Внедрение сертифицированных средств защиты совместно с лицензированным партнёром

Ведём проекты, где требуются сертифицированные средства защиты информации: готовим инфраструктуру, формулируем задачу, подбираем и координируем лицензированного партнёра, интегрируем решение с вашими системами и берём его в дальнейшую эксплуатацию. Лицензируемые работы выполняет партнёр, у которого есть соответствующая лицензия. Мы отвечаем за всё остальное и остаёмся с вами после сдачи.

Коротко о задаче

Сначала о честном разделении, потому что в этой области его часто размывают.

Техническая защита конфиденциальной информации и работы с криптографическими средствами относятся к лицензируемой деятельности. Лицензия выдаётся не «на информационную безопасность вообще», а на конкретные работы из перечня. Проектирование и внедрение средств защиты у заказчика, аттестация объектов информатизации, категорирование объектов критической информационной инфраструктуры, работы по контролю защищённости требуют лицензии.

У нас таких лицензий нет, и мы этих работ не заявляем. Мы разработчики и инженеры инфраструктуры.

Зато у нас есть то, чего часто не хватает в таких проектах. Лицензированный интегратор приходит, проектирует, внедряет, сдаёт и уходит. Дальше заказчик остаётся с сертифицированным решением, которое нужно эксплуатировать: обновлять, настраивать под меняющуюся инфраструктуру, разбирать срабатывания, вписывать в собственные процессы. Своих людей на это нет, а интегратор приезжает по заявкам за отдельные деньги.

Мы закрываем эту сторону: подготовку до, интеграцию во время и эксплуатацию после.

Что входит в услугу

• Обследование и постановка задачи

Разбираемся, что действительно требуется: какие требования применимы к вашей организации, какой уровень защищённости определён, какие меры уже закрыты организационно и настройками, а где нужны сертифицированные решения. Часть требований закрывается без закупок, и это выясняется до траты бюджета.

• Подбор партнёра

Помогаем выбрать лицензированную организацию под конкретный объём работ, проверить наличие нужных пунктов в лицензии, сопоставить предложения. Лицензия на один вид работ не даёт права на другой, и это стоит проверять по реестру.

• Подготовка инфраструктуры

Приводим среду в состояние, пригодное для внедрения: сегментация, разграничение доступа, журналирование, актуальные версии, резервирование, документация. Внедрение средств защиты в неупорядоченную инфраструктуру даёт результат на бумаге, а не в реальности.

• Сопровождение проекта со стороны заказчика

Выступаем вашим техническим представителем: согласуем решения, проверяем проектную документацию на выполнимость, следим, чтобы предложенное не сломало работающие процессы, задаём вопросы, которые заказчику задать некому.

• Интеграция с вашими системами

Связываем внедрённое решение с существующей инфраструктурой и прикладными системами: обмен событиями, разграничение прав, взаимодействие с системой мониторинга и учётом заявок.

• Эксплуатация после внедрения

Берём решение на обслуживание: обновления, настройка под изменения инфраструктуры, разбор срабатываний, участие в реагировании. Смотрите {{ссылка: Абонентское обслуживание серверов и сети}}.

• Обучение вашей команды

Передаём знания администраторам заказчика, чтобы повседневная работа не требовала внешнего вызова.

• Документация

Схемы, описания конфигураций, регламенты эксплуатации, материалы для внутреннего контроля и проверок.

Что это даёт заказчику

• Честная картина. Мы говорим, что требует лицензии и почему за этим нужно к партнёру, вместо того чтобы брать работу, права на которую нет.
• Экономия на лишнем. Обследование показывает, какие требования закрываются настройками и регламентами, а какие действительно требуют закупки.
• Технический представитель на вашей стороне. Кто-то читает проект интегратора глазами того, кто будет с этим жить.
• Решение вписано в инфраструктуру. Не стоит отдельно, а связано с мониторингом, учётом заявок и процессами.
• Есть кому эксплуатировать. После сдачи мы остаёмся, и обслуживание не превращается в вызовы по прайсу.
• Один договор на сопровождение. Средства защиты обслуживаются в том же контуре, что и остальная инфраструктура.

Как мы работаем

Начинаем с обследования и определения применимых требований. Довольно часто выясняется, что часть ожиданий заказчика избыточна: требования, применимые к государственным информационным системам или к объектам критической инфраструктуры, распространяются не на всех.

Дальше формулируем задачу и помогаем выбрать партнёра. Мы не продаём лицензируемые работы через посредника и не берём за них ответственность: договор на лицензируемую часть заказчик заключает напрямую с лицензированной организацией.

Наша зона — подготовка, интеграция, эксплуатация и документация. Она начинается раньше проекта интегратора и продолжается после его окончания.

Наш опыт

Мы строим и обслуживаем инфраструктуру более десяти организаций и разрабатываем системы для регулируемых отраслей, где требования к защите информации предъявляются постоянно. На системах нашей разработки заказчики прошли более тридцати аудитов клиентов и более десяти проверок регуляторов.

Мы понимаем логику требований и умеем переводить её на язык конкретных настроек и процессов. И мы остаёмся на объекте после сдачи, что для средств защиты важнее, чем для чего-либо ещё: настроенное однажды и забытое решение перестаёт защищать в течение года.

Расскажите, какие требования к вам применимы и что уже сделано. Начнём с обследования: возможно, часть закрывается без закупок.