«Нам нужно все сертифицированное»: требования к защите корпоративной системы
Колонка Максима Сысоева в TAdviser: как связать требования к защите корпоративной системы с их основаниями, документами и ответственными до выбора поставщика.
TAdviser опубликовал колонку исполнительного директора Forward Максима Сысоева о том, как формировать требования к защите корпоративной информационной системы при ее закупке.
Отправная точка — пункт технического задания «все компоненты должны быть российскими и сертифицированными». Участники проекта понимают его по-разному: одни имеют в виду происхождение ПО, другие сертификат средства защиты, третьи совместимость с ОС. Автор предлагает для каждого требования связать пять вещей: что защищаем, откуда возникает требование, как его выполняем, чем подтверждаем результат и кто за него отвечает.
Основные положения колонки:
- Сначала определяют границы системы. В системе расчетов с клиентами участвуют приложение, база данных, личный кабинет, платежный сервис и средства администрирования, и одного описания функций приложения для выбора мер защиты мало.
- Важность системы для выручки не присваивает ей категорию значимости КИИ. В отрасли связи системы тарификации и расчетов с абонентами включены в перечень типовых отраслевых объектов КИИ (распоряжение Правительства РФ № 360-р), но категорию определяют по правилам постановления № 127.
- Категория значимости объекта КИИ, уровень защищенности персональных данных, класс защиты и уровень доверия средства защиты — разные шкалы. Одинаковые цифры в их обозначениях не переводятся одна в другую.
- У каждого пункта ТЗ должно быть основание: норма закона, анализ угроз, внутренний стандарт, условие договора. Требование закона нельзя снять ради экономии, а скопированный из прежней закупки пункт нельзя обсуждать, пока его основание не восстановлено.
- Документы подтверждают разные свойства. Запись в реестре российского ПО говорит о происхождении программы и не заменяет сертификат по требованиям безопасности информации. АСР, учитывающие объем услуг связи, подлежат обязательной сертификации как средства связи (постановление № 113), и этот вопрос решается отдельно от категории КИИ.
- Коммерческие предложения сравнивают по одинаковому объему ответственности: лицензии и поддержка в одном предложении и развертывание, настройка защиты, документация и участие в испытаниях в другом дают разную цену при одинаковых сертификатах.
- Требования пересматривают после запуска: появляются интеграции, меняются данные и компоненты, вступают в силу отложенные нормы.
Вывод автора: фраза «нам нужно все сертифицированное» может быть только началом обсуждения. До выбора поставщика нужно определить, какие меры и подтверждения требуются для конкретной системы, на каких основаниях и кто отвечает за их выполнение.
Полный текст — на сайте TAdviser.