Начните с реестра, а не с папки шаблонов
Удобный комплект начинается с перечня документов: название, владелец, дата, версия, связь с объектом и статус актуальности. В одной папке часто оказываются документы разных лет и разных систем. Без реестра исполнитель может опереться на схему, которая уже не соответствует реальной инфраструктуре.
Пометьте материалы как актуальные, требующие проверки или отсутствующие. Это рабочая классификация для планирования, а не оценка соответствия. Сохраните предыдущие версии в контролируемом архиве и явно укажите, какой набор используется в обследовании. Состав конкретного комплекта согласуется для вашего объекта.
Опишите объект и его окружение
Соберите назначение системы, перечень площадок, состав оборудования и ПО, схему размещения и сетевых взаимодействий. Добавьте владельцев процессов и ответственных за эксплуатацию. Если система получает данные из внешнего сервиса, это взаимодействие также нужно описать: граница объекта должна быть понятна всем участникам.
Не подменяйте фактическое описание красивой схемой из закупочной документации. При необходимости проведите инвентаризацию и отметьте расхождения. Описание должно отражать то, что действительно установлено и используется, включая резервные компоненты, административные подключения и режим технического обслуживания.
Проверьте документы по защите
Посмотрите, соответствуют ли модель угроз, организационные документы, правила доступа и состав мер текущей конфигурации. Упоминание старой ОС или несуществующего сетевого сегмента — повод для уточнения. Материалы на средства защиты должны относиться к установленным продуктам и версиям, а не к любой редакции с похожим названием.
Разделите документы заказчика и результаты, которые должен подготовить исполнитель. Программа работ, протоколы и итоговые документы не считаются существующими заранее. Их перечень и требования к передаче нужно включить в договор; тогда при приёмке будет понятно, что проверять и чего ещё не хватает.
Организуйте безопасную передачу
На первом обращении можно сообщить тип объекта, масштаб, площадки и список имеющихся материалов без вложения чувствительных данных. Канал для подробной схемы, конфигураций и служебных документов согласуйте отдельно. Назначьте контактное лицо, которое отвечает за комплектность и имеет право предоставлять эти сведения.
Согласуйте формат файлов и порядок обновления: например, реестр с датой и отдельная папка утверждённых версий. После изменений в инфраструктуре предупредите исполнителя до начала очередного этапа. Такой порядок снижает повторную работу и помогает сохранить доказуемую связь между обследованным объектом и документами.
Что подготовить к первому обсуждению
- Реестр документов с версиями и владельцами
- Описание назначения, границ и площадок
- Инвентарная ведомость оборудования и ПО
- Схема информационных потоков и взаимодействий
- Доступные документы по угрозам, доступу и защите
- Перечень отсутствующих материалов и безопасный канал передачи
Отправьте краткое описание без чувствительных вложений. Если какой-то пункт неизвестен, отметьте это: обследование и восстановление исходных данных можно согласовать отдельным этапом.
Границы предложения
Материал опирается на направления работ НПК Оборон-Экран: обследование, подготовку защиты, аттестационные задачи, персональные данные, КИИ и мониторинг ИБ. Он помогает сформулировать запрос и не определяет правовой статус объекта заочно. Применимые требования, права исполнителя и роли сторон проверяются для конкретного задания; специальные допуски одной организации не переходят другой автоматически.
Объём, результаты, порядок приёмки и возможные исключения фиксируются в предложении и договоре. Итоговое соответствие, наличие необходимого допуска и завершение обязательной процедуры подтверждаются своими документами. Цена, универсальный срок и положительный результат заранее не обещаются.
Направления работ