Перед подписанием договора запросили базовые контроли кибербезопасности — что это вообще и какие из них нам реально внедрять?

мы в эр-рияде на похожем логистическом проекте получили такую же форму. в форме было 40 пунктов половина вообще не для команд вроде нашей из 10 человек. мы приложили скриншоты mfa и бэкапов, на остальное дали сроки и поддали письмо с обязательствами и они приняли, не паникуйте.

На технической стороне больше всего цепляются к тому, что порты SSH и RDP открыты наружу. Закройте прямой доступ к серверам через публичный IP и хотя бы спрячьте за простым VPN или ограничением по IP. Если покажете этот шаг и активные записи MFA в отчёте, легко пройдёте технического аудитора.

Корпоративные заказчики знают, что у вас нет огромного корпоративного центра безопасности. На самом деле они ищут, можно ли через вас построить трамплин к их собственным серверам. Если задокументируете, что логически разделите свою сеть и линию интеграции, которую предоставите клиенту, восприятие риска сразу снизится.

В прошлом году мы потратили около 18 000 SAR, чтобы закрыть похожий список требований от заказчика. Из этих денег 6 000 SAR ушли на лицензии централизованного менеджера паролей и удостоверений, а остальное — на архитектуру автоматического изолированного резервного копирования в облаке. Из 28 пунктов в форме мы сразу закрыли 19, а оставшиеся 9 — на аудите через 3 месяца.

Большинство анкет от заказчиков, к сожалению, заполняются копипастом. Закупщик на той стороне не разбирается в технической глубине пунктов, ему важно только чтобы галочки стояли и подпись внизу была. Но если вдруг случится утечка, эти обязательства станут юридическим козырем; поэтому не пишите «сделано» о том, чего вы не делали.

Прежде чем начинать заполнять форму попросите 15-минутную встречу с ответственным за информационную безопасность на той стороне. Скажите: «мы в статусе малого бизнеса базовые технические контроли у нас готовы, а корпоративные политики хотим растянуть по срокам проекта». Девяносто процентов относятся к этому разумно и утверждают дорожную карту.

по пункту об обучении персонала по кибербезопасности нам обязательно нужно покупать платный сертификат у аккредитованной организации или достаточно нашей внутренней базовой презентации и подписного листа как доказательства?

450 000 SAR — вполне себе хороший контракт не переживайте. Крупные компании каждый год обновляют эти бумажки по процедуре... ну сначала выглядит устрашающе но как только закроешь основы, дальше остаётся одна бюрократия.

Если смотреть на процесс в целом, картина меняется. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Интересно, есть ли те, кто делает иначе.

У меня будет вопрос, не хочу уходить от темы, но... Ошибка, сделанная на стороне базовые контроли кибербезопасности, обычно исправима, но дорого.

Спешка в решениях оборачивается исправлениями через полгода. Конечно, если ваша ситуация отличается, всё меняется.

Редко встретишь текст с такой ясностью изложения.

спасибо, очень помогло.

Не знал об этом.

отличчная работа.

Нужно идти по порядку. Начните с небольшого эксперимента, не привязывайте всё сразу.

Оставлю как заметку, пригодится.

Частично согласен, частично нет. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Большинство инцидентов начинается не с уязвимости, а с украденного пароля. На этом всё, извините, если затянул.

Я маленький бизнес, расскажу со своей стороны. Большая часть потерь времени копится на задачах, ожидающих согласования.

То, что делают все, не значит, что это правильно. Интересно, есть ли те, кто делает иначе.

Редко встретишь текст с такой ясностью изложения. Время обнаружения проблемы напрямую определяет ее стоимость.