AJPES kot najbolj transparentni državni organ javno objavil vse svoje registre

AndrejO je 11. feb 2017 ob 15:30 izjavil:

Sicer pa bodo stvari verjetno v nekaj letih tako ali drugače postavljene na svoje mesto. Direktiva NIS je avgusta lani stopila v veljavo in ura za vzpostavitev dejanskega in ne samooklicanega CSIRT že teče. Prav zanima me, kdo bo prvi predstojnik. Kandidatov izgleda ne manjka.

BTW, statut Arnesa in ustanovni akt sta v spreminjanju (prenos pristojnosti za nacionalne storitve in DID iz MIZŠ na MJU), sprejeta je bila Strategija kibernetske varnosti RS, ki določa SI-CERT kot nacionalni odzivni center, UVTP postaja strateški organ na tem področju, operativno delovanje pa ostaja na SI-CERT in ta še naprej del javnega zavoda Arnes (z ločenim upravljanjem in ločenim financiranjem). SI-CERT je kot nacionalni odzivni center tudi že uradni član omrežja CSIRT po NIS direktivi. In nismo edini, kjer nacionalni CERT != government CERT, tudi ne edini, kjer se to nahaja v NREN. Imaš pa tudi druge rešitve.

Seveda pa se lahko v bodočnosti stvari spremenijo, upam pa da na podlagi strokovnih argumentov in analiz in ne na podlagi trenutnih interesov po novih položajih. Cybersecurity je namreč postal sexy.

V informacijo: https://cert.si/si-cert-2017-01/

Jaz z veseljem začnem ljudi, ki nam pošiljajo zanimive stvari, pošiljat k vam, če boste kdaj uspeli jasno povedat v katerih primerih in za koga to delate.

Ker očitno Ajpes ja (do stopnje užaljenosti), Telemachova elektronska pošta ne (zato!), ... na strani niste imeli nič (razen za "žrtve"), dokler niste danes napisali da za Ajpes to počnete.

Torej, Ajpes ni policija, ne? Drugače reagira...

Poglejmo.

http://siol.net/digisvet/novice/napaka-...

"Iz Agencije RS za javnopravne evidence in storitve so nam medtem sporočili, da so njihovo spletišče na kulturni praznik v jutranjih urah organizirano napadli strokovnjaki za informacijsko varnost. Napad so izvedli z namenom opozarjanja institucij javnega sektorja na ranljivosti v programski opremi."

Se pravi, šlo je za organiziran napad. Na državni praznik! S strani strokovnjakov.

Se pravi gre kar nekako za zaroto...

In pa, zadevo so opazilu SAMI:

"Razvijalci in sistemski skrbniki spletne strani AJPES so incident opazili šele včeraj v popoldanskih urah in zakrpali varnostno luknjo, ki je omogočila napad, je za Siol.net pojasnil Marjan Babič, vodja službe za informacijsko tehnologijo na AJPES".

Tole po moje marsikaj pove.

Če nebi zadeva oz info šla po taki poti kot je šla verjetno sploh nič nebi vedli oz bilo objavljeno...

Me pa zanima, kako pri Ajpesu vedo, da so njihovo spletišče napadli "strokovnjaki za informacijsko varnost" in celo s kakšnim namenom.

GBX je 11. feb 2017 ob 17:22 izjavil:

Primoz je 11. feb 2017 ob 17:11 izjavil:

Jaz z veseljem začnem ljudi, ki nam pošiljajo zanimive stvari, pošiljat k vam, če boste kdaj uspeli jasno povedat v katerih primerih in za koga to delate.

Ker očitno Ajpes ja (do stopnje užaljenosti), Telemachova elektronska pošta ne (zato!), ... na strani niste imeli nič (razen za "žrtve"), dokler niste danes napisali da za Ajpes to počnete.

Obravnavamo vse prijave, ki vključujejo sisteme v Sloveniji. Če ti nimaš podatka o tem, ali smo kakšen primer obravnavali, še ne pomeni, da ga nismo in hitro lahko sklepaš napačno. Kot tudi takrat, ko meniš, da gre za užaljenost. Ne. Gre samo za korektnost pri predstavljanju dejstev javnosti.

Res nismo imeli izrecno napisano, da opravljamo to in (kot sem že omenil) je to krasna priložnost, da to popravimo in predstavimo predloge pravil razkrivanja javnosti. To je ena od pozitivnih posledic tega incidenta.

Ampak na drugi strani to tudi prej sploh ni bila ovira za druge raziskovalce, ki so menili, da bomo mi to nalogo lahko korektno opravili in so nas obveščali.

Še enkrat ne strokovna ne katera druga javnost vas ni dolžna obveščati o ničemer. To je njihova dobra volja kot je vaša dobra volja ali pa volja vaše organizacije, da obravnavate incidente, ki se zgodijo pri subjektih zasebnega prava in fizičnih osebah. Res ste dolžni (na podlagi pravno urejenih razmerij) obravnavati incidente, ki se zgodijo pri nekaterih subjektih javnega prava (med njimi je očitno tudi AJPES), a to še ne pomeni, da vas je medij ali pa kdor koli iz javnosti dolžan o čemer koli obveščati. Če že, AJPES.

poweroff je 11. feb 2017 ob 18:22 izjavil:

Me pa zanima, kako pri Ajpesu vedo, da so njihovo spletišče napadli "strokovnjaki za informacijsko varnost" in celo s kakšnim namenom.

Najbolj me zabava koincidenca, da so odkrili 'sami' in to le nekaj ur za 'vami'. So m00ch phun!

Originalni najditelj je bil pa še pred Slo-Techom. Ta je STju zaupal, da njegovega vdora ne bodo uporabili proti njemu. Zaradi tega je tudi AJPES napadel ST s tisto izjavo.
ST je sicer ravnal korektno, ker kako drugače bo pa neki whitehat sploh še zaupal medijem. A bo njegov vdor zaupal neposredno prizadetemu in s tem izpolnil vse potrebno za samoobtožbo ali pa še se mu bo prizadeti posmehoval in nič ukrepal?
Ena grupa butthurt invalidnih ljudi na invalidnih položajih. Vse od Gorazda pa tja do AJPESa.

Dajmo stopit korak nazaj.

Kaj je bistvo zgodbe?

Ali to, da je bila zgodba sploh objavljena? Da so bili uporabljeni
"napačni" izrazi ("katastrofa")?

Kdo je reagiral napačno? SI-CERT? IP-RS? Slo-Tech?

Ne, bistvo zgodbe je, da so bili ogroženi osebni podatki v ogromnem obsegu in da gre za resno malomarnost nekoga. In to niso ne SI-CERT, ne Slo-Tech in ne IP-RS.

Če smo že pri AJPESu ... to je organizacija, ki brez pravne podlage obdeluje moje osebne podatke, s tem ko mi prijavljenemu prikazuje zadnja iskanja. O tem sem jih nejavno obvestil 30. septembra lani in jih prosil, da se "legalizirajo" in uporabnikom omogočijo neshranjevanje iskanj. Vmes so uspeli zamenjat spletno stran in skopat luknjo v bazo, pogojev uporabe še vedno niso spremenili, da bi to pravno uredili, na novi strani pa prav tako ne najdem možnosti, da si to izklopim.

Kaj pa vem, moja izkušnja me ni navdala z zaupanjem. Morda je težava, da nisem šel do gospe uradnice osebno, morda bi moral zagrozit z IPRS oz. verjetno kar dat IPRS med naslovnike.

A boš zainteresiran naslovnik tudi takrat, ko bo neznana okužba moj računalnik vključila v botnet in napadla vašo stran? Menda ne, ker ne bo dovoljšne publicitete.

poweroff je 11. feb 2017 ob 19:12 izjavil:

Ne, bistvo zgodbe je, da so bili ogroženi osebni podatki v ogromnem obsegu in da gre za resno malomarnost nekoga. In to niso ne SI-CERT, ne Slo-Tech in ne IP-RS.

Bi pa bilo lažje, če bi v svojem novinarstvu bili površni in izdali napadalca. AJPES bi lahko s prstom kazal nanj, organi pregona bi imeli koga za obdelovati zaradi za 1x nedolžnega odkritja možnosti vdora, CERT bi zmagoslavno ploskal z ritjo, ker bi uspešno pomagal pri odpravi napake.

Torej zdaj, če prav razumem, je SI-CERT (oz. GBX, ki kot kaže tukaj nastopa kot predstavnik SI-CERTa) užaljen ker ni bil vključen kot morebiten zainteresiran naslovnik in meni da bi moral biti?
Glede na odgovore tukaj si ne predstavljam kaj vse morajo slišati odgovorni na AJPESu in pri vzdrževalcu spletne strani, ki so dejansko odgovorni za veliko luknjo - katerih končnih razsežnosti verjetno nikoli ne bomo popolnoma izvedeli. Ker če je SI-CERT pol tlko zagrižen na drugi strani te novice in ima dejansko dolžnost (ter temu primerno moč) za obravnavo takih incidentov, se za nadalno varnost ni bati :)

Kot občasen bralec Slo-Tech in moderator tam enega koščka (pa že dolgo nimam več časa izvajati dolžnosti, čist pozabil na to), človek dobi občutek da je Slo-Tech dost boljše (tako pravno, kot formalno) organiziran kot SI-CERT in se na cel razpon dogodkov odziva veliko bolje kot pa z nekimi pritiski na prenašalca sporočil (in spotikanjem ob malenkosti, ki to napram odkriti luknji vsekakor so le in samo malenkosti). Pa bi si človek mislil, da se ravno v organizaciji kot je SI-CERT zavedajo kako pomembno je biti čim bolj prijazen in enostaven do ljudi, ki ti zastonj posredujejo znanje. Da se niti ne dotaknem tistega sporočila o razkrivanju ranljivosti. Pa vi se ja hecate, nehče na lastne stroške in v svojem času dela vašo delo (ali delo, ki ste ga nekomu drugemu plačali), odkrije napake in potem mu brez ponujene kompenzacije za opravljeno delo nalagate kako in kaj bi moral on v svojem času in na lastne stroške operirat. Tam navajate kup dokumentov, pa tam nikjer niste našli informacij kako resni koordinatorji in akterji na tem področju spodbujajo osebe da jim po pravih kanalih in po njihovih pravilih prijavijo pomanjklivosti?

matijadmin je 10. feb 2017 ob 21:28 izjavil:

Čisto malo pa si nestrpen kolega, pojdiva počasi:

a) AJPES ima svoje poslanstvo in zakonsko zapovedane naloge. Te niso niti slučajno brezvezne ali nekoristne.
b) AJPES podatke, ki jih zbira (tudi v javnih knjigah kot je npr. PRS), potrebuje za to, da te zadolžitve opravlja. Z izjemo podatkov v CRP, ki jih ne zbira, a potrebuje pri svojem delu.
c) Ja, odgovarjal bo (kazensko) le storilec, če ga bodo odkrili. Odškodninsko morda, nikakor pa nujno, tudi AJPES.
d) Samo vidik varnosti bodo morali nehati zanemarjati, pa bo. A je tako težko samo to, brez kazanja lastne nevroze in zafrustriranosti, artikulirati?

Realno poslanstvo je samo držati pri službi kup ljudi, ki so prej delali na SDK. Poslovni register imajo drugi, CRP drugi, kar oni "imajo" so javne objave bilanc. Gimme a break.

Če se bo pokazalo, da za varnost ni bilo ustrezno poskrbljeno, bo odgovarjal tudi AJPES. Veš, toleranca ljudi do javnosektoraštva je čedalje manjša.

Nisem nervozen, samo pravim, da če so jim podatke odnesli - je rešitev enostavna - čim manj hrčkanja tujih podatkov in prečistiti ali razformirati AJPES.

Invictus je 9. feb 2017 ob 14:30 izjavil:

poweroff je 9. feb 2017 ob 14:15 izjavil:

[
Drugače pa govorimo o Centralnem registru prebivalstva. Ta baza ni majhna šala. In to po mojem mnenju je velik problem oz. katastrofa.

Zakaj je to sploh na AJPESu? A ne obstaja to samo za delo s podjetji?

Ajpes vodi PRS (poslovni register slovenije), kjer so vse pravne osebe in fizične osebe z dejavnostjo zavedene z vsemi podatki, ter njihovi zastopniki, podpisniki,... s kontakti, maili, mobitel številke, davčne, matične,....
Hkrati pa vodi tudi RTRR (register transakcijskih računov), kjer pa imaš vse podatke o transakcijskih računih v sloveniji (fizične, pravne, sp-ji) tao ukinjenih kot aktivnih.

A so do teh podatkov tudi prišli?

matijadmin je 11. feb 2017 ob 23:16 izjavil:

bbbbbb2015 je 11. feb 2017 ob 22:44 izjavil:

matijadmin je 10. feb 2017 ob 21:28 izjavil:

Čisto malo pa si nestrpen kolega, pojdiva počasi:

a) AJPES ima svoje poslanstvo in zakonsko zapovedane naloge. Te niso niti slučajno brezvezne ali nekoristne.
b) AJPES podatke, ki jih zbira (tudi v javnih knjigah kot je npr. PRS), potrebuje za to, da te zadolžitve opravlja. Z izjemo podatkov v CRP, ki jih ne zbira, a potrebuje pri svojem delu.
c) Ja, odgovarjal bo (kazensko) le storilec, če ga bodo odkrili. Odškodninsko morda, nikakor pa nujno, tudi AJPES.
d) Samo vidik varnosti bodo morali nehati zanemarjati, pa bo. A je tako težko samo to, brez kazanja lastne nevroze in zafrustriranosti, artikulirati?

Realno poslanstvo je samo držati pri službi kup ljudi, ki so prej delali na SDK. Poslovni register imajo drugi, CRP drugi, kar oni "imajo" so javne objave bilanc. Gimme a break.

Sodni register ima samo AJPES. Očitno nimaš pojma, o čem pišeš in zato streljaš kozle. Sodišče ga že od l. 2008 nima več. Samo odločanje je ostalo tam. In roko na srce, AJPES je to dobro zrihtal (vsaj za stranke, ne govorim o tehničnem vidiku). Ustanovitev podjetja je 3/4 na njih in v tem smo najboljši v EU (svetlobna leta pred Nemci). To si moramo priznati. Preberi ta post še enkrat: https://slo-tech.com/novice/t693532/p54...

Ja, CRP je pa po neumnosti tam. Lahko bi vsi dostopali do izvirnega pri MNZ, vendar bi moral biti ta potem del neke kritične infrastrukture (kar je pri nas bolj redkost kot pravilo) s praktično 100 %-no dosegljivostjo. Ena druga javna knjiga npr., ZK je denimo ponoči kar nedosegljiva (porazno za čas, v katerem živimo). Pa tudi nekatere poizvedbe bi tehnično veliko težje izvedli. Ampak, bi šlo.

bbbbbb2015 je 11. feb 2017 ob 22:44 izjavil:

Če se bo pokazalo, da za varnost ni bilo ustrezno poskrbljeno, bo odgovarjal tudi AJPES. Veš, toleranca ljudi do javnosektoraštva je čedalje manjša.

Veš, vi sektaši pač niste merilo. Za zdaj so to le pravne norme. Sori. Lahko pa tak moment predvsem strokovna javnost in ne nestrpni sektaši izrabi za plodno debato, ki je nadalje lahko gonilo sprememb.

bbbbbb2015 je 11. feb 2017 ob 22:44 izjavil:

Nisem nervozen, samo pravim, da če so jim podatke odnesli - je rešitev enostavna - čim manj hrčkanja tujih podatkov in prečistiti ali razformirati AJPES.

Rešitev je vse prej kot enostavna, ker se zadostne varnosti ne da čez noč kupiti niti enostavno in poceni zagotavljati.

Podjetje sem ustanovil v več kot dveh evropskih državah - in lahko primerjam postopek. Slovenski je slab. Povedal bom, da v tujini pri ustanovitvi podjetja sodelujejo specialisti, ki so zasebniki, s koncesijo ali dovoljenjem države. V eni evropski državi moraš imeti nostrificirano univezitetno diplomo in pet let delovnih izkušenj iz danega področja, da lahko ustanoviš podjetje, ki se lahko ukvarja s tem danim področjem. Pa še ta nostrificirana diploma ne sme biti bolonjska. Če je diploma bolonjska, moraš iti na 14 dnevni tečaj osnov poslovanja. Specialist se pogovori s tabo, če že imaš sklenjeno pogodbo, ki jo moraš predložiti. Če se specialistu zdi, da tvoja zgodba ne štima, podjetja ne boš imel ustanovljenega.
Sicer je pa ustanovljeno takoj. Bančni račun odpreš takoj, vendar bodisi imaš priporočilo tretje osebe, potrdilo o 'good standingu'. Če se banki zdi, da zgodba ne pije vode, te bodo odslovili. Če pa tvoja zgodba štima, imaš račun takoj tisti hip in ti tisti hip lahko nakažejo denar, če je že stvar taka.
Ko imaš podjetje ustanovljeno, te kontaktirajo po 2-3 mesecih, ter te prosijo za dokazila o poslovanju, fakture izpiske, potrdila o plačanih prispevkih. Če tega ne daš, ne vem, kaj se zgodi. Namen je, da preverijo, da posluješ, da je vse v redu.
Če torej imaš vse v nulo, je podjetje ustanovljeno do malice, z računom vred. Če se kaj zapleta, je pa problem.

Na primer, znanec, državljan te EU države, je imel avto zavarovan. Ukradli so mu ga, pri preverjanju policije ni mogel pokazati obeh ključev. Zavarovalnica je sicer škodo (mu) izplačala, hkrati pa so zavrnili kakšno koli nadaljnje sodelovanje, kar pomeni račun zaprt. Banke in zavarovalnice imajo bonitetno bazo in sicer pri drugi banki je odprl račun, ta druga banka pa mu tudi ni hotela nič zavarovati, niti mu nihče ni hotel dati potrdila o good standingu.

V praksi on nima in ne bo mogel zlahka priti tega, da bi ustanovil podjetje.

Ko to v praksi vidiš, potem vidiš, da je te 3/4 kar omenjaš, čisti šrot. V Sloveniji so lahko klošarji ustanavljali podjetja in utajevali DDV. Jeb*š ti takšno ustanavljanje.
V Avstriji je praksa malo lažja, priložiti pa moraš potrdilo o nekaznovanosti.

PaX_MaN je 12. feb 2017 ob 00:44 izjavil:

matijadmin je 11. feb 2017 ob 23:53 izjavil:

Glej, meni se zdi v tej smeri čisto dobro urejeno z 8. in 9. čl. ZVOP ter nadalje s posebnimi zakoni, ki urejajo delo drugih organov, ki jih nucajo. Pa kaj bi moralo še biti, da je košer?

Tadva pravita, da ma lahko JU OP, če zakon tako določa(izjemna izjema tle pač ne).
V ZSReg, ZPRS nič ne piše da ma lahko AJPES cel CRP.

matijadmin je 11. feb 2017 ob 23:53 izjavil:

Tako, če še malo naprej ugibam, kaj je nekdo (najverjetneje v tej naši sodbi zamutil ali pa ni dovolj jasno zapisano) je to, kar tudi sicer zakon nalaga v primeru privolitve posameznika (vnaprejšnje obveščanje). Sicer ne. Možno je tudi, da se podlago v (posebnem) zakonu šteje za obveščenost (v vseh preostalih primerih, ko ni potrebna privolitev). Pol bi to kao štelo, da si bil obveščen. Nepoznavanje prava škoduje, star rimski rek ali kako že?

To bi bilo res, če bi imel AJPES pooblastilo met cel CRP. Pa ga nima.

Mimogrede:

Spoštovani uporabniki portala AJPES,

obveščamo vas, da portal zaradi vzdrževalnih del ne bo dostopen do nedelje, 12. 2. 2017, do 10 ure.
Opravičujemo se za morebitne nevšečnosti.

AJPES

Bo kar držalo. Sicer ZSreg nekaj medlo to skuša urejati, tako da omenja uskladitve z matično evidenco, ki je le del CRP. Pa še to samo za osebe, ki jih že sicer obravnavajo in ne neselektivno za vsepovprek.

Me zanima na podlagi katerega zakona potem sodstvo hrani (in/ali je hranilo) CRP pri sebi.

bbbbbb2015 je 12. feb 2017 ob 00:49 izjavil:

matijadmin je 11. feb 2017 ob 23:16 izjavil:

bbbbbb2015 je 11. feb 2017 ob 22:44 izjavil:

matijadmin je 10. feb 2017 ob 21:28 izjavil:

Čisto malo pa si nestrpen kolega, pojdiva počasi:

a) AJPES ima svoje poslanstvo in zakonsko zapovedane naloge. Te niso niti slučajno brezvezne ali nekoristne.
b) AJPES podatke, ki jih zbira (tudi v javnih knjigah kot je npr. PRS), potrebuje za to, da te zadolžitve opravlja. Z izjemo podatkov v CRP, ki jih ne zbira, a potrebuje pri svojem delu.
c) Ja, odgovarjal bo (kazensko) le storilec, če ga bodo odkrili. Odškodninsko morda, nikakor pa nujno, tudi AJPES.
d) Samo vidik varnosti bodo morali nehati zanemarjati, pa bo. A je tako težko samo to, brez kazanja lastne nevroze in zafrustriranosti, artikulirati?

Realno poslanstvo je samo držati pri službi kup ljudi, ki so prej delali na SDK. Poslovni register imajo drugi, CRP drugi, kar oni "imajo" so javne objave bilanc. Gimme a break.

Sodni register ima samo AJPES. Očitno nimaš pojma, o čem pišeš in zato streljaš kozle. Sodišče ga že od l. 2008 nima več. Samo odločanje je ostalo tam. In roko na srce, AJPES je to dobro zrihtal (vsaj za stranke, ne govorim o tehničnem vidiku). Ustanovitev podjetja je 3/4 na njih in v tem smo najboljši v EU (svetlobna leta pred Nemci). To si moramo priznati. Preberi ta post še enkrat: https://slo-tech.com/novice/t693532/p54...

Ja, CRP je pa po neumnosti tam. Lahko bi vsi dostopali do izvirnega pri MNZ, vendar bi moral biti ta potem del neke kritične infrastrukture (kar je pri nas bolj redkost kot pravilo) s praktično 100 %-no dosegljivostjo. Ena druga javna knjiga npr., ZK je denimo ponoči kar nedosegljiva (porazno za čas, v katerem živimo). Pa tudi nekatere poizvedbe bi tehnično veliko težje izvedli. Ampak, bi šlo.

bbbbbb2015 je 11. feb 2017 ob 22:44 izjavil:

Če se bo pokazalo, da za varnost ni bilo ustrezno poskrbljeno, bo odgovarjal tudi AJPES. Veš, toleranca ljudi do javnosektoraštva je čedalje manjša.

Veš, vi sektaši pač niste merilo. Za zdaj so to le pravne norme. Sori. Lahko pa tak moment predvsem strokovna javnost in ne nestrpni sektaši izrabi za plodno debato, ki je nadalje lahko gonilo sprememb.

bbbbbb2015 je 11. feb 2017 ob 22:44 izjavil:

Nisem nervozen, samo pravim, da če so jim podatke odnesli - je rešitev enostavna - čim manj hrčkanja tujih podatkov in prečistiti ali razformirati AJPES.

Rešitev je vse prej kot enostavna, ker se zadostne varnosti ne da čez noč kupiti niti enostavno in poceni zagotavljati.

Podjetje sem ustanovil v več kot dveh evropskih državah - in lahko primerjam postopek. Slovenski je slab. Povedal bom, da v tujini pri ustanovitvi podjetja sodelujejo specialisti, ki so zasebniki, s koncesijo ali dovoljenjem države. V eni evropski državi moraš imeti nostrificirano univezitetno diplomo in pet let delovnih izkušenj iz danega področja, da lahko ustanoviš podjetje, ki se lahko ukvarja s tem danim področjem. Pa še ta nostrificirana diploma ne sme biti bolonjska. Če je diploma bolonjska, moraš iti na 14 dnevni tečaj osnov poslovanja. Specialist se pogovori s tabo, če že imaš sklenjeno pogodbo, ki jo moraš predložiti. Če se specialistu zdi, da tvoja zgodba ne štima, podjetja ne boš imel ustanovljenega.
Sicer je pa ustanovljeno takoj. Bančni račun odpreš takoj, vendar bodisi imaš priporočilo tretje osebe, potrdilo o 'good standingu'. Če se banki zdi, da zgodba ne pije vode, te bodo odslovili. Če pa tvoja zgodba štima, imaš račun takoj tisti hip in ti tisti hip lahko nakažejo denar, če je že stvar taka.
Ko imaš podjetje ustanovljeno, te kontaktirajo po 2-3 mesecih, ter te prosijo za dokazila o poslovanju, fakture izpiske, potrdila o plačanih prispevkih. Če tega ne daš, ne vem, kaj se zgodi. Namen je, da preverijo, da posluješ, da je vse v redu.
Če torej imaš vse v nulo, je podjetje ustanovljeno do malice, z računom vred. Če se kaj zapleta, je pa problem.

Na primer, znanec, državljan te EU države, je imel avto zavarovan. Ukradli so mu ga, pri preverjanju policije ni mogel pokazati obeh ključev. Zavarovalnica je sicer škodo (mu) izplačala, hkrati pa so zavrnili kakšno koli nadaljnje sodelovanje, kar pomeni račun zaprt. Banke in zavarovalnice imajo bonitetno bazo in sicer pri drugi banki je odprl račun, ta druga banka pa mu tudi ni hotela nič zavarovati, niti mu nihče ni hotel dati potrdila o good standingu.

V praksi on nima in ne bo mogel zlahka priti tega, da bi ustanovil podjetje.

Ko to v praksi vidiš, potem vidiš, da je te 3/4 kar omenjaš, čisti šrot. V Sloveniji so lahko klošarji ustanavljali podjetja in utajevali DDV. Jeb*š ti takšno ustanavljanje.
V Avstriji je praksa malo lažja, priložiti pa moraš potrdilo o nekaznovanosti.

To so, kolega, take nebuloze, da je težko kaj pametnega odgovoriti. Oprosti.

Za pismene ljudi je na njihovi spletni strani objavljeno:

Spoštovani uporabniki portala AJPES,

obveščamo vas, da portal zaradi vzdrževalnih del ne bo dostopen do nedelje, 12. 2. 2017, do 10 ure.
Opravičujemo se za morebitne nevšečnosti.

AJPES

... edino če morda govoriš o kakšni "obrtni" oz. neki posebni dejavnosti za katero rabiš "po defaultu" malo več papirjev povsod ...

In other news in med tem ko se kregate kako težko/lahko je ustanoviti podjetje:

AJPESova stran je ponovno dosegljiva. In ni na https, tudi login ne =)

Bravo AJPES!

Po dobri stari slovenski tradiciji se že spet vse obrne v "shoot the messenger". Zdaj je S-T kriv, ker ni obvestil vse, ki so si želeli biti obveščeni, AJPES, zunanji vzdrževalec njihove strani/sistema in izvajalec varnostnega pregleda pa so čist sekundarnega pomena.

Pa glede na prispevke GBX v tej temi moram korigirati svoje zaupanje v in dobro mnenje o SI-CERT za nekaj točk... edit: navzdol, seveda.

estons je 13. feb 2017 ob 10:23 izjavil:

Pa glede na prispevke GBX v tej temi moram korigirati svoje zaupanje v in dobro mnenje o SI-CERT za nekaj točk... edit: navzdol, seveda.

Če bo vlada uresničila tisto sprejeto strategijo, ki jo je GBX omenjal, bo morda nekje v prihodnosti ustanovljen tudi SIGOV-CERT in bo potem potrebno tudi laični javnosti pojasnjevati zakaj mora država (posredno) financirati delovanje dveh CSIRT-ov, ni ji pa, recimo, potrebno financirati dveh ločenih organizacij za CA-je, čeprav ima dva CA-ja.

V takšnem okolju je seveda bolje imeti čim boljši "javni profil" in z njim pojasnjevati svojo "nenadomestljivost". To, da nekateri delujejo mimo tebe, ker te ne jemljejo kot relevantnega, pa na takšno podobo vpliva negativno.

estons je 13. feb 2017 ob 10:23 izjavil:

PZdaj je S-T kriv, ker ni obvestil vse, ki so si želeli biti obveščeni, AJPES, zunanji vzdrževalec njihove strani/sistema in izvajalec varnostnega pregleda pa so čist sekundarnega pomena.

Bralno razumevanje te malo heca.

S-T je kriv edino tega, da je napisal, da "ostali morebiti zainteresirani naslovniki na državni praznik niso bili dosegljivi". Debata o tem, zakaj je SI-CERT sploh "morebiti zainteresiran naslovnik", bi bolj pasala na portal tipa "Slo-Lady".

jukoz je 13. feb 2017 ob 11:09 izjavil:

Mimogrede, a je kaj informacij kaj se je zgodilo s Telemachovim primerom?

https://slo-tech.com/novice/t685525/0

Od GBX-a oz. SI_certa misliš?

https://www.ajpes.si/jolp/ tudi dela, mogoče samo ne znajo redirecta naredit.

Ravnokar sem si ogledal prispevek na Planet TV:
http://www.planet.si/tv/arhiv-video-vse...

Izjava Nataše Pirc Musar je kar neverjetna.

"Ampak vendarle, jaz menim, da je tu hujša kršitev, hujša zloba, če hočete, na strani tistega, ki je to ranljivost pokazal na način, ki ni primeren. Ta posameznik bi moral, če bi bil tako imenovani etični heker, zagotovo najprej opozoriti Ajpes na to ranljivost v sistemu, da bi Ajpes imel čas napako odpraviti. Vsekakor ta posameznik ni imel nikakršnega pooblastila te zbirke osebnih podatkov javno objaviti na svetovnem spletu."

Tukaj je potrebno poudariti, da stvari, ki jih je navedla ga. Pirc Musar preprosto ne držijo.

1. Oseba, ki je ranljivost opazila, se je bala povračilnih ukrepov, zato ni obvestila Ajpesa, pač pa Slo-Tech. Kot kaže, je bil strah te osebe upravičen. Obstajajo indici, da se primer Ornig pojavlja, le da v malo milejši obliki. Namesto, da bi bili osebi, ki je ranljivost slučajno odkrila in nanjo opozorila hvaležni, se govori o njeni "zlobi", "organiziranem napadu na kulturni praznik" (vir), itd.

Še več, kritikam smo izpostavljeni tudi tisti, ki smo o ranljivosti poročali. Hkrati pa se kar nekako pozablja kdo je tisti, ki je pravzaprav najbolj odgovoren za to zadevo!

2. Ajpes je bil nemudoma obveščen s strani Slo-Techa. Pravzaprav odgovorni na Ajpesu niso bili dosegljivi, zato je Primož obvestil njihovega izvajalca neposredno ter seveda tudi Informacijskega pooblaščenca, ki je tudi edini zakonsko pristojen za obravnavo takšnih incidentov. Morda je to problem, da se zadeve niso uredile "potihem"?

Mimogrede, na Ajpesu zdaj celo trdijo, da so opazili (ne da so bili obveščeni) napako sami in sicer popoldan na kulturni praznik. (vir)

3. Ko ga. Pirc Musar govori o tem, "da način ni bil primeren", se je treba vprašati kateri način ni bil primeren? Ta, da se je anonimni prijavitelj obrnil na spletni medij? Razlogi za to se zdijo čedalje bolj upravičeni. Slovenija je že pred tem imela neslavno "tradicijo" kaznovanja tistih, ki na napake opozorijo namesto tistih, ki so napake s svojo pasivnostjo zakrivili. Tukaj moram spet omeniti primer Ornig. Kot kaže sedaj, se debata zopet usmerja proti tej osebi, oz. ker oseba ni javno znana proti tistim, ki smo novico o ranljivosti objavili. Namesto da bi se govorilo o tem kdo je izvorni vir problema.

Ali pa je ga. Pirc Musar morda mislila, da ni primerno, da se o ranljivosti objavi novica?
Takšno mnenje je sicer legitimno, čeprav po mojem mnenju ni preveč v skladu s svobodo govora.

Treba je namreč vedeti nekaj.
Prvič, Ajpes je še pred objavo novice varnostno ranljivost odpravil. Njihova lastna izjava:

"Razvijalci in sistemski skrbniki spletne strani AJPES so incident opazili šele včeraj v popoldanskih urah in zakrpali varnostno luknjo, ki je omogočila napad, je za Siol.net pojasnil Marjan Babič, vodja službe za informacijsko tehnologijo na AJPES." (vir)

Torej dodatna škoda zaradi objave novice ni mogla nastati, saj je bila varnostna ranljivost že zakrpana. Na možnost, da so se pri Ajpesu preprosto zlagali, pa si ne upam pomisliti.

Drugič, novica je bila objavljena na način, da se ni razkrival točen postopek izrabe ranljivosti. In po mnenju Ajpes, postopek za izrabo ranljivosti ni bil trivialen, torej brez podrobnih navodil (ki seveda niso bila objavljena!), zloraba sploh ne bi bila mogoča:

"Vsekakor pa ranljivosti, prek katere se je zgodil napad, za dostop do naših baz podatkov ne more izkoristiti kar vsak uporabnik, saj je postopek za to zapleten in znan le ožjemu krogu računalniških strokovnjakov," je še pojasnil. (vir)

4. Izjava glede javne objave podatkov na svetovnem spletu absolutno ne drži. Razen, če ima ga. Pirc Musar kakšne informacije, ki jih ostali nimamo. V tem primeru bi bilo prav, da jih deli z Informacijskim pooblaščencem.

Izjava predstavnika Ajpesa:

"Za zdaj nimamo pokazateljev, da bi se med napadom resnično zgodila kraja kakršnih koli podatkov," pravi Babič." (vir)

Izjava predstavnika SI-CERT:

"SI-CERT: Zgodilo se ni še nič

Gorazd Božič, vodja nacionalnega odzivnega centra SI-CERT je v razpravi pod izvirnim člankom na portalu Slo-Tech medtem zapisal (uporabniško ime GBX), da še ni dokazov, da bi kdor koli že v resnici zlorabil ranljivost spletišča AJPES in iz podatkovnih baz ukradel podatke o Slovencih."

Torej je izjava Nataše Pirc Musar popolnoma napačna, ali pa ima ga. Pirc Musar kakšne informacije, ki jih ostali nimamo. Na možnost, da gre zgolj za prefinjen poskus diskreditacije osebe, ki je ranljivost slučajno odkrila, pa si niti ne upam pomisliti.