Клиент требует от нас центр кибербезопасности, обязательно ли это для компании из 20 человек?

Не отмечайте галочку в опросном листе поставщика просто как «Нет». Заключите предварительный протокол с внешним поставщиком управляемой безопасности и заполните форму как «Круглосуточный мониторинг через стороннюю управляемую SOC-инфраструктуру», иначе форму сразу отсеют.

edit: писал с телефона, извините за опечатки.

Мы с командой из 22 человек участвовали в похожем гостендере. Если бы решили строить своё, выходило бы минимум 400 000 SAR в год на персонал. Мы взяли аутсорсинговый SOC; платим около 4 800 SAR в месяц за 8 серверов и 25 конечных точек, и прошли проверку клиента без проблем.

Убедитесь, что аутсорсинговый операционный центр, у которого будете брать услугу, хранит логи в пределах границ Саудовской Аравии. Согласно национальным нормам о данных, передача логов безопасности за границу поставщиками, обслуживающими критически важные отрасли, может повлечь административные санкции.

Крупные организации рассылают эти формы поставщика как стандартный шаблон всем. Они и сами часто знают что маленькая софтверная фирма не потянет такую услугу. Если сядете за стол и скажете что мониторятся только API-эндпоинты и вы даёте гарантию хранения логов, они могут смягчить условие.

кто говорит компании из 20 человек строить внутренний soc — тот рынка не знает. даже если наймёшь аналитиков на три смены всё равно прогоришь. возьмите разделённый пакет через mssp и покажите договор клиенту, этого достаточно.

edit: выше написал неправильно, извините.

При выборе внешнего провайдера проверяйте в предложениях эти три параметра: 1) Время первого реагирования на критические алерты безопасности (SLA должен быть 15-30 минут), 2) Хранение логов минимум за 12 месяцев назад, 3) Формат ежемесячной отчётности о киберинцидентах, который сможете предъявить клиенту на проверках.

Есть ли в присланном клиентом техзадании прямая ссылка на пункты Базовых мер кибербезопасности (ECC) или Мер для поставщиков (CCC) от NCA? Если да, какой уровень соответствия требуется?

мы включили алерты безопасности и уведомления по почте, которые предлагает наш облачный провайдер разве эта система сама по себе не считается выполнением условия об операционном центре?

Вы правы. Не полагайтесь на одну меру защиты; действуйте слоями.

Изменение платежных данных никогда не подтверждается через тот же канал. Удачи.

Буду отстаивать обратное, не обижайтесь. Автоматический отчет о сканировании и пентест — это не одно и то же.

Изменение платежных данных никогда не подтверждается через тот же канал. Это мое мнение не утверждаю, что оно единственно верное.

позвольте подвети итог сказанному выше но процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки. исправьте если я ошибаюсь.

Позвольте подвести итог сказанному выше. Начните с небольшого эксперимента не привязывайте всё сразу.

Удачи.

Вы правы, я сам проходил через это. То, что делают все, не значит, что это правильно.

Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

У меня было наоборот, поэтому и пишу. Главное не цифра, а то, на основе чего она получена.

Проверено опытом.

Абсолютно. Если добавить к этому: То, что делают все, не значит, что это правильно.

Оставлю как заметку, пригодится.

Я тоже так считаю. Непроверенная резервная копия — не резервная копия.

Надеюсь, это будет полезно.

Именно так. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Проверено опытом.

давайте разделим понятия, их путают. забытые тестовые срды становятся входом в систему чаще, чем продакшн.