Экспресс-аудит информационной безопасности

Быстрая оценка текущего состояния информационной безопасности организации с выявлением ключевых рисков, критичных слабых мест и первоочередных зон для улучшения.

Проводится анализ инфраструктуры, доступов, базовых процессов ИБ, документации, средств защиты, резервного копирования и мониторинга. По итогам формируется краткий отчёт с критичными рисками и приоритетными рекомендациями.

Что входит

Комплексный аудит информационной безопасности

Глубокая проверка организационных, технических мер и процессов информационной безопасности с оценкой зрелости, устойчивости и соответствия текущим бизнес-рискам.

Проводится анализ инфраструктуры, процессов, политик, доступов, средств защиты, журналирования, резервного копирования, реагирования на инциденты и управления уязвимостями.

Что входит

GAP-анализ

Оценка разрывов между текущим уровнем информационной безопасности и целевым состоянием, требованиями стандартов, регуляторов или внутренней модели зрелости.

Проводится сравнение текущих процессов, документов, технических мер и средств защиты с целевой моделью. Формируется перечень несоответствий, приоритетов, рисков и необходимых мероприятий.

Что входит

Оценка зрелости процессов

Анализ уровня зрелости ключевых процессов: управления рисками, инцидентами, уязвимостями, доступами, активами, изменениями и подрядчиками.

Оцениваются действующие процессы, роли, документы, контрольные процедуры, метрики, отчётность и фактическое исполнение требований.

Что входит

Разработка стратегии

Формирование управленческой стратегии ИБ, связанной с бизнес-целями, рисками, регуляторными требованиями, архитектурой, бюджетом и долгосрочным развитием компании.

Определяются цели ИБ, ключевые риски, целевая модель защиты, приоритеты развития, принципы управления, необходимые проекты, зоны ответственности и показатели контроля.

Что входит

Разработка политик, регламентов и процедур

Создание комплекта внутренних документов, определяющих правила, ответственность, процессы и контрольные процедуры в области информационной безопасности.

Разрабатываются политики, регламенты, инструкции, матрицы ответственности, процедуры управления доступами, инцидентами, уязвимостями, подрядчиками, активами, изменениями и конфиденциальной информацией.

Что входит

Внешнее тестирование на проникновение

Проверка защищённости внешнего периметра организации с позиции злоумышленника без начального доступа во внутреннюю инфраструктуру.

Проводится анализ публичных IP-адресов, доменов, сервисов, портов, веб-приложений, VPN, конфигураций и уязвимостей. Проверяется возможность получения несанкционированного доступа извне.

Что входит

Внутреннее тестирование на проникновение

Проверка защищённости внутренней инфраструктуры организации с позиции внутреннего пользователя или злоумышленника, получившего доступ во внутреннюю сеть.

Проводится анализ сетевых сегментов, доступов, серверов, рабочих станций, доменной инфраструктуры, учётных данных и конфигураций. Проверяется возможность развития атаки внутри инфраструктуры.

Что входит

Тестирование веб-приложений и API

Проверка защищённости веб-приложений, личных кабинетов, административных интерфейсов и API на наличие технических и логических уязвимостей.

Проверяются аутентификация, авторизация, бизнес-логика, обработка данных, сессии, API-методы, права доступа, ошибки конфигурации и уязвимости по актуальным практикам безопасности приложений.

Что входит

Тестирование мобильных приложений

Проверка защищённости мобильных приложений, клиентской логики, хранения данных, API-взаимодействий, авторизации и механизмов защиты пользовательских сессий.

Проводится анализ приложения, сетевого взаимодействия, API, хранения данных, механизмов аутентификации, токенов, сессий, клиентской логики и возможных сценариев обхода ограничений.

Что входит

Red Team Operations

Моделирование реалистичной целевой атаки на организацию с проверкой технических, организационных и человеческих факторов защиты.

Проводится сценарное моделирование атаки: разведка, попытки первичного доступа, развитие атаки, обход защитных механизмов, проверка мониторинга, реагирования и готовности команд.

Что входит

Purple Team Operations

Совместная работа атакующей и защищающей стороны для проверки сценариев атак, качества детектирования, правил мониторинга и эффективности реагирования.

Проводятся контролируемые атаки, проверяются правила корреляции, источники событий, сценарии детектирования, действия команды реагирования и полнота журналирования.

Что входит

Социальная инженерия и фишинг

Проверка устойчивости сотрудников к фишингу, вредоносным сценариям коммуникации, манипуляциям и попыткам получения конфиденциальной информации.

Проводятся согласованные фишинговые сценарии, рассылки, имитация атак, анализ реакций сотрудников, оценка переходов, ввода данных и соблюдения внутренних процедур.

Что входит

Подготовка к ISO/IEC 27001

Подготовка организации к внедрению или развитию системы управления информационной безопасностью по требованиям ISO/IEC 27001 и иного национального аналога стандарта.

Проводится анализ текущего состояния, определение области применения, подготовка декларации применимости, политик, процедур, оценки рисков и дорожной карты внедрения.

Что входит

Аудит соответствия закону о персональных данных

Проверка процессов обработки персональных данных на соответствие требованиям законодательства, внутренним документам и фактически применяемым мерам защиты.

Анализируются цели обработки, состав данных, правовые основания, согласия, локальные акты, поручения обработки, доступы, меры защиты и готовность к проверкам.

Что входит

Категорирование и сопровождение объектов КИИ

Поддержка организаций в определении объектов критической информационной инфраструктуры, проведении категорирования и подготовке необходимых материалов.

Проводится инвентаризация систем, анализ процессов, оценка значимости объектов, подготовка материалов категорирования, документации и рекомендаций по дальнейшей защите.

Что входит

Подготовка к PCI DSS

Оценка готовности инфраструктуры, процессов и систем к требованиям безопасности данных держателей платёжных карт.

Проверяются область применения, сегментация, доступы, журналирование, уязвимости, защита систем, процессы мониторинга, документация и требования к обработке карточных данных.

Что входит

Подготовка к GDPR

Оценка процессов обработки персональных данных с учётом требований европейского регулирования, прав субъектов данных и трансграничной передачи информации.

Анализируются правовые основания обработки, роли оператора и обработчика, права субъектов, трансграничная передача, хранение данных, меры защиты и внутренние процедуры.

Что входит

Подготовка к NIST CSF / CIS Controls

Оценка состояния информационной безопасности по международным практикам управления киберрисками и базовым контрольным мерам защиты.

Проводится оценка текущих мер защиты, процессов, технических контролей, зрелости управления рисками и формируется приоритетный план развития на основе признанных практик.

Что входит

Подготовка к NIS2 / DORA

Оценка готовности к требованиям европейского регулирования в области киберустойчивости, управления рисками, инцидентами и контроля третьих сторон.

Проводится анализ управления рисками, инцидентами, подрядчиками, устойчивостью сервисов, отчётностью, документацией и готовностью к требованиям цифровой операционной устойчивости.

Что входит

Подготовка к SWIFT CSP

Оценка соответствия требованиям программы безопасности SWIFT Customer Security Programme и подготовка мер для защиты платёжной инфраструктуры.

Проверяются архитектура, сегментация, доступы, мониторинг, защита рабочих станций, управление уязвимостями, журналирование и выполнение контрольных требований программы.

Что входит

Построение системы управления рисками

Создание управляемого процесса выявления, оценки, приоритизации, обработки и контроля рисков информационной безопасности.

Разрабатываются методика оценки рисков, критерии критичности, реестр рисков, владельцы рисков, планы обработки, показатели контроля и формат регулярной отчётности.

Что входит

Построение процесса управления инцидентами

Разработка процесса выявления, регистрации, классификации, эскалации, расследования и закрытия инцидентов информационной безопасности.

Разрабатываются регламенты, роли, каналы эскалации, классификация инцидентов, сценарии реагирования, шаблоны отчётов и порядок взаимодействия IT, ИБ и бизнеса.

Что входит

Построение процесса управления уязвимостями

Организация регулярного процесса выявления, оценки, приоритизации, устранения и контроля уязвимостей в инфраструктуре и приложениях.

Настраиваются цикл сканирования, классификация уязвимостей, правила приоритизации, SLA устранения, контроль исключений, отчётность и взаимодействие IT, ИБ и владельцев систем.

Что входит

Управление поверхностью атаки и внешней экспозицией

Контроль публично доступных цифровых активов компании, открытых сервисов, доменов, сертификатов, утечек и ошибочных публикаций.

Проводится инвентаризация внешних активов, анализ доступных сервисов, открытых портов, сертификатов, доменов, утечек учётных данных и потенциальных точек входа.

Что входит

Построение процесса управления доступами

Формирование управляемого процесса предоставления, изменения, пересмотра и отзыва доступов к информационным системам и данным.

Разрабатываются ролевые модели, правила согласования, матрицы доступа, процедуры пересмотра, отзыва прав, контроля исключений и отчётности по доступам.

Что входит

Управление привилегированным доступом

Контроль административных, технических и высокорисковых учётных записей, через которые возможно управление критичными системами и инфраструктурой.

Проводится анализ привилегированных доступов, администраторских ролей, сервисных учётных записей, процедур выдачи прав, журналирования действий и требований к PAM-процессу.

Что входит

Подготовка планов реагирования

Разработка планов действий при киберинцидентах, компрометации систем, утечке данных, шифровании, отказе сервисов и нарушении непрерывности.

Разрабатываются сценарии реагирования, матрицы ответственности, каналы коммуникации, порядок эскалации, планы восстановления, шаблоны уведомлений и процедуры постинцидентного анализа.

Что входит

Внедрение средств защиты информации

Внедрение технических средств защиты информации в корпоративную инфраструктуру: межсетевые экраны, VPN, EDR/XDR, SIEM, DLP, WAF, PAM, NAC, средства защиты почты, рабочих мест, серверов и облачных сред.

Проводится обследование инфраструктуры, определение требований к защите, проектирование схемы внедрения, настройка политик, ролей, правил, журналирования, интеграций и эксплуатационных процедур.

Что входит

Разработка целевой архитектуры информационной безопасности

Проектирование целевой модели защиты организации с учётом инфраструктуры, бизнес-процессов, рисков, регуляторных требований и дальнейшего масштабирования.

Разрабатываются архитектурные принципы, зоны безопасности, модель доступов, требования к мониторингу, журналированию, периметру, рабочим местам, серверам, облакам и средствам защиты.

Что входит

Проектирование защищённого сетевого периметра

Разработка архитектуры защиты внешних подключений, опубликованных сервисов, удалённого доступа и взаимодействия с внешними сетями.

Проектируются межсетевые экраны, правила фильтрации, DMZ, VPN, публикация сервисов, защита удалённого доступа, журналирование и контроль внешних подключений.

Что входит

Проектирование сегментации сети

Разделение инфраструктуры на зоны безопасности с ограничением распространения атак, контролем межсегментного взаимодействия и защитой критичных систем.

Определяются зоны безопасности, правила взаимодействия, критичные сегменты, маршруты трафика, требования к межсетевому экранированию, мониторингу и контролю доступов.

Что входит

Проектирование защищённого удалённого доступа

Формирование безопасной модели удалённой работы сотрудников, подрядчиков и администраторов с контролем устройств, прав и действий пользователей.

Проектируются VPN, многофакторная аутентификация, разграничение прав, контроль устройств, журналирование, правила доступа, сегментация и порядок подключения внешних пользователей.

Что входит

Проектирование Zero Trust-архитектуры

Разработка модели защиты, основанной на постоянной проверке пользователя, устройства, контекста доступа и минимально необходимых привилегиях.

Определяются принципы Zero Trust, зоны доступа, ролевые модели, требования к аутентификации, проверке устройств, сегментации, журналированию и контролю действий пользователей.

Что входит

Проектирование защиты облачной инфраструктуры

Разработка архитектуры безопасности для облачных и гибридных сред с контролем доступов, сетевых политик, конфигураций и журналирования.

Проверяются и проектируются сетевые настройки, доступы, ключи, роли, журналирование, резервирование, защита данных, конфигурации облачных сервисов и интеграция с корпоративной инфраструктурой.

Что входит

Построение процесса мониторинга событий безопасности

Создание процесса регулярного контроля событий безопасности из инфраструктуры, приложений, средств защиты, облаков
и корпоративных сервисов.

Определяются источники событий, правила сбора, приоритеты мониторинга, категории событий, роли, эскалации, отчётность
и требования к дальнейшему развитию SIEM/SOC.

Что входит

Внедрение SOC

Подготовка организации к внедрению SIEM или построению SOC с определением источников, сценариев, процессов, ролей
и требований к эксплуатации.

Проводится обследование инфраструктуры, выбор источников событий, определение сценариев мониторинга, требований
к журналированию, процессов реагирования и модели эксплуатации.

Что входит

Расследование инцидентов информационной безопасности

Анализ причин, масштаба, последствий и сценария инцидента с определением источника компрометации и необходимых мер восстановления.

Проводится анализ журналов, артефактов, сетевой активности, действий пользователей, событий средств защиты, возможных точек входа и последующих действий злоумышленника.

Что входит

Аудит процессов безопасной разработки

Оценка зрелости процессов разработки с точки зрения требований безопасности, контроля кода, зависимостей, CI/CD, тестирования и выпуска изменений.

Проверяются процессы разработки, требования безопасности, архитектурный контроль, анализ кода, управление зависимостями, секретами, окружениями, релизами и исправлением уязвимостей.

Что входит

Внедрение Secure SDLC и DevSecOps-практик

Интеграция требований безопасности в жизненный цикл разработки, тестирования, сборки, доставки и сопровождения цифровых решений.

Разрабатываются требования, контрольные точки, проверки кода, анализ зависимостей, контроль секретов, безопасность CI/CD, правила релизов и процесс обработки найденных уязвимостей.

Что входит

Анализ исходного кода, API и архитектуры приложений

Проверка программного кода, интеграционных интерфейсов и архитектуры приложения на уязвимости, ошибки доступа, небезопасную логику и риски эксплуатации.

Проводится анализ кода, API, архитектуры, потоков данных, авторизации, аутентификации, зависимостей, обработки ошибок, бизнес-логики и потенциальных точек компрометации.

Что входит

Аудит использования ИИ

Оценка того, как сотрудники и подразделения используют ИИ-сервисы, какие данные передаются в них и какие риски возникают для бизнеса.

Проводится анализ сценариев использования ИИ, категорий данных, доступов, сервисов, рисков утечек, теневого использования, договорных условий и внутренних ограничений.

Что входит

Безопасность LLM-интеграций и RAG-систем

Оценка и проектирование безопасности корпоративных ИИ-ассистентов, LLM-интеграций, баз знаний и систем генерации ответов на внутренних данных.

Проверяются доступы к данным, изоляция контекста, защита баз знаний, журналирование, prompt injection, утечки данных, права пользователей и контроль качества ответов.

Что входит

Безопасность АСУ ТП, MES и OT

Оценка и развитие защиты промышленной и технологической инфраструктуры: АСУ ТП, MES, OT-сегментов, инженерных станций, промышленных рабочих мест, технологических серверов и удалённого доступа к производственным системам.

Проводится анализ архитектуры технологической среды, сетевых связей между IT и OT, удалённого доступа, сегментации, серверов, инженерных систем, средств защиты, журналирования и сценариев возможного воздействия на технологические процессы.

Что входит

Сопровождение требований по КИИ

Сопровождение организаций по вопросам критической информационной инфраструктуры: определение объектов КИИ, категорирование, подготовка документации, анализ применимых требований и развитие мер защиты значимых объектов.

Проводится инвентаризация информационных систем и технологических объектов, анализ бизнес-процессов, оценка значимости объектов, подготовка материалов категорирования, разработка необходимых документов, требований к защите, мониторингу, реагированию и эксплуатации.

Что входит

Security Awareness и культура

Построение системы повышения осведомлённости сотрудников в области информационной безопасности: обучение, фишинг-тренировки, инструкции, внутренние коммуникации и регулярная проверка готовности персонала к актуальным угрозам.

Разрабатываются программы обучения, памятки, инструкции, тесты, фишинг-тренировки, сценарии социальной инженерии, материалы для руководителей и сотрудников. Проводится оценка текущего уровня осведомлённости и формируется план регулярного развития ИБ-культуры.

Что входит