Kaip pasiruošti apsaugos programinės įrangos pervežimui iš UK?

Įvadas

Kai klientai sako, kad ruošia apsaugos programinės įrangos pervežimui iš UK, pirmas klausimas nėra „kurį kurjerį pasirinkti?“, o „kas tiksliai juda?“. Licencijos failas? USB raktas? Ugniasienės įrenginys? Serverio diskai? Nuo to priklauso dokumentai, pakavimas, draudimas, muitinė, GDPR ir kartais net eksporto kontrolė. Per 20+ metų transporto pervežimuose esu matęs, kad saugiausia programinė įranga dažnai keliauja kaip maža, niekam neįtariama dėžutė, o problema prasideda tada, kai popieriai neatitinka turinio. Čia ir reikia pradėti nuo muitinės deklaravimo iki draudimo ir GDPR rizikos.

DUK

Pirmas žingsnis: kas iš tikrųjų keliauja per apsaugos programinės įrangos pervežimą iš UK

Ar apsaugos programinės įrangos pervežimas iš UK visada reiškia fizinį siuntinį?

Ne visada. Daug kas galvoja, kad programinė įranga „važiuoja“ kaip knyga, bet dažniausiai važiuoja licencijos laikmena, USB raktas, smart card, firewall boxas ar serverio komponentas. Jei tai tik licencijos kodas el. paštu, muitinės krovinio nėra. Jei įrenginys turi įrašytą licenciją ar raktus, tada jau reikia žiūrėti kaip į elektroninį įrenginį. Aš visada pirmiausia klausiu: kas fiziškai palies britų sandėlį ir kas fiziškai ateis į Lietuvą?

Kaip atskirti licenciją, USB raktą ir apsaugos įrenginį?

Tai skiriasi ne tik forma, bet ir rizika. Licencija paprastai yra popierius arba failas, USB raktas gali būti mažas, bet labai brangus, o apsaugos įrenginys dažnai turi baterijų, laidų, nuosekliųjų numerių. Kartais klientas sako „tik programinė įranga“, o po to paaiškėja, kad važiuoja HSM modulis už keliasdešimt tūkstančių eurų. Todėl sąskaitoje nereikia rašyti miglotai. Rašykite tiksliai: kas tai, serijinis numeris, kiekis, vertė.

Kodėl maža dėžutė su VPN raktu gali kelti daugiau problemų nei kompiuteris?

Nes VPN raktas ar HSM dažnai turi šifravimo funkcijas, o muitinei tai gali būti ne „maža flešiukė“, o įrenginys su saugumo paskirtimi. Be to, maži daiktai lengvai pametami, jei nėra ant dėžutės vidinio lipduko su užsakymo numeriu. Esu matęs situaciją, kai raktai iš Birmingamo dingo mažame vokeliuke, nes jie buvo įdėti į bendrą IT dėžę. Vokelis pigesnis, bet ne visada protingesnis.

Ką pirmiausia patikrinti prieš užsakant kurjerį iš Londono, Mančesterio ar Edinburgo?

Pirmiausia patikrinkite, kas yra gavėjas Lietuvoje: įmonė, filialas, IT tiekėjas ar konkretus žmogus. Tada žiūrėkite, ar reikalingas EORI, komercinė sąskaita, eksporto deklaracija iš UK ir galimas importo PVM. Jei siunčiama iš Londono ar Mančesterio, kurjeris gali paprašyti tų pačių duomenų skirtingai suformuluotų. Nesijaudinkite dėl to per anksti. Bet nebelaukite penktadienio 16 val., kai sandėlis jau pradeda galvoti apie savaitgalį.

Ar galima siųsti tik failą be fizinės laikmenos?

Taip, ir tada kalba jau ne apie krovinį, o apie licencijavimą, sutartį ir duomenų apsaugą. Failą galima siųsti saugiu kanalu, ne paprastu el. paštu su prisegtuku, kurį kas nors persiųs penkiems žmonėms. Reikia žinoti, ar licencija skirta konkrečiam įrenginiui, ar ją galima perkelti. Aš šitoje vietoje transporto žmogus, ne IT advokatas, bet praktiškai: jei failas turi slaptažodį, jis turi keliauti kita linija nei slaptažodis.

Dokumentai, muitinė ir Brexit: ko reikia apsaugos programinės įrangos pervežimui iš UK

Kodėl po Brexit apsaugos programinės įrangos pervežimas iš UK nėra toks paprastas kaip siųsti dokumentą?

Po Brexit Jungtinė Karalystė nėra ES vidaus siunta, todėl atsiranda eksportas, importas, muitinės vertė ir dažniausiai PVM. Anksčiau kai kas sakydavo „atsiųsk rytoj iš UK“, ir viskas vykdavo gana sklandžiai. Dabar, jeigu popieriai netvarkingi, krovinys gali pasilikti Dover, Heathrow arba tranzito sandėlyje. Toks siuntimas nėra baisus, bet jis mėgsta baudžti už neaiškumus. Ypač kai sąskaitoje parašyta „security software“ be kiekio, vertės ir paskirties.

Kokius dokumentus turi paruošti siuntėjas Jungtinėje Karalystėje?

Siuntėjas turėtų turėti komercinę sąskaitą, prekių aprašymą anglų kalba, kiekį, vertę, svorį, matmenis, HS kodą, jei taikoma, ir siuntėjo/gavėjo duomenis. Jei tai grąžinimas po remonto, reikia RMA numerio arba paaiškinimo. Jei programinė įranga įrašyta į įrenginį, aprašykite ir įrenginį, ne tik „license“. Kai kuriems kurjeriams reikia ir Incoterms, pavyzdžiui, DAP arba EXW. Nesutapimai čia dažnai brangiai kainuoja.

Kas yra EORI, HS kodas ir komercinė sąskaita šiame procese?

EORI yra įmonės identifikatorius muitinėje, be jo importas į ES gali užsikirsti. HS kodas yra prekių klasifikacijos kodas, o komercinė sąskaita paaiškina, kas parduodama arba siunčiama. Kodas nėra visada akivaizdus: USB laikmena, tinklo įranga ir programinę įranga fizinėje laikmenoje gali būti traktuojami skirtingai. Todėl geriau pasitarti su muitinės tarpininku, ypač kai vertė didelė. (Pataisymas: ne „muitinė“ viską pasakys, dažniau sprendžia tarpininkas pagal dokumentus.)

Ar reikia muitinės tarpininko, kai vežama į Lietuvą?

Į Lietuvą vežant komercinius siuntinius beveik visada patogiau turėti tarpininką. Galite bandyti patys, jei tai vienkartinė maža siunta, bet kai ateina PVM, klasifikacija ir dokumentų tikrinimas, pradeda lįsti smulkmenos. Geras tarpininkas paprašys sąskaitos, transporto dokumento, EORI ir paaiškinimo, kam daiktas skirtas. Blogas tarpininkas tiesiog kopijuoja „software“ į deklaraciją ir laukia problemų. Ne, aš ne visus myliu šioje grandinėje.

Ką daryti, jei programinė įranga turi šifravimą ar VPN funkcijas?

Čia reikia atsargumo, nes stiprus šifravimas kartais paliečia eksporto kontrolės taisykles. Daugelis komercinių antivirusinių, VPN licencijų ar endpoint apsaugos produktų važiuoja be didelių dramų, bet specialūs kriptografiniai moduliai gali būti kitoks lygmuo. Aš ne visada 100% žinau, ar konkreti įranga pateks po „dual-use“ patikrinimą, todėl tokiu atveju siuntėjas turi klausti UK eksporto kontrolės specialisto. Geriau užklausti per anksti nei aiškintis, kodėl dėžė stovi savaitę.

Kokios klaidos dažniausiai sustabdo siuntą Heathrow, Dover ar Vilniaus sandėlyje?

Dažniausiai stringa ne dėl pačios programinės įrangos, o dėl popierių. Nėra EORI, sąskaitoje nėra vertės, aprašymas per bendras, HS kodas neatitinka įrenginio, arba gavėjas nežino, kad jam reikia mokėti PVM. Kartais žmonės deklaruoja „gift“, nors tai komercinis siuntinys. Tai tiesiog kviečia klausimus. Heathrow ar Dover sandėlyje niekas neatspėja jūsų verslo modelio iš galvos, todėl sąskaita turi paaiškinti daiktą taip, kad net pavargęs tikrintojas suprastų.

Pakavimas, saugumas ir draudimas: kad apsaugos programinės įrangos pervežimas iš UK nenukeliautų į nemalonumus

Kaip pakuoti USB raktus, HSM modulius ar firewall įrenginius?

Pakuokite taip, lyg daiktas būtų brangesnis nei atrodo. USB raktai į mažą antistatinį maišelį, tada į kietą dėžutę, viduje lipdukas su užsakymo numeriu ir kontaktiniu asmeniu. HSM moduliai ar firewall įrenginiai turi būti fiksuoti, kad nejudėtų, o laidai atskirai pažymėti. Jei yra baterijos, pasakykite kurjeriui iš anksto. Ir nedėkite slaptažodžių į tą pačią dėžę, prašau.

Kodėl deklaracija „software samples“ kartais yra blogiausias pasirinkimas?

Nes „software samples“ gali reikšti daug ką, o muitinė mėgsta konkretybę. Jei važiuoja apsaugos įrenginys su licencija, rašykite, kad tai tinklo saugumo įrenginys su įdiegta programine įranga. Jei važiuoja licencijos kortelės, rašykite kortelių kiekį ir paskirtį. Kai aprašymas per platus, vieni tikrina ilgiau, kiti priskiria netinkamą kodą, trečiems atrodo, kad kažkas slepiama. Dažniausiai niekas neslepia, bet iš šalies atrodo keistai.

Kiek kainuoja saugus apsaugos programinės įrangos pervežimas iš UK į Lietuvą?

Mažam siuntiniui iš UK į Lietuvą orientuokitės maždaug į £60–£180 už standartinį ekspresinį siuntimą, jei dokumentai tvarkingi. Su specialiu saugiu kurjeriu, draudimu ir rankiniu perdavimu kaina gali šokti iki £300–£900 ar daugiau. Jei įrenginys sunkus arba reikia temperatūros kontroliuojamo sandėliavimo, bus papildomų mokesčių. PVM ir muito mokesčiai nėra kurjerio uždarbis, jų nesupainiokite. Geriausia kaina dažnai nėra pigiausia, o ta, kurioje niekas nepameluoja apie vertę.

Ar verta pirkti papildomą draudimą už programinę įrangą?

Taip, jei daiktas turi realią vertę arba jo dingimas sustabdytų projektą. Programinė įranga pati gali būti atkuriama, bet licencijos raktas, HSM modulis ar konfigūruotas firewall kartais kainuoja ne tik pinigus, bet ir savaites darbo. Draudimas turi būti suderintas su sąskaitos verte. Jei sąskaitoje parašyta £50, o paskui sakote, kad nuostolis €20 000, prasideda nemalonus pokalbis. Kai kurios įmonės vis dar taip daro, tada stebisi, kodėl niekas nemoka.

Kada reikalingas specialus saugus kurjeras, o kada užtenka standartinio siuntimo?

Standartinis siuntimas gali tikti licencijų kortelėms, USB raktams ar atsarginiam įrenginiui, kurio dingimas nėra katastrofa. Specialus saugus kurjeras reikalingas, kai yra brangūs HSM moduliai, klientų duomenų laikmenos, konfigūruoti įrenginiai arba terminas „rytoj arba niekas“. Taip pat tada, kai siunta turi keliauti tiesiai į serverinę, o ne gulėti kurjerio filiale. Aš mačiau, kaip „standartinis“ siuntimas baigėsi skambučiais kas dvi valandas. Ne visiems klientams tai tinka.

Duomenų saugumas, GDPR ir IT parengtis prieš siunčiant saugumo sprendimus iš UK

Ar GDPR liečia fizinį programinės įrangos siuntimą?

Taip, jei siunta susijusi su klientų duomenimis, slaptažodžiais, konfigūracijomis ar licencijomis, kurios leidžia prieigą prie sistemų. Net fizinis USB raktas gali būti asmens ar įmonės saugumo dalis. GDPR neliepia dėžės svorio, bet liepia galvoti, kas turi prieigą prie duomenų. Jei įrenginyje nėra duomenų, rizika mažesnė. Jei jame yra konfigūracijos failų ar raktų, jau reikia DPA, prieigos ribojimo ir aiškios grandinės.

Kaip apsaugoti licencijos kodus ir administratoriaus slaptažodžius kelionės metu?

Licencijos kodus ir administratoriaus slaptažodžius siųskite atskirai nuo įrenginio. Vieną dalį per saugų slaptažodžių valdyklės kanalą, kitą per telefoninį patvirtinimą arba atskirą laišką atsakingam asmeniui. Nerašykite slaptažodžio ant lapelio dėžės viduje, net jei atrodo patogu. Tas lapelis vėliau keliauja per nuotraukas, sandėlius ir žmonių rankas. Patikėkite, esu matęs visko, net lipdukų ant lipdukų, ir nieko gero iš to neišeina.

Ką daryti gavus sugadintą arba neatidarytą siuntą su saugumo įranga?

Pirmiausia nefotografuokite visko socialiniams tinklams, o užfiksuokite pakuotę, etiketes, pažeidimus ir turinį. Tada nedelsdami praneškite kurjeriui, siuntėjui ir draudikui, jei jis yra. Jei įrenginys neatidarytas, bet plombos pažeistos, geriau jo nejungti prie tinklo. Saugumo įranga su sugadintu korpusu gali reikšti ne tik transporto problemą, bet ir riziką. Kartais reikia pakeisti slaptažodžius, net jei atrodo, kad viskas tvarkoje.

Kaip sutvarkyti gavėjo IT komandą, kad siunta neliktų sandėlyje?

Gavėjo IT komanda turi žinoti datą, numatomą laiką, kontaktinį numerį, muitinės statusą ir kur siunta bus pristatyta. Jei serverinė reikalauja leidimo įeiti, tas leidimas turi būti paruoštas. Jei siunta atvyks penktadienį 17 val., o administratorius išeina 16:30, sveiki atvykę į savaitgalio nuotykį. Gerai, kai gavėjas iš anksto paskiria vieną žmogų. Ne dešimt, nes tada niekas neatsako.

Ar galima siųsti grįžtamai į UK remontui ar atnaujinimui?

Taip, bet grįžtamasis siuntimas į UK po remonto ar atnaujinimo dažnai painiojamas su nauju importu. Reikia parodyti, kad tai tas pats įrenginys: serijinis numeris, nuotraukos, ankstesnė sąskaita, RMA, remonto aktas. Jei įrenginys buvo laikinai eksportuotas iš ES, gali būti taikomos lengvatos, bet tik su tvarkingais dokumentais. (Pataisau: „gali būti“ nereiškia „bus automatiškai“.) Be popierių muitinė žiūrės kaip į naują prekę.

Terminai, kainos ir realios problemos: ką klientai pamiršta apie apsaugos programinės įrangos pervežimą iš UK

Kiek realiai trunka toks siuntimas iš Jungtinės Karalystės iki Lietuvos?

Jei viskas paruošta, ekspresinis siuntimas iš UK iki Lietuvos dažnai trunka 2–5 darbo dienas. Bet tai nėra pažadas, ypač po savaitgalio, švenčių ar kai reikia muitinės patikrinimo. Maži dokumentuoti siuntiniai juda greičiau, sunkesnė saugumo įranga su baterijomis ar šifravimo komponentais gali užtrukti 7–14 dienų. Realistiškai klientui sakyčiau: planuokite savaitę, o jei projektas dega, turėkite atsarginį planą. Transportas mėgsta juokauti ne tada, kai juokinga.

Kas nutinka, jei gavėjas nepasiruošęs sumokėti PVM ar muito mokesčių?

Siunta gali likti kurjerio filiale arba sandėlyje, kol bus sumokėtas PVM, muito mokestis ir administravimo mokestis. Kai kurie kurjeriai prašo mokėjimo internetu, kiti siunčia sąskaitą gavėjui. Jei įmonė neatpažįsta siuntos, ji nieko nemoka ir niekas nejuda. Tada prasideda skambučiai: „o kas siuntė?“, „kam tai skirta?“, „kodėl čia saugumo įranga?“ Geriau iš anksto pasakyti buhalterijai, kad ateis mokėjimas.

Kodėl vertė sąskaitoje turi sutapti su draudimo verte?

Nes draudimas moka pagal dokumentus, o ne pagal nuotaiką po nelaimės. Jei sąskaitoje vertė maža dėl mokesčių planavimo, o draudime rašote didelę rinkos vertę, atsiras klausimų. Jei vertė didelė, bet dokumentuose ji nepagrįsta, taip pat bus problemų. Į kainą įtraukite įrenginį, licenciją, konfigūraciją, pristatymą ir realią pakaitalo vertę. Nepatogu, bet kartais versle popieriai svarbesni už gerus ketinimus.

Koks paprastas pasiruošimo sąrašas tinka prieš spaudžiant „book shipment“?

Turėkite trumpą sąrašą: kas siunčiama, kiekis, serijiniai numeriai, vertė, HS kodas arba konsultacija dėl jo, EORI, komercinė sąskaita, Incoterms, kontaktai, pakavimo nuotraukos. Tada atskirai saugumo dalis: slaptažodžiai ne toje pačioje dėžėje, licencijos kanalas, gavėjo IT žmogus, draudimas. Jei siunta brangi, pridėkite saugų kurjerį. Prieš spaudžiant „book shipment“, perskaitykite sąskaitą taip, lyg ją skaitytų muitininkas be nuotaikos.

Išvada

Taigi apsaugos programinės įrangos pervežimas iš UK prasideda ne nuo kurjerio, o nuo aiškaus atsakymo, kas keliauja. Jei važiuoja tik licencija, tvarkykite saugų perdavimą ir sutartį. Jei važiuoja įrenginys, raktas ar modulis, ruoškite sąskaitą, EORI, HS kodą, pakavimą, draudimą ir gavėjo IT komandą. Po Brexit paprastas „atsiųsk iš UK“ nebėra toks paprastas. Bet kai dokumentai ir žmonės sutaria, viskas dažniausiai pravažiuoja be dramų.