Что за требование по кибербезопасности в тендере в Саудовской Аравии и сколько это стоит?

Пункты, на которых чаще всего заваливаются на техническом аудите: шифрование данных в базе данных в состоянии покоя, многофакторная аутентификация (MFA) во всех админ-панелях и центральный сервер логов. Кроме того, по правилу о суверенитете данных обязательно требуется, чтобы у используемого облачного провайдера был локальный дата-центр внутри Саудовской Аравии.

Добавление этих документов в тендерную заявку может спасти процесс: 1) Заполненная по официальному шаблону форма самооценки, 2) Краткое изложение политики информационной безопасности компании, 3) Если есть, обязательство о соответствии на 60 дней с указанием дат по недостающим пунктам. Госструктуры обычно принимают такое обязательство вместо прямого отказа.

В прошлом году в Даммаме мы столкнулись с этим на похожем гостендере с контрактом на 500 000 SAR. Аудиторская компания выставила 60 000 SAR, это превысило наш бюджет. С местным консультантом мы за 18 000 SAR сделали анализ пробелов, написали политики и выиграли тендер. Перед сдачей работы они приехали и проверили контроли на месте.

Если в тендере есть этот пункт и вы получите заказ генеральный подрядчик оставляет за собой право на внезапные проверки в течение срока контракта. Подписать «мы соответствуем» только ради подачи заявки и не принять никаких технических мер — очень рискованно. В случае утечки вы и залог потеряете, и из официального списка поставщиков вас исключат.

В тендерной документации прямо прописано требование отчета от сторонней аккредитованной аудиторской компании или достаточно просто гарантийного письма поставщика? Этот нюанс может изменить ваши расходы раза в три.

На рынке Саудовской Аравии нормы кибербезопасности за последние два года стали обязательными для поставщиков критической инфраструктуры. Рекомендуем рассматривать требования техзадания не как разовые траты на тендер, а как инвестицию, которая расширит ваш корпоративный потенциал в регионе.

Не пугайтесь, в команде из 14 человек наладить процессы выйдет гораздо быстрее, чем в крупных компаниях. Вместо покупки дорогущего корпоративного защитного софта можно зашифровать текущую инфраструктуру, настроить логирование и четко разграничить права доступа — так вы быстро закроете большую часть проверок.

Поделюсь своим опытом. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Прежде чем принимать решение, посмотрите, какие данные у вас есть. Удачи.

Хочу предупредить. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Пишите, если есть вопросы, отвечу по мере возможности.

да по теме соответствие требованиям кибербезопасности ситуация именно такая но изменнение платежных данных никогда не подтверждается через тот же канал.

исправьте если я ошибаюсь.

Хочу задать вопрос. Автоматический отчет о сканировании и пентест — это не одно и то же.

Надеюсь, это будет полезно.

Расскажу, что было у меня, вдруг пригодится. Все кто торопится с соответствие требованиям кибербезопасности, спотыкаются на одном и том же.

Интересно есть ли те кто делает иначе.

Появились три разных мнения, они дополняют друг друга. Чем сложнее отменить решение, тем медленнее его принимайте.

Я проходил через это, расскажу. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Главное не цифра, а то, на основе чего она получена. Проверено опытом.

Я долго занимался этим вопросом. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Конечно, если ваша ситуация отличается, всё меняется.

Да по теме соответствие требованиям кибербезопасности ситуация именно такая. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Если делаете впервые начните с малого, масштабирование потом. На этом всё извините, если затянул.

именно так потом кстати если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

конечно если ваша ситуация отличается всё меняется.

Позвольте подвести итог сказанному выше. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.