Состав сметы: информационная безопасность
Второй принцип — честная граница обещаний. Безопасность не бывает абсолютной, и подрядчик не может гарантировать, что инцидента не произойдёт. Он может гарантировать внедрение согласованных мер, время реакции на событие и порядок действий при инциденте. Чем яснее это сказано в предложении, тем меньше вероятность, что первое же успешное фишинговое письмо превратится в претензию к исполнителю.
Позиции и единицы измерения
- Обследование инфраструктуры и отчёт по слабым местамкомплект
- Установка и настройка защиты рабочего местарабочее место
- Настройка защиты серверасервер
- Настройка межсетевого экрана и правил доступаустройство
- Сегментация локальной сетисегмент
- Настройка многофакторной аутентификациипользователь
- Настройка защищённого удалённого доступаточка подключения
- Пересмотр прав доступа к ресурсам и системамчас
- Настройка сбора и хранения журналов событийсервер
- Разработка регламента (пароли, доступы, действия при инциденте)регламент
- Обучение сотрудников и учебная фишинговая рассылкасотрудник
- Разбор события безопасности и реагирование на инцидентинцидент
Работы разбиваются на этапы по приоритету мер: сначала то, что закрывает самые вероятные сценарии, затем остальное. Для каждого этапа указывается длительность в рабочих днях. Обследование выносится первым этапом, поскольку его результат уточняет состав дальнейших работ. Отдельно оговаривается срок реакции на инцидент в регулярной части: время первичной реакции, порядок изоляции затронутых систем и сроки подготовки отчёта по событию.
Обследование оплачивается отдельно и имеет самостоятельный результат — отчёт с перечнем слабых мест и приоритетами. Внедрение мер оплачивается по этапам, регулярные работы — ежемесячно с расчётом от числа защищаемых рабочих мест и серверов. Лицензии на средства защиты приобретаются заказчиком и в стоимость работ не входят: их срок действия и порядок продления указываются отдельно, чтобы защита не отключилась незаметно.
Подрядчик гарантирует внедрение согласованных мер в заявленном объёме и их работоспособность, а также соблюдение сроков реакции при инциденте. Гарантии отсутствия инцидентов не существует, и это прямо указывается в предложении: значительная часть рисков зависит от действий сотрудников и от решений заказчика об ограничениях. Отдельно фиксируются обязательства подрядчика по конфиденциальности сведений об инфраструктуре и по обращению с полученными доступами.
Блоки, смета с расчётом и условия уже готовы — останется вписать свои цены. Клиент открывает ссылку в браузере, а вы видите, кто её открыл и докуда дочитал.