepiej dostosować do praktyki edukacyjnej.

Open source może pomóc, ponieważ organizacje nie są całkowicie zależne od zamkniętej wiedzy lub jednego dostawcy. Mogą zlecić sprawdzenie, jak coś działa i dostosowanie.

Suwerenność wymaga czegoś więcej niż tylko otwartego oprogramowania, ale otwarte prawa są ważnym elementem.

Open source pokazuje, na jakich warunkach można korzystać z utworu, a w przypadku oprogramowania, jak wygląda kod źródłowy.

Ułatwia to kontrolę i wyjaśnianie. Przejrzystość naprawdę pojawia się tylko wtedy, gdy dokumentacja i zarządzanie są również jasne.

Ponieważ inni mogą wykorzystywać i dostosowywać istniejące prace, nie każdy musi odtwarzać to samo.

Może to zmniejszyć ilość odpadów i dzielić się pracami konserwacyjnymi, zwłaszcza gdy wiele stron ma ten sam problem.

Open source pokazuje, jak działa organizacja, do jakiej jakości dąży i co reprezentuje. Ludzie mogą łatwo wnieść swój wkład lub dowiedzieć się, co się dzieje.

Może to być atrakcyjne dla profesjonalistów ceniących otwartość i kunszt wykonania.

Konkurenci mogą współpracować nad częściami, które są potrzebne wszystkim, bez konieczności bycia produktem wyróżniającym.

Licencja zapewnia z góry przejrzystość praw, dzięki czemu współpraca jest mniej uzależniona od odrębnych umów.

Infrastruktura publiczna wymaga zaufania, ciągłości i sprawdzalności. Open source może pomóc, ponieważ podstawy nie są całkowicie za zamkniętymi drzwiami.

Dzięki temu możliwa jest niezależna kontrola i wspólna konserwacja.

W tych obszarach otwarte oprogramowanie może przyczynić się do weryfikowalności, ponownego wykorzystania i niezależnych badań.

Jednocześnie nadal konieczne są dobre zarządzanie, zarządzanie danymi, bezpieczeństwo i ocena prawna. Otwarte oprogramowanie jest podstawowym wymogiem w przypadku niektórych form kontroli, a nie rozwiązaniem całkowitym.

Zacznij od licencji: czy użycie, o którym myślisz, jest dozwolone? Następnie spójrz na konserwację, dokumentację, jakość i zależności.

Popularny pakiet nie jest automatycznie odpowiedni. Wybór musi odpowiadać celowi, ryzyku i zarządzaniu.

Sprawdź licencję, pochodzenie, status konserwacji, słabe punkty i konieczność. Zapytaj także, czy dana część jest naprawdę potrzebna.

Każda zależność dodaje prawa, obowiązki i zarządzanie.

Zapisz, które komponenty są używane, jaka wersja, jaka licencja i co zawiera dany komponent.

Upewnij się także, że jest jasne, kto jest odpowiedzialny za aktualizacje i zgodność z warunkami.

Użyj kombinacji narzędzi do rejestracji, sprawdzania okresowego i skanowania zależności.

Co najważniejsze: uzgodnij, kto będzie przeglądał powiadomienia i kto będzie decydował o aktualizacjach lub wymianach.

Istnieje wiele narzędzi mapujących zależności, licencje i podatności. Przykładami są skanery na platformach programistycznych, menedżery pakietów i specjalistyczne narzędzia zapewniające zgodność.

Narzędzie to tylko narzędzie. Organizacja nadal musi dokonywać wyborów i organizować działania następcze.

Najpierw przeczytaj instrukcje dotyczące wkładu i licencję. Opisz jasno, co chcesz ulepszyć i dlaczego.

Dobrym wkładem może być kod, ale także dokumentacja, testowanie, tłumaczenie lub jasno opisany problem.

Ma to sens, jeśli chcesz, aby inni mogli używać, monitorować, udostępniać i modyfikować swoją pracę.

Dokonaj tego wyboru świadomie: określ cel, licencję, konserwację, zarządzanie oraz to, czego robisz, a czego nie oczekujesz od wkładów.

Najpierw zdecyduj, na co chcesz pozwolić i chronić. Jeśli chcesz szerokiego możliwości ponownego wykorzystania, spójrz na licencje zezwalające. Jeśli chcesz, aby wolność była przekazywana dalej, spójrz na copyleft.

Najlepiej skorzystać z istniejących, znanych licencji, zamiast samodzielnie pisać tekst.

Zapewnij przejrzystą dokumentację, przyjazny sposób zadawania pytań, jasne podejmowanie decyzji i realistyczne oczekiwania.

Społeczności nie tworzy się po prostu przez umieszczenie kodu w Internecie. Wymaga uwagi, zaufania i konserwacji.

Podziel prawa i obowiązki. Dokumentuj procesy, udostępniaj wersje jako przenośne i przyznaj uprawnienia do zarządzania wielu zaufanym osobom.

Zwiększa to ciągłość i sprawia, że ​​projekt jest mniej podatny na zagrożenia.

Biuro programu Open Source, często nazywane OSPO, to zespół lub funkcja, która organizuje wykorzystanie i wkład open source w organizacji.

Pomaga w zakresie zasad, licencjonowania, współpracy, społeczności i odpowiedzialnego publikowania.

Potrzebne są co najmniej zasady dotyczące użytkowania, współtworzenia, publikowania, kontroli licencji i śledzenia bezpieczeństwa.

Polityka musi być praktyczna: ludzie muszą wiedzieć, co jest dozwolone, kiedy prosić o poradę i kto decyduje.

Wyjaśnij prostym językiem, co oznaczają prawa autorskie, licencje i obowiązki. Skorzystaj z przykładów z własnej pracy.

Szkolenia powinny być nie tylko legalne, ale i praktyczne: co rejestrujesz, co sprawdzasz i gdzie zwracasz się o pomoc?

Wszystko w zależności od wyboru. Prawo zajmuje się prawami i obowiązkami. Bezpieczeństwo analizuje luki w zabezpieczeniach i zarządza nimi. Inżynieria skupia się na jakości i zastosowaniu. Dział zakupów uwzględnia umowy i dostawców.

Open source często wpływa na wiele obowiązków jednocześnie.

Upewnij się, że jest jasne, które części zostały użyte, jakie licencje mają zastosowanie, jakie kontrole zostały przeprowadzone i jakie decyzje zostały podjęte.

Możliwość audytu oznacza przede wszystkim: możliwość późniejszego wyjaśnienia, co się stało i dlaczego.

Świadomie uwzględniaj open source w wymaganiach, kryteriach oceny i warunkach umowy. Nie pytaj tylko o produkt, ale także o prawa, przenośność i zarządzanie.

W ten sposób zapobiegniesz sytuacji, w której otwartość pozostanie jedynie życzeniem i nie zakończy się zadaniem.

Zobacz wsparcie jako uzupełnienie praw do oprogramowania open source. Umowa może zawierać ustalenia dotyczące czasu reakcji, aktualizacji, odpowiedzialności, hostingu lub zarządzania.

Oprogramowanie może mieć charakter otwarty, natomiast wsparcie jest profesjonalne i płatne.

Nie patrz tylko na koszty licencji. Obejmują także zarządzanie, wsparcie, szkolenia, integrację, migrację, zgodność i konserwację.

Otwarte oprogramowanie może być tańsze, ale prawdziwa wartość często leży w kontroli, elastyczności i mniejszej zależności.

Traktuj oprogramowanie typu open source jako część normalnego zarządzania ryzykiem. Zwróć uwagę na licencjonowanie, konserwację, bezpieczeństwo, zależności i ciągłość.

Ryzyko nie polega na tym, że coś jest oprogramowaniem typu open source, ale na tym, że użycie następuje nieświadomie lub bez nadzoru.

Nie mierz tylko zaoszczędzonych kosztów. Zwróć także uwagę na ponowne wykorzystanie, szybkość, przejrzystość, unikaną zależność, współpracę i jakość kontroli.

Pewna wartość ma charakter finansowy, inna wartość polega na autonomii i zaufaniu.

Nie. Otwarte oprogramowanie zapewnia ważne wolności, ale nie mówi automatycznie nic o wszystkich wyborach etycznych dotyczących użytkowania, wpływu lub zarządzania.

Otwartość może pomóc w umożliwieniu dyskusji, kontroli i odpowiedzialności.

Nie całkiem. Licencje typu open source pozwalają na szerokie wykorzystanie utworu i zazwyczaj nie ograniczają tego, do czego ktoś używa utworu.

Każdy, kto chce szybko ograniczyć nadużycia, wychodzi poza klasyczne oprogramowanie typu open source i musi pomyśleć o innych środkach prawnych lub organizacyjnych.

Klasyczne licencje open source nie ograniczają celów użytkowania. Dają prawa każdemu, nawet jeśli twórca uzna niektóre aplikacje za niepożądane.

Istnieją licencje z ograniczeniami etycznymi w użytkowaniu, ale generalnie nie są one uważane za otwarte w ścisłym tego słowa znaczeniu.

Open source daje innym kontrolę nad własnym wykorzystaniem: mogą studiować, dostosowywać i udostępniać. Oryginalny twórca zrzeka się zatem wyłącznej kontroli nad dystrybucją i modyfikacjami.

To nie błąd, ale właśnie ten wybór, który czyni open source wyjątkowym.

Open source może wspierać wartości publiczne, takie jak przejrzystość, możliwość kontroli, ponowne wykorzystanie i niezależność.

Ale wartości publiczne wymagają również dobrego zarządzania, dostępności, bezpieczeństwa, finansowania i odpowiedzialności.

Różni się to znacznie w zależności od projektu. Niektóre społeczności są otwarte i pomocne, inne są trudno dostępne lub zależą od nieformalnych sieci.

Włączenie wymaga aktywnej uwagi na temat języka, zachowania, dokumentacji, podejmowania decyzji i bezpiecznego uczestnictwa.

To ważna kwestia. Duża część infrastruktury cyfrowej jest powszechnie wykorzystywana, ale nie zawsze szeroko finansowana.

Otwarte oprogramowanie umożliwia korzystanie z niego, ale jego utrzymanie wymaga czasu, pieniędzy i odpowiedzialności ze strony zależnych od niego stron.

Otwarte oprogramowanie może szerzyć władzę, ponieważ użytkownicy mają więcej praw niż tylko zakup tego, co oferuje dostawca. Mogą to sprawdzić, wyregulować lub zmienić.

Wzmacnia to autonomię, ale tylko wtedy, gdy istnieje wiedza, potencjał i zarządzanie umożliwiające korzystanie z tych praw.

Całkowite zapobieganie zwykle nie jest możliwe w przypadku klasycznego oprogramowania typu open source. Jednakże w projektach można wybrać odpowiednie licencje, zarządzanie, umowy handlowe i kulturę, w której wkład jest normalny.

Użytkownicy mogą również wziąć na siebie odpowiedzialność, zwracając konserwację, pieniądze lub wiedzę.

Otwarte oprogramowanie pozostaje ważne dla infrastruktury cyfrowej, administracji publicznej, edukacji, chmury, sztucznej inteligencji i bezpieczeństwa. Rdzeń pozostaje legalny: dawanie praw do użytkowania, studiowania, udostępniania i dostosowywania.

Wielkim wyzwaniem jest zrównoważone zarządzanie: zapewnienie, że otwarte projekty są nie tylko wykorzystywane, ale także utrzymywane i zarządzane w sposób odpowiedzialny.

MIAUW oznacza Metodologię Badań nad Bezpieczeństwem Informacji z Wartością Audytową. Jest to sposób na przeprowadzenie badań bezpieczeństwa, takich jak test piórowy, w ustrukturyzowany i możliwy do sprawdzenia sposób.

Celem jest, aby organizacja nie tylko otrzymała raport, ale mogła także lepiej wykazać, co zostało zbadane, w jaki sposób zostało to przeprowadzone i jakie wnioski z niego wynikają.

Przeczytaj więcej na MIAUW.

Wiele dochodzeń w sprawie bezpieczeństwa przynosi przydatne wnioski, ale trudno je później ocenić. Czasami nie jest jasne, co dokładnie wchodziło w zakres, jakie kroki zostały przeprowadzone lub jakie dowody potwierdzają wnioski.

MIAUW pomaga lepiej rejestrować te elementy przed i w trakcie badań. Dzięki temu badania są bardziej przydatne do celów odzyskiwania należności, rozliczania i audytów.

Przeczytaj więcej na MIAUW i w Co oznacza wartość audytu?.

Nie. Test pióra jest formą badania bezpieczeństwa. MIAUW to metodologia pozwalająca na lepszą strukturę, rejestrację i umożliwienie większej kontroli takich badań.

Można zatem przeprowadzić test piórowy według MIAUW, ale MIAUW to coś więcej niż tylko przeprowadzanie testów technicznych.

Przeczytaj także Co to jest test piórowy? i MIAUW.

Wartość audytu oznacza, że ​​dochodzenie można następnie właściwie ocenić. Audytor lub inny podmiot oceniający musi być w stanie zobaczyć, co zostało uzgodnione, co zostało przetestowane, jakie istnieją dowody i jakie wnioski wyciągnięto.

Dzięki temu dochodzenie jest przydatne nie tylko z punktu widzenia technologii, ale także zarządzania, zgodności i odpowiedzialności.

Przeczytaj więcej na MIAUW i Czym jest raport audytora w MIAUW?.

MIAUW przeznaczony jest dla klientów, testerów penetracji, audytorów, specjalistów ds. compliance i dyrektorów.

Klient zyskuje większą kontrolę nad badaniem. Badacz otrzymuje przejrzystą strukturę. Audytor otrzymuje więcej możliwych do sprawdzenia informacji. Dyrektorzy zyskują większą pewność co do tego, co raport zawiera, a czego nie mówi.

Przeczytaj więcej na MIAUW.

Nie. Żadna metodologia nie gwarantuje bezpieczeństwa systemu.

MIAUW pomaga lepiej prowadzić badania nad bezpieczeństwem, lepiej je dokumentować i lepiej wykorzystywać do ulepszeń. Podnosi więc jakość i użyteczność badań, ale nie zastępuje dobrego zarządzania bezpieczeństwem.

Przeczytaj także Co jest najważniejsze w badaniu MIAUW?.

Nacisk położony jest na jasne ustalenia, jasny zakres, możliwe do naśladowania dowody, powtarzalne ustalenia i raportowanie przydatne dla różnych grup docelowych.

Zespół techniczny potrzebuje szczegółów, aby rozwiązać problemy. Kierownictwo chce wiedzieć, co oznacza ryzyko. Audytor chce móc ocenić, czy badanie zostało przeprowadzone starannie.

Przeczytaj więcej na MIAUW.

Zakres oznacza: co jest, a co nie jest częścią badania. Pomyśl o systemach, domenach, aplikacjach, kontach, sieciach, okresach i pytaniach badawczych.

Jasny zakres zapobiega nieporozumieniom. Bez lunety trudno później stwierdzić, czy coś zostało celowo pominięte lub przypadkowo nie zostało zbadane.

Zobacz także Jak OpenKAT radzi sobie z zakresem i uprawnieniami?.

Dowody umożliwiają zweryfikowanie ustaleń. Raport powinien nie tylko stwierdzać, że coś jest nie tak, ale także pokazywać, na czym opiera się ten wniosek.

Dowody mogą obejmować dzienniki, zrzuty ekranu, dane wyjściowe poleceń, dane konfiguracyjne lub inne zapisy. Naturalnie, z informacjami wrażliwymi należy obchodzić się ostrożnie.

Przeczytaj także Co oznacza bezpieczeństwo oparte na dowodach?.

Wynik to zidentyfikowany problem, ryzyko lub punkt, na który należy zwrócić uwagę w wyniku badania.

Dobre odkrycie opisuje, co stwierdzono, dlaczego jest to ważne, jakie dowody są związane, jaki może być wpływ i jakie środki pomagają zmniejszyć lub rozwiązać problem.

Przeczytaj także Jaka jest różnica między ryzykiem a podatnością?.

Luka jest słabym punktem. Ryzyko dotyczy tego, co ta słabość może oznaczać dla organizacji.

Luka w systemie testowym bez wrażliwych danych często niesie za sobą inne ryzyko niż ta sama luka w systemie publicznym zawierającym dane osobowe. Kontekst jest więc ważny.

Przeczytaj także Co to jest ustalenie?.

Nie. Duże organizacje często mają bardziej formalne wymagania dotyczące audytu i zgodności, ale mniejsze organizacje również korzystają z jasnych umów, lepszych dowodów i przydatnych raportów.

MIAUW może faktycznie pomóc w uczynieniu badań nad bezpieczeństwem bardziej zrozumiałymi i możliwymi do przeniesienia.

Przeczytaj więcej na MIAUW.

Oświadczenie audytora może pomóc w wykazaniu, że dochodzenie zostało przeprowadzone zgodnie z ustaleniami, bez konieczności szerokiego udostępniania wszystkich szczegółów technicznych.

Jest to przydatne, gdy kompletny raport jest zbyt poufny, aby można go było szeroko rozpowszechnić, ale organizacja musi wykazać, że przeprowadzono poważne i sprawdzalne badania.

Przeczytaj także Jeśli wykonam pentest za pomocą MIAUW, czy muszę go upublicznić?.

Test piórowy, czyli pełny test penetracyjny, to kontrolowane dochodzenie w sprawie bezpieczeństwa. Badacze starają się znaleźć luki w zabezpieczeniach, zanim zrobią to złośliwe strony.

Test pióra nie jest przypadkowym atakiem. Istnieją porozumienia dotyczące zakresu, zezwoleń, podejścia, raportowania i należytej staranności. Badacze wykorzystują techniki, z których mogą skorzystać również napastnicy, ale w celu poprawy bezpieczeństwa.

W Metodologii badań bezpieczeństwa informacji o wartości audytowej (MIAUW) obszernie omówiliśmy definicję kierowaną przez pana V.A. Pousa. W rezultacie powstała taka definicja:

„Obraźliwe dochodzenie w sprawie bezpieczeństwa przeprowadzane przez nasz własny personel lub osoby trzecie, które obejmuje kontrolowane wyszukiwanie luk w zabezpieczeniach jednej lub większej liczby zabezpieczonych sieci i systemów informatycznych lub ich części, które mogą zostać wykorzystane do włamania się do tych systemów i/lub które mogą, niezamierzenie lub samodzielnie, zakłócić przetwarzanie danych organizacji objętej dochodzeniem lub w inny sposób mieć niekorzystne konsekwencje.”

Przeczytaj także Co to jest MIAUW?.

Nie, to nie jest konieczne. Celem MIAUW jest stawianie klienta na pierwszym miejscu. Jeśli płacisz za raport, ma sens, że masz kontrolę nad kupowanym produktem. Dlatego MIAUW mówi coś o dostawcy: nie może on nakładać na klienta ograniczeń w dystrybucji. Jest to opisane w ten sposób:

Na klienta nie nakłada się żadnych ograniczeń w zakresie rozpowszechniania, publikacji i przechowywania raportu oraz dokumentów stanowiących jego podstawę. Wykluczone są z tego dane finansowe związane z prowadzeniem badania, takie jak stawki godzinowe, ceny i faktury.

Większym celem jest to, że za pomocą testu piórowego można również wykazać, że ważne sprawy zostały właściwie ułożone. Jest to trudne, jeśli nie wolno Ci pokazywać lub udostępniać badań innym osobom. Informacji finansowych na temat badań nie trzeba udostępniać, gdyż nie mówią one nic o stanie bezpieczeństwa.

Czy raport zawiera zbyt wiele poufnych informacji, aby udostępnić je szerokiemu gronu odbiorców? Wtedy pomocny może okazać się raport biegłego rewidenta. Pozwala to wykazać, że badanie zostało przeprowadzone i jaki był główny wynik, bez podawania wszystkich szczegółów technicznych.

W skrócie: klient określa, jaki poziom informacji jest udostępniany partnerom, organom regulacyjnym i innym osobom, bez przeszkadzania mu przez dostawcę.

Przeczytaj także Czym jest raport audytora w MIAUW?.

OpenKAT to otwarte narzędzie do analizy podatności. Jest to oprogramowanie typu open source, które pomaga organizacjom mapować ich cyfrowy krajobraz i uwidaczniać luki w zabezpieczeniach, błędne konfiguracje i zagrożenia.

W OpenKAT chodzi o wgląd: co mamy, co widać, co się zmienia i z czym musimy coś zrobić?

Przeczytaj więcej na OpenKAT.

OpenKAT pomaga lepiej zrozumieć Twój cyfrowy świat na zewnątrz i wewnątrz. Gromadzi informacje o systemach, domenach, oprogramowaniu i ustawieniach i przekształca je w przydatne informacje.

Mówiąc prostym językiem: OpenKAT pomaga zobaczyć, gdzie znajdują się cyfrowe drzwi, okna i zamki i które z nich wymagają uwagi.

Przeczytaj więcej na OpenKAT.

Powierzchnia ataku to wszystko, czego atakujący może spróbować użyć, aby uzyskać dostęp lub spowodować szkody.

Pomyśl o stronach internetowych, serwerach pocztowych, środowiskach chmurowych, interfejsach API, VPN, starych domenach, zapomnianych środowiskach testowych i niepoprawnie skonfigurowanych usługach. Im lepiej znasz tę powierzchnię, tym bardziej ukierunkowaną ochronę możesz zapewnić.

Przeczytaj także Dlaczego ciągły wgląd jest ważny?.

Środowiska cyfrowe stale się zmieniają. Dodawane są systemy, aktualizowane jest oprogramowanie, zmieniane są ustawienia i odkrywane są nowe luki.

Jednorazowe skanowanie jest zatem migawką. Ciągły wgląd pomaga dostrzec zmiany i szybciej reagować, gdy coś ulegnie pogorszeniu lub ponownie stanie się podatne na zagrożenia.

Przeczytaj także Czy OpenKAT może pokazywać zmiany w czasie?.

Nie. Testy OpenKAT i piórkowe uzupełniają się.

OpenKAT zapewnia ciągły wgląd techniczny i może zbierać wiele sygnałów. Test piórowy to ukierunkowane badanie przeprowadzane przez ludzi, uwzględniające kontekst, kreatywność i głębię. OpenKAT może pomóc w lepszym ukierunkowaniu testów piórkowych i lepszym śledzeniu wyników.

Przeczytaj także Co to jest test piórowy? i OpenKAT.

Nie. Żaden produkt zabezpieczający nie znajduje wszystkiego automatycznie.

OpenKAT pomaga zebrać i ocenić wiele informacji w ustrukturyzowany sposób. Konieczny jest jednak dobry zakres, interpretacja, zarządzanie i działania następcze. Kontekst ludzki pozostaje ważny.

Przeczytaj także W jaki sposób OpenKAT pomaga w ustalaniu priorytetów?.

W OpenKAT rogue to małe zadanie badawcze lub skaner, który zbiera określone informacje. Może na przykład sprawdzić coś na temat DNS, TLS, wersji oprogramowania lub innych właściwości technicznych.

Pomysł jest modułowy: wiele małych zadań razem daje bogatszy obraz środowiska cyfrowego.

Przeczytaj także Co to jest normalizacja w OpenKAT?.

Wynik jest sygnałem wymagającym uwagi. Może to być luka w zabezpieczeniach, ale także nieprawidłowe ustawienie, brak środków bezpieczeństwa lub odstępstwo od zasad.

Znalezisko nie zawsze jest natychmiastowym zdarzeniem. Jest to przede wszystkim powód, aby ocenić, co to oznacza i jakie dalsze działania są potrzebne.

Przeczytaj także W jaki sposób OpenKAT pomaga w ustalaniu priorytetów?.

Bezpieczeństwo oparte na dowodach oznacza, że ​​wnioski opierają się na zarejestrowanych danych, a nie tylko na uczuciach i luźnych założeniach.

OpenKAT pomaga, zapisując obserwacje i łącząc je z ustaleniami. Dzięki temu łatwiej jest zobaczyć, na czym opiera się wniosek i jak sytuacja zmienia się w czasie.

Przeczytaj także Dlaczego dowody są ważne w MIAUW?.

Zgodność polega na wykazaniu, że przestrzegasz zasad, standardów lub umów. OpenKAT może powiązać obserwacje techniczne z politykami lub standardami.

Dzięki temu staje się jaśniejsze, które ustalenia techniczne są również istotne pod względem administracyjnym lub prawnym. Pomaga to w audytach, raportowaniu i ustalaniu priorytetów.

Przeczytaj także Czy OpenKAT może pomóc z NIS2?.

Nie. Specjaliści ds. bezpieczeństwa potrzebują szczegółów technicznych, ale OpenKAT jest również przydatny dla administratorów, audytorów, zespołów ds. zgodności i dyrektorów.

Każda rola inaczej patrzy na tę samą rzeczywistość: szczegóły techniczne do rozwiązania, przeglądy do sterowania i dowody odpowiedzialności.

Przeczytaj więcej na OpenKAT.

Tak. OpenKAT jest oprogramowaniem typu open source i można z niego korzystać samodzielnie. Wymaga to wiedzy technicznej, zarządzania i starannego projektowania.

Dlatego niektóre organizacje wybierają samozarządzanie. Inne organizacje wolą współpracować z partnerem w zakresie hostingu, projektowania, zarządzania lub wsparcia.

Zobacz także Wzmacniacz i OpenKAT.

OpenKAT jest narzędziem bezpieczeństwa i należy go używać ostrożnie. Skanowanie odbywa się wyłącznie w ustalonym zakresie i za zgodą.

Wyniki mogą być wrażliwe, ponieważ mówią coś o słabych stronach i instytucjach. Dlatego dobrze chroń te informacje i udostępniaj je tylko osobom, które ich potrzebują.

Przeczytaj także Jak OpenKAT radzi sobie z prywatnością?.

OpenKAT współpracuje z obiektami, które można zbadać. Może to być na przykład nazwa domeny, adres IP, strona internetowa, serwer, certyfikat lub inny element techniczny.

Rejestrując oddzielnie takie obiekty, OpenKAT może ustalić zależności: która witryna internetowa należy do której domeny, który certyfikat należy do której usługi i które znalezisko należy do którego komponentu.

Przeczytaj więcej na OpenKAT.

Skanery często dają przybliżone wydruki. Normalizowanie oznacza konwertowanie wyników na dane, które OpenKAT może zrozumieć i porównać w ustalony sposób.

Jest to ważne, ponieważ OpenKAT chce łączyć informacje z różnych źródeł. Tylko wtedy, gdy dane mają przejrzystą strukturę, można je powiązać z obiektami, ustaleniami, standardami i osiami czasu.

Przeczytaj także Co oznacza bezpieczeństwo oparte na dowodach?.

Skaner podatności zazwyczaj wyszukuje określone luki techniczne. OpenKAT jest szerszy: może łączyć dane z wielu źródeł, nawiązywać relacje, pokazywać zmiany w czasie i łączyć ustalenia z politykami lub standardami.

OpenKAT może zatem korzystać ze skanerów, ale sam w sobie jest przede wszystkim platformą łączącą obserwacje, kontekst i działania następcze.

Przeczytaj więcej na OpenKAT.

OpenKAT przeznaczony jest do badań w ustalonym zakresie. Skanujesz więc tylko systemy, na które masz pozwolenie i dla których jasne jest, co można sprawdzić.

Jest to istotne ze względów prawnych, technicznych i organizacyjnych. Badania nad bezpieczeństwem bez jasnego zakresu mogą powodować ryzyko i szkodzić zaufaniu.

Zobacz także Jaki jest zakres dochodzenia MIAUW?.

Tak. Ważną ideą OpenKAT jest to, że nie potrzebujesz tylko migawki, ale chcesz także zobaczyć, jak zmienia się sytuacja.

Pomaga to w przypadku pytań takich jak: czy problem został rozwiązany, czy powrócił, czy pojawiło się coś nowego i czy sytuacja w zakresie bezpieczeństwa poprawiła się, czy pogorszyła?

Przeczytaj także Dlaczego ciągły wgląd jest ważny?.

Nie każde odkrycie ma taką samą pilność. Problem techniczny w nieistotnym systemie testowym jest często mniej poważny niż ten sam problem w systemie publicznym z wrażliwymi danymi.

OpenKAT pomaga, łącząc sygnały techniczne z kontekstem, polityką i standardami. Dzięki temu organizacja może lepiej określić, czym należy się zająć w pierwszej kolejności.

Przeczytaj także W jaki sposób OpenKAT pomaga w przestrzeganiu przepisów?.

OpenKAT może pomóc w praktycznej stronie możliwej do wykazania odporności cyfrowej: uzyskać wgląd w systemy, luki w zabezpieczeniach, błędne konfiguracje i zmiany w czasie.

NIS2 dotyczy nie tylko technologii, ale także zarządzania, ryzyka i możliwości wykazania. OpenKAT może zapewnić wsparcie techniczne w tym zakresie, ale nie zastępuje kompletnego programu NIS2.

Przeczytaj także W jaki sposób OpenKAT pomaga w przestrzeganiu przepisów?.

OpenKAT bada głównie dane techniczne, ale wyniki mogą być wrażliwe. Raport o podatności lub błędach konfiguracji może zostać niewłaściwie wykorzystany, jeśli trafi w niewłaściwe miejsce.

Dlatego ważne jest, aby ograniczać dostęp, dobrze chronić wyniki i skanować tylko w jasnym zakresie.

Przeczytaj także politykę prywatności tej witryny i Czy korzystanie z OpenKAT jest bezpieczne?.

Indywidualne wyniki skanowania są często trudne do interpretacji. Relacje wyjaśniają, w jaki sposób komponenty są ze sobą powiązane: która domena należy do której witryny internetowej, która usługa działa w jakim systemie i które ustalenie należy do jakiego obiektu.

Te relacje sprawiają, że OpenKAT jest czymś więcej niż tylko listą powiadomień. Staje się modelem środowiska cyfrowego, który pomaga lepiej zrozumieć przyczyny, skutki i działania następcze.

Przeczytaj więcej na OpenKAT.

Tak. OpenKAT jest interesujący, ponieważ potrafi łączyć informacje z różnych źródeł. Weź pod uwagę skanery, zewnętrzne źródła danych, sprawdzenie konfiguracji i własne zadania badawcze.

Celem nie jest zastąpienie każdego narzędzia, ale lepsze połączenie wyników i uczynienie ich przydatnymi do analizy, monitorowania i rozliczalności.

Przeczytaj więcej na OpenKAT.

OciDeck to program do prezentacji skupiający się na treści. Tworzysz slajdy na podstawie przejrzystych kształtów, danych i tekstu, zamiast ręcznie przesuwać obiekty po płótnie.

Przeczytaj więcej na OciDeck.

OciDeck przeznaczony jest dla osób, dla których prezentacje są nośnikiem wiedzy. Pomyśl o trenerach, badaczach, specjalistach ds. bezpieczeństwa, programistach, audytorach, decydentach i organizacjach, które chcą zachować kontrolę nad swoimi informacjami.

Jest to szczególnie interesujące, gdy ważna jest treść, ponowne wykorzystanie, weryfikowalność i bezpieczne udostępnianie.

Przeczytaj więcej na OciDeck i Funkcje OciDeck.

Wiele programów do prezentacji zaczyna się od pustego płótna. Przeciągasz pola tekstowe, obrazy i kształty na miejsce.

OciDeck zaczyna się od treści. Wybierasz rodzaj slajdu, wypełniasz treść i pozwalasz, aby z niej powstała prezentacja. Ułatwia to sprawdzanie, ponowne wykorzystywanie i eksportowanie slajdów.

Przeczytaj także Dlaczego Marp jest ważny dla OciDeck.

Marp to sposób na tworzenie prezentacji za pomocą Markdown. Markdown to prosta notacja tekstowa.

Marp jest ważny dla OciDeck, ponieważ oznacza, że ​​prezentacja pozostaje zwykłym tekstem. Umożliwia to kontrolę nad zmianami i gwarantuje, że treść nie jest zamknięta w zamkniętym formacie pliku.

Przeczytaj więcej na Dlaczego Marp jest ważny dla OciDeck.

Nie koniecznie. OciDeck oferuje edytory strukturalne według typu slajdu. Możesz więc pracować bez ciągłego pisania Markdown.

Markdown to przede wszystkim otwarta baza do prezentacji. Każdy, kto zna Markdown, może z tego skorzystać, ale nie jest to ścisły wymóg w przypadku każdego zastosowania.

Przeczytaj także Co to jest Marp?.

Prezentacje często zawierają bardziej wrażliwe informacje, niż się ludziom wydaje: imiona i nazwiska, adresy e-mail, dane klientów, tokeny, zrzuty ekranu, notatki prelegenta lub szczegóły techniczne.

OciDeck pomaga sprawić, że takie informacje będą widoczne wcześniej, zanim prezentacja zostanie udostępniona lub wyeksportowana.

Przeczytaj więcej na Funkcje prywatności w OciDeck.

OciWacht wyszukuje lokalnie potencjalnie wrażliwe dane w prezentacji. Pomyśl o numerach identyfikacyjnych, adresach e-mail, numerach telefonów, tokenach, kluczach i innych wrażliwych wzorcach.

Dla każdego ustalenia twórca może wybrać, co z nim zrobić: zaakceptować, zaznaczyć lub pominąć w prezentacji i wyeksportować.

Przeczytaj więcej na Funkcje prywatności w OciDeck.

Nie, nie przy zwykłym przetwarzaniu prezentacji. OciDeck web działa w przeglądarce: aplikacja Flutter web jest ładowana z serwera, a następnie edycja, podgląd na żywo, OciWacht, eksport do PDF/PPTX/HTML i kreator CVSS działają po stronie klienta. Treść prezentacji nie jest wysyłana do backendu w celu przetwarzania.

Nie ma też wbudowanej telemetrii ani analityki. Serwer hostujący OciDeck nie ma więc aplikacyjnego wglądu w prezentację, zmiany, wyniki kontroli prywatności ani eksporty.

Są jednak niuanse. Jak każdy webhost, serwer może mieć zwykłe logi dostępu, na przykład adres IP, czas, żądane pliki i user-agent. To pokazuje, że ktoś załadował aplikację, ale nie pokazuje, co ta osoba robi w OciDeck.

Istnieje także opcjonalne fetch proxy do importu URL, gdy źródło nie pozwala na dostęp CORS. Tylko gdy otwierasz taki non-CORS URL przez proxy, serwer widzi podany URL i przekazuje bajty.

Inne połączenia wychodzące są inicjowane przez użytkownika i prowadzą do miejsc wybranych lub skonfigurowanych przez Ciebie, takich jak opcjonalna pomoc AI, WebDAV/Nextcloud, baza CVE, provisioning secmodule albo URL, który samodzielnie importujesz.

Jeśli chcesz korzystać z OciDeck w przeglądarce, przejdź do ocideck.nl.

Przeczytaj więcej na Funkcje prywatności w OciDeck.

Nie. Żadne skanowanie nie znajdzie wszystkiego.

OciWacht to narzędzie umożliwiające wcześniejszą identyfikację zagrożeń i bardziej świadome dzielenie się nimi. Twórca pozostaje odpowiedzialny za treść i zawsze musi myśleć samodzielnie w przypadku wrażliwych prezentacji.

Przeczytaj także Dlaczego funkcje prywatności w OciDeck są ważne?.

Nie każdy slajd jest przeznaczony dla każdego odbiorcy. OciDeck może pomóc w określeniu w odniesieniu do prezentacji i slajdu zakresu udostępniania informacji.

OciDeck może w ten sposób zapobiec przypadkowemu umieszczeniu wewnętrznego slajdu w szerszej prezentacji lub eksporcie.

Przeczytaj więcej na Udostępnij na odpowiednim poziomie.

TLP oznacza protokół sygnalizacji świetlnej. Jest to system kolorów wskazujący, jak poufne są informacje i komu można je udostępniać.

Nie musisz znać skrótu, żeby zrozumieć zasadę. Praktyczne pytanie brzmi: kto może zobaczyć te informacje?

Przeczytaj więcej na Udostępnij na odpowiednim poziomie.

Tak. Wykresy w OciDeck pozostają połączone z danymi. Dzięki temu są bardziej kontrolowane i mniej zależne od zrzutów ekranu lub ręcznie tworzonych obrazów.

Jest to przydatne w przypadku badań, raportów, dashboardów i prezentacji, gdzie dane muszą pozostać prawidłowe.

Przeczytaj więcej na Funkcje OciDeck.

Tak. Listy kontrolne można zaznaczyć podczas prezentacji.

Jest to przydatne w przypadku szkoleń, warsztatów, demonstracji, przeglądów bezpieczeństwa i raportów, w których postęp musi być widoczny. Lista kontrolna staje się wówczas częścią historii, a nie dodatkiem do prezentacji.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck koncentruje się na pracy z jednego źródła i eksporcie do użytecznych formatów, takich jak PDF, PPTX i samodzielny HTML offline.

Zaletą jest to, że tę samą treść można wykorzystać do różnych celów, bez konieczności ręcznego tworzenia za każdym razem nowych kopii.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck jest oprogramowaniem typu open source. Kod źródłowy znajduje się w Forgejo:

https://pawprint.vigilis.online/LibreKAT/OciDeck

Przeczytaj także OciDeck.

Kształty slajdów to ustalone typy slajdów, takie jak tytuł, lista, tabela, wykres, przykładowy kod, pytanie, oś czasu lub pulpit nawigacyjny.

Pracując z kształtami slajdów, twórca musi rzadziej przewijać ręcznie. Treść jest najważniejsza, a OciDeck może ją wyświetlać, kontrolować i eksportować w sposób bardziej spójny.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck obsługuje slajdy z kodem źródłowym i podświetlaniem składni. Kod pozostaje prawdziwym tekstem zamiast zrzutu ekranu.

Jest to przydatne w przypadku prezentacji technicznych, szkoleń i raportów bezpieczeństwa, w których kod musi pozostać czytelny i możliwy do skontrolowania.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck może korzystać z bezpłatnych slajdów Markdown, w tym diagramów syreny i matematyki LaTeX.

Oznacza to, że wykresy i formuły można zapisać jako treść źródłową, a nie jako oddzielny obraz, który trudno później zmienić.

Przeczytaj więcej o co umożliwia Marp Markdown.

Tryb Markdown jest przeznaczony dla użytkowników, którzy chcą pracować bezpośrednio ze źródłem tekstu talii. Może to być przydatne do wyszukiwania i zamiany, szybkich zmian tekstu lub sprawdzania technicznego.

Nie zawsze musisz używać trybu Markdown. Edytory strukturalne pozostają dostępne dla tych, którzy wolą pracować według slajdów.

Przeczytaj także Co to jest Marp?.

OciDeck zawiera opcjonalny moduł testowy pióra MIAUW. Moduł ten przeznaczony jest do sporządzania raportów zgodnie z Metodologią badań bezpieczeństwa informacji o wartości audytowej.

Pomyśl o znalezieniu slajdów, podsumowań, list kontrolnych, przeglądów zakresu i wsparcia w zakresie raportowania. Moduł jest domyślnie wyłączony i przeznaczony jest do sytuacji, w których MIAUW jest naprawdę istotny.

Przeczytaj więcej na Funkcje OciDeck i Co to jest MIAUW?.

Eksport HTML w trybie offline oznacza, że ​​prezentację można przenosić lub udostępniać jako samodzielną wersję HTML, bez konieczności dostępu do sieci podczas wyświetlania.

Jest to przydatne w przypadku szkoleń, demonstracji i środowisk, w których nie chcesz być zależny od prezentacji w chmurze lub usług zewnętrznych.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck obsługuje prezentacje, między innymi, wyświetlanie na pełnym ekranie, nawigację za pomocą klawiatury, timer, notatki, tryb próby i prezenter na dwóch ekranach.

Dzięki temu OciDeck jest nie tylko edytorem, ale także narzędziem do faktycznego prowadzenia prezentacji.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck może pracować z notatkami prelegenta i oddzielnymi notatkami dla uczestników.

Jest to przydatne, ponieważ nie wszystkie informacje muszą znajdować się na samym slajdzie. Mówca może potrzebować dodatkowego kontekstu, podczas gdy uczestnicy potrzebują zgrabnego podsumowania lub odniesienia.

Przeczytaj więcej na Funkcje OciDeck.

Tak. OciDeck może używać Nextcloud/WebDAV jako źródła pakietów OciDeck i talii Marp Markdown.

Jest to odpowiednie dla organizacji, które wolą przechowywać dokumenty pod własnym zarządzaniem lub we własnym środowisku współpracy.

Przeczytaj więcej na Funkcje OciDeck.

OciDeck skupia się na dostępnym interfejsie, obejmującym sterowanie klawiaturą, etykiety czytników ekranu, skalę tekstu i powiadomienia o zmianie slajdów.

Dostępność dotyczy także struktury. Ponieważ slajdy zawierają prawdziwą treść, łatwiej jest zachować jej zrozumiałość i możliwość sprawdzenia.

Przeczytaj więcej na Funkcje OciDeck.