Разработка целевого профиля безопасности системы

Методология и нормативная база

Подход прост: мероприятия подбирают под конкретные угрозы, а не переписывают типовой перечень. Объем зависит от категории сведений, архитектуры контура, реальной среды эксплуатации.

• Порядок разработки и утверждения профилей, Порядок авторизации — правительственный акт от 18.06.2025;
• утвержденные исходные наборы мероприятий — приказы Администрации Госспецсвязи № 409 и № 419;
• методические рекомендации по формированию документа, одобренные экспертным советом в 2025 году;
• Порядок проверки состояния киберзащиты — правительственный акт № 1799 от 31.12.2025;
• действующие нормативные документы технической защиты в части, которая сохраняет применимость;
• внутренние документы заказчика: классификация сведений, перечень ресурсов, имеющиеся организационные мероприятия.

Мероприятия описываем через свойства, которых нужно достичь, а не через модели оборудования. Такая запись не привязывает заказчика к единственному поставщику и переживает плановую замену техники без переписывания документа.

Типовая ошибка прежних лет — техническое задание, в котором перечислено желаемое оборудование. Через год выясняется, что нужные свойства достигаются другим путем, дешевле, а документ уже согласован.

Вторая типовая ошибка — бумаги, которые описывают другую среду. Схема устарела, узлы перенесены, подрядчик сменился, а документ остался тем же. Во время проверки такое расхождение замечают первым.

Третья — мертвые журналы. Записи ведутся формально, события не просматривает никто, а срок хранения короче срока расследования. Поэтому состав событий, глубину хранения и порядок просмотра фиксируем отдельно.

Отдельное внимание — доказуемости. Каждое мероприятие должно оставлять след: запись, отчет, настройку, подпись ответственного. Мероприятие без следа выполнения во время проверки считается невыполненным.

Еще одна распространенная ситуация — подрядчик, который исчез. Настройку делал внешний исполнитель, документация осталась у него, а учреждение не имеет даже схемы. Тогда работы начинаются с восстановления фактической картины: опрос администраторов, выгрузка конфигураций, сверка с договорами на обслуживание.

Работа под конкретную задачу

Полный цикл нужен не всегда. Объем определяется после обследования и может ограничиваться отдельными блоками.

• анализ расхождений текущего состояния контура с утвержденным исходным набором;
• подготовка документа по одной среде или одному сегменту;
• пересмотр действующего документа после модернизации;
• сбор доказательной базы перед внутренней проверкой;
• сопровождение во время внешнего рассмотрения, отработка замечаний;
• приказ об ответственных лицах, распределение полномочий внутри учреждения.

В новых средах действует профиль безопасности вместо КСЗИ. Ранее оцененные комплексы защиты работают до завершения срока действия документа о соответствии, после чего среда переходит на разрешительную процедуру.

Срок и стоимость зависят от вида сведений, количества узлов и площадок, наличия отраслевого набора, состояния документации, потребности в дообследовании. Оценку даем после обследования, без предварительных обещаний по телефону.

Ответственность за выполнение мероприятий остается за владельцем среды. Привлеченный исполнитель готовит документы, объясняет логику решений, сопровождает рассмотрение, но не заменяет собой ответственное лицо учреждения.

Другие направления

Защита сред опирается на управляемые процессы и документацию. Атестор также работает по направлениям:

• Управление защищенностью по ISO 27001 — упорядоченная защита сведений организации.
• Диагностический аудит — оценка текущего состояния процессов, документации.
• Внутренний аудит — проверка результативности внедренных мероприятий.
• Аудиты — независимая проверка состояния контура.
• Подготовка к проверке — упорядочение документов перед контрольными мероприятиями.
• Управление искусственным интеллектом — отдельная услуга по нормативу 42001.
• Контур приватности сведений — отдельная услуга по нормативу 27701.

Атестор работает по типовым направлениям и под конкретную задачу. Чтобы обсудить работу, напишите в Viber, Telegram или позвоните +380 67 315-30-25. Больше — О нас.