Определите цель и глубину обследования
Инвентаризация для проекта защиты отличается от учёта закупленного оборудования. Важны действующие сервисы, владельцы, обработка данных и зависимости. Сначала согласуйте, какие системы и площадки входят в работу и какие решения будут приниматься по результату. Это поможет избежать сбора большого массива сведений без дальнейшего применения.
Обозначьте ограничения: недоступные сегменты, оборудование подрядчиков, сезонные системы и резервные площадки. Отсутствие записи в найденном списке не доказывает отсутствие компонента. Для спорных объектов оставьте явный статус «требует проверки» и контакт ответственного.
Совместите документы и фактическое обследование
Используйте имеющиеся схемы, реестр ПО и сведения администраторов, затем сверяйте их с действующей средой. Безопасные средства обследования и доступы согласуются заранее. Не запускайте активное сканирование производственной сети без согласованного режима: отдельные устройства и сервисы могут быть чувствительны к нагрузке.
Карточка актива может включать назначение, владельца, площадку, версию ПО, способ обновления, взаимодействия и связь с процессом. Не включайте в общий реестр секреты доступа. Сведения о конфигурации и уязвимостях храните в согласованном защищённом месте с ограничением прав.
Проверьте зависимости и ответственность
Для каждой ключевой системы выясните, от чего зависит её работа: каталог пользователей, база данных, лицензирующий сервис, DNS, канал связи, резервное копирование. Именно зависимости часто определяют порядок внедрения и восстановления. Карта должна помогать ответить, что произойдёт при изменении одного компонента.
Назначьте владельца системы и администратора как отдельные роли, если это разные люди. Первый подтверждает назначение и допустимый простой, второй — технические сведения. Для услуг подрядчиков зафиксируйте границу ответственности, порядок доступа и передачу результатов после завершения договора.
Сделайте реестр частью эксплуатации
В итоговом комплекте нужны не только таблицы, но и перечень расхождений, неизвестных объектов и приоритетных действий. Отделите исправление учёта от модернизации инфраструктуры. У каждого действия должны быть владелец и проверяемый результат; закупка средств защиты начинается после уточнения задачи.
Определите событие, при котором карточка обновляется: ввод сервиса, замена версии, перенос площадки или вывод из эксплуатации. Регулярная сверка помогает сохранить ценность обследования. Однократно составленный список быстро устаревает, если изменения не отражаются в документах и ответственности.
Что подготовить к первому обсуждению
- Системы, площадки и ограничения обследования
- Назначение активов и владельцы процессов
- Фактические версии оборудования и ПО
- Взаимодействия и эксплуатационные зависимости
- Расхождения, неизвестные объекты и приоритеты
- Порядок актуализации без хранения паролей
Отправьте краткое описание без чувствительных вложений. Если какой-то пункт неизвестен, отметьте это: обследование и восстановление исходных данных можно согласовать отдельным этапом.
Границы предложения
Материал опирается на направления работ НПК Оборон-Экран: обследование, подготовку защиты, аттестационные задачи, персональные данные, КИИ и мониторинг ИБ. Он помогает сформулировать запрос и не определяет правовой статус объекта заочно. Применимые требования, права исполнителя и роли сторон проверяются для конкретного задания; специальные допуски одной организации не переходят другой автоматически.
Объём, результаты, порядок приёмки и возможные исключения фиксируются в предложении и договоре. Итоговое соответствие, наличие необходимого допуска и завершение обязательной процедуры подтверждаются своими документами. Цена, универсальный срок и положительный результат заранее не обещаются.
Направления работ