NetWorld: Jak wygląda procedura kontroli legalności oprogramowania?

kom. Zbigniew Urbański, Policja: Jest to przeszukanie na podstawie postanowienia prokuratora. W sytuacjach szczególnych, w trybie artykułu 308 k.p.k. policjant może dokonać przeszukania "na legitymację", które to przeszukanie i tak musi zatwierdzić prokurator. Przeszukanie to odbywa się w tradycyjny sposób. Staramy się zebrać taką siłę Policji, aby na każdy komputer przypadał jeden policjant i zaczynamy od odsunięcia wszystkich pracowników od komputerów, tak aby nie mogli niczego zmienić. Zresztą ewentualne szybkie sformatowanie twardego dysku niewiele wtedy da, bo przecież są metody, aby te dane odzyskać. Prosimy osobę odpowiedzialną o przyniesienie licencji, umów i faktur do oprogramowania, liczymy je i sprawdzamy czy ich liczba zgadza się z ilością zainstalowanego oprogramowania na komputerach. Oprogramowanie najczęściej sprawdzane jest w rejestrach, według numerów seryjnych. Każde przeszukanie komputera odbywa się przy obecności pracownika używającego ten komputer lub administratora - to zależy od ustaleń z właścicielem firmy, bo taki świadek przeszukania będzie musiał podpisać protokół przeszukania. Jeśli firma jest duża, a ze strony przedstawicieli firmy pada żądanie, aby przy przeszukaniu każdego komputera był obecny administrator, to przeszukanie to trwa nawet kilka dni.

NetWorld: To dość żmudna procedura, czy w takim razie jesteście państwo w stanie skutecznie przeszukać firmę zatrudniającą kilkuset pracowników?

kom. Zbigniew Urbański, Policja: Tak, takie przeszukania miały miejsce. Na przykład w jednej z poznańskich firm zabezpieczyliśmy ponad 100 komputerów, a przeszukaliśmy 200. Oczywiście logistyczne przygotowanie takiej akcji jest bardzo trudne, ale gdy producent i Skarb Państwa ponoszą tak duże straty, musimy taką akcję przeprowadzić.

NetWorld: Jakie statystycznie grupy firm najczęściej ulegają przeszukaniu?

mec. Mikołaj Sowiński, SK&S: Policja podejmuje decyzje o rozpoczęciu przeszukania także rozpatrując to, kto stoi po drugiej stronie. Ze smutkiem muszę przyznać, że najłatwiejszym celem są firmy małe i to nie jest właściwe podejście do problemu. Często firmy duże, które zarabiają potężne pieniądze, czują się bezkarne, a tam przeszukania się nie odbywają.

Krzysztof Janiszewski, Microsoft: Z moich obserwacji wynika, że istnieje grupa firm, która przedziwnym zbiegiem okoliczności jest grupą "skażoną" używaniem nielegalnego oprogramowania i bardzo paradoksalne jest to, że działalność tych firm opiera się na własności intelektualnej, bo one same coś tworzą. Porażające jest to, że w takich firmach bardzo często ujawniane jest nielegalne oprogramowanie.

NetWorld: Wiele osób podaje w wątpliwość wiedzę policji dotyczącą specjalistycznych systemów...

kom. Zbigniew Urbański, Policja: W 2004 r. zakończyło się bardzo profesjonalne szkolenie 50 policjantów ze wszystkich byłych i aktualnych komend wojewódzkich, których późniejszym zadaniem było przeszkolenie kolejnych policjantów pracujących w komórkach zajmujących się zwalczaniem przestępczości gospodarczej, a w tym przestępczości komputerowej i internetowej. Wewnątrz policji jest to jedyna grupa, która jest tak często szkolona. Ale zdarza się oczywiście, że podczas przeszukania policjant nie zna jakiegoś systemu. Przed wejściem do danej firmy najczęściej wiemy jakie oprogramowanie tam się znajduje i staramy się dobrać takich policjantów, którzy znają się na tych systemach. Gdy trafimy na system, który jest nam zupełnie obcy, prokurator prosi o przybranie do przeszukania biegłego z zakresu tego konkretnego oprogramowania.

Jarosław Kowalski, Novell: To ważny problem i dotyczy nie tylko policji, ale często też biegłych. Zauważamy, że oni również nie zawsze są w pełni świadomi wszystkich kruczków związanych z kwestiami licencjonowania. Problem jest tym większy, że technologia powoli zmierza w kierunku wirtualizacji zasobów. Na jednej fizycznej maszynie można postawić wiele instancji systemów i aplikacji (często wymagających oddzielnej licencji), do tego dochodzi kwestia budowy procesorów z wieloma rdzeniami. Biegli muszą cały czas obserwować trendy i być na bieżąco z zachodzącymi zmianami.

NetWorld: Co w przypadku, gdy administrator nie chce udostępnić serwera zabezpieczonego hasłem, zasłaniając się troską o bezpieczeństwo systemu?

mec. Mikołaj Sowiński, SK&S: Jest to utrudnianie przeszukania, które zazwyczaj do niczego nie doprowadzi oprócz narażania firmy na jeszcze większe straty wynikające choćby z ryzyka zabrania sprzętu przez policję. Ale postępowanie w takim przypadku z reguły jest indywidualną decyzją prowadzącego przeszukanie. Postępowanie karne nie powinno oczywiście być nadmiernie dolegliwe - jest to jedna z zasad, która do tego typu postępowania ma zastosowanie.

kom. Zbigniew Urbański, Policja: Jeśli mamy uzasadnione podejrzenia, że na tym komputerze może być nielegalne oprogramowanie, mamy podstawy do tego, aby ten komputer zatrzymać. Zdarzało się tak, że na prośbę właściciela firmy wstrzymywaliśmy się z oględzinami tego komputera (cały czas siedział przy nim policjant), do momentu gdy administrator uruchomił drugi komputer (wcześniej sprawdzony pod kątem legalności oprogramowania) i przeniósł na niego wszystkie ważne działające procesy. Ale taka sytuacja ma miejsce bardzo rzadko, najczęściej administratorzy bez problemu udostępniają nam te komputery, abyśmy mogli je przejrzeć.

Jarosław Kowalski, Novell: Zdrowy rozsądek nakazuje, że gdy w firmie obowiązują zasady zakazujące dostępu do systemów informatycznych osobom postronnym, wówczas osoba prowadząca przeszukanie winna wymusić współpracę z administratorem i wprowadzenie odpowiednich poleceń na komputerze. Jeśli nie ma zgody administratora, sporządzany jest odpowiedni protokół i dołączony do akt przeszukania.

NetWorld: W jaki sposób traktowane są prywatne komputery pracowników firmy, np. prywatne laptopy w torbie. Czy podczas przeszukania sprawdzane są także torby pracowników?

mec. Mikołaj Sowiński, SK&S: W praktyce tak. Zazwyczaj nakaz przeszukania jest wystawiany na przeszukanie pomieszczeń i systemu komputerowego w danej firmie. Jeżeli policjanci zobaczą laptopa w torbie, to jest duże prawdopodobieństwo, że obejmą go także przeszukaniem - mają do tego prawo na podstawie przepisów.

NetWorld: Czy wówczas wystarczy deklaracja posiadacza laptopa? Przecież z takim komputerem nie nosi się umów licencyjnych.

mec. Mikołaj Sowiński, SK&S: Oczywiście należy walczyć o swoje. W czasie takiej czynności należy przekazać odpowiednie informacje policji. W takim przypadku komputer ten z pewnością jest wyłączany z postępowania głównego. Ale oczywiście sprawa może zmienić się, gdy ktoś używa tego prywatnego komputera do celów służbowych.

NetWorld: Czy kontroli legalności oprogramowania podlega oprogramowanie pisane na zamówienie danej firmy?

mec. Mikołaj Sowiński, SK&S: Nawet gdy tylko jeden producent - jako poszkodowany - złoży zawiadomienie o popełnieniu przestępstwa, to policja będzie zazwyczaj sprawdzała komputery pod kątem całości zainstalowanego tam oprogramowania, nie tylko tego jednego producenta. I wtedy oczywiście pojawi się kwestia oprogramowania pisanego na indywidualne zamówienie.

Bartłomiej Witucki, BSA: Tego typu programy podlegają najczęściej licencji wyłącznej, a taka licencja wymaga formy pisemnej. Znam też takie przypadki, że firma pisząca oprogramowanie robiła je dla innej firmy i nie zadbały obie o pisemną licencję. Świadczy to też o pewnym lekceważeniu tych kwestii przez zarząd obu firm.

NetWorld: Co w przypadku, gdy podczas kontroli ogólnie wszystko jest w porządku, są licencje, nośniki, wszystko ładnie uporządkowane, a okazuje się, że problem tkwi w szczegółach. Okazuje się, że nie zawsze powinny być licencje OEM tylko pełne, że zainstalowana jest nie ta wersja oprogramowania, na którą jest licencja. Gdzie jest ta myszka czy klawiatura, która była kupiona z wersją OEM? Czy karane są także firmy, które widać, że dbają o to, aby być legalne, ale nie udaje się im dokonać tego we wszystkich szczegółach?

Krzysztof Janiszewski, Microsoft: Tego typu pytania trafiają do nas nie tylko ze strony policji, ale także użytkowników - czy certyfikat należy nakleić na myszce i co zrobić, gdy ta myszka się zepsuje? Oczywiście system OEM w momencie instalacji staje się częścią składową komputera. W związku z czym nie ma znaczenia, czy używamy myszkę lub klawiaturę, z którą kupiliśmy ten system. Istotna jest pierwsza instalacja na danym sprzęcie.

mec. Mikołaj Sowiński, SK&S: Załóżmy, że podczas kontroli dużej firmy na 100 komputerów znaleziono cztery kopie nielegalnego oprogramowania. Na pytanie, czy wobec tej firmy wszczynać postępowanie, prawdopodobnie odpowiedziałbym że nie. Ale gdyby zapytano mnie, czy jest ono legalne, to oczywiście odpowiedź jest negatywna.

Jarosław Kowalski, Novell: Wówczas najczęściej policja prosi nas, abyśmy to my jako pokrzywdzeni złożyli wniosek o ściganie. Ja miałem tylko jeden przypadek gdy uparłem się, żeby doprowadzić do skazania, gdy podejrzany nie chciał współpracować - wręcz lekceważył i organy sądownicze, i poszkodowanych. Trzeba też zwrócić uwagę na to, że w dobrze pojętym interesie rozwoju branży, gospodarki, producenta i policji nie leży karanie, tylko doprowadzenie do sytuacji, gdy oprogramowanie jest używane zgodnie z prawem.