Комплаенс и аудит соответствия

Аудит безопасности, оценка соответствия требованиям регуляторов и анализ защищённости. Как лицензиат ФСТЭК проводим официальную оценку по требованиям ЦБ РФ и ГОСТ Р 57580, готовим к проверкам по 152-ФЗ и 187-ФЗ, проводим аудит по PCI DSS, ISO 27001 и другим стандартам.

Получить расчёт Какие требования закрываем

Паспорт услуги

Требования: 382-П, 683-П, 684-П, 719-П, 747-П, ГОСТ Р 57580, ОУД 4; 152-ФЗ, GDPR; 187-ФЗ; PCI DSS, SWIFT, ISO 27001, SOC 2, CIS Controls, NIST CSF
Статус: Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации №Л024-00107-00/00581935
Форматы: Официальная оценка соответствия с отчётом, аудит разрыва, категорирование КИИ, подготовка к проверкам, консалтинг
Сроки: От нескольких недель на одну систему до одного-двух месяцев на комплексный аудит
Результат: Отчёт с несоответствиями, оценкой рисков и планом устранения; презентация руководству; повторная оценка
Команда: Сертифицированные специалисты с многолетним опытом в ИБ и соответствии требованиям

Какие требования закрываем

Перечень нормативных актов и стандартов, с которыми работаем, кому они применимы и что именно делаем по каждому.

Требование	Кому применимо	Что делаем
Положения ЦБ РФ 382-П, 683-П, 684-П, 719-П, 747-П; ГОСТ Р 57580.1-2017; ГОСТ Р ИСО/МЭК 15408 (ОУД 4)	Банки, некредитные финансовые организации, платёжные системы, операторы платёжной инфраструктуры	Как лицензиат ФСТЭК проводим оценку соответствия автоматизированных систем и мер ИБ с выдачей отчёта и помогаем с приведением в соответствие
152-ФЗ «О персональных данных», GDPR	Любые организации, обрабатывающие персональные данные граждан РФ или ЕС	Готовим к проверке надзорного органа, выстраиваем процессы обработки персональных данных в соответствии с нормативными требованиями
187-ФЗ «О безопасности КИИ»	Организации из отраслей, перечисленных в законе: финансы, энергетика, транспорт, связь, здравоохранение, промышленность и другие	Определяем объекты КИИ, помогаем с категорированием, строим модель угроз и определяем необходимые меры защиты
PCI DSS, SWIFT CSP	Организации, обрабатывающие платёжные карты или подключённые к SWIFT	Аудит и приведение инфраструктуры в соответствие, пентест в требуемом объёме, подготовка к проверке QSA
ISO 27001, SOC 2, CIS Controls, NIST Cybersecurity Framework	Компании, которым соответствие лучшим практикам нужно для клиентов, партнёров, инвесторов или выхода на зарубежные рынки	Аудит разрыва, план приведения в соответствие, помощь во внедрении контролей и подготовке к сертификации

Услуги

Шесть направлений, которые заказывают по отдельности или в составе комплексного аудита.

Требования ЦБ РФ

Как лицензиат ФСТЭК проводим оценку соответствия автоматизированных систем финансовых организаций и мер ИБ требованиям 382-П, 683-П, 684-П, 719-П, 747-П, ГОСТ Р 57580.1-2017, ГОСТ Р ИСО/МЭК 15408 (ОУД 4) с выдачей отчёта и помогаем с приведением в соответствие.

Оценка соответствия лучшим практикам

Проводим аудит и помогаем привести инфраструктуру в соответствие с лучшими практиками: PCI DSS, CIS Controls, ISO 27001, SOC 2, SWIFT, NIST Cybersecurity Framework.

Персональные данные

Помогаем подготовиться к проверке надзорного органа и выстроить процессы обработки персональных данных в соответствии с нормативными требованиями 152-ФЗ и GDPR.

Категорирование КИИ

Определяем объекты КИИ, помогаем с их категорированием, построением модели угроз и определением необходимых мер защиты для объектов КИИ.

Консалтинг ИБ

Отвечаем на вопросы, помогаем внедрить новые инструменты ИБ и наладить процесс эффективной работы с ними.

Комплексный аудит

Экспертный анализ состояния ИБ компании целиком: процессы, средства защиты, зрелость. Результат — план развития системы ИБ под бизнес-цели и доступные ресурсы.

Как мы работаем

Пять этапов: от плана аудита до повторной оценки, подтверждающей устранение несоответствий.

01
Планирование и сбор информации
Определяем объём работ и перечень систем, согласовываем методологию и собираем информацию о системах и процессах. Составляем детальный план аудита с ответственными и сроками.
02
Анализ документации
Анализируем документацию, политики, процедуры, регламенты и другие материалы и оцениваем их соответствие требованиям выбранного стандарта или регулятора.
03
Техническая проверка
Проверяем системы и процессы на практике: конфигурации, реализованные меры защиты, журналирование, управление доступом. Выявляем несоответствия требованиям и потенциальные уязвимости; при необходимости проводим пентест в требуемом объёме.
04
Анализ и отчётность
Составляем отчёт с описанием выявленных несоответствий, оценкой рисков и конкретными рекомендациями по устранению. Проводим презентацию результатов и отвечаем на вопросы.
05
Поддержка и повторная оценка
Поддерживаем команду в процессе устранения несоответствий и проводим повторную оценку, подтверждающую эффективность внесённых изменений.

Почему аудит заказывают у DeteAct

Официальный статус для регуляторов и техническая команда, которая понимает, как требования реализуются в реальных системах.

Экспертиза и опыт

Аудит ведут сертифицированные специалисты, которые сами проводят пентесты: несоответствия оцениваются по реальному риску, а не по формальному чек-листу.

Лицензия ФСТЭК

Лицензия на ТЗКИ №Л024-00107-00/00581935 позволяет проводить официальную оценку соответствия требованиям регуляторов.

Несоответствия и их устранение

Не только выявляем несоответствия, но и даём конкретные рекомендации по их устранению и повышению уровня безопасности.

Методология под ваш бизнес

Адаптируем методологию аудита под специфику бизнеса и ИТ-инфраструктуры, учитывая бизнес-цели и доступные ресурсы.

Отчётность для руководства и регулятора

Отчёты содержат описание несоответствий, оценку рисков и рекомендации по устранению в формате, который принимают проверяющие.

Поддержка после аудита

Помогаем устранить несоответствия и проводим повторную оценку, подтверждающую эффективность изменений.

Что получает заказчик

Состав документов зависит от требования. Для оценки по требованиям ЦБ РФ отчёт оформляется в установленном регулятором формате.

План аудита: Область, перечень систем и процессов, методология, ответственные, сроки
Отчёт: Выявленные несоответствия с привязкой к пунктам требований, оценка рисков, приоритизированные рекомендации
Отчёт об оценке соответствия: Для ГОСТ Р 57580 и положений ЦБ РФ — документ лицензиата ФСТЭК с итоговой оценкой
Презентация: Разбор результатов с руководством и ответственными, ответы на вопросы
Повторная оценка: Подтверждение устранения несоответствий и обновлённый отчёт

Пентест в объёме требований регуляторов Решения для банков и финтеха

Вопросы о комплаенсе и аудите

Кто вправе проводить оценку соответствия по ГОСТ Р 57580 и положениям ЦБ РФ?

Оценку соответствия для финансовых организаций проводят организации с лицензией ФСТЭК России на техническую защиту конфиденциальной информации. DeteAct — лицензиат ФСТЭК (лицензия на ТЗКИ №Л024-00107-00/00581935), поэтому может выполнять официальную оценку с выдачей отчёта, который принимает Банк России.

Какие требования ЦБ РФ вы проверяете?

Положения 382-П, 683-П, 684-П, 719-П и 747-П, ГОСТ Р 57580.1-2017, а также требования ГОСТ Р ИСО/МЭК 15408 по оценочному уровню доверия ОУД 4 к прикладному программному обеспечению. По итогам выдаём отчёт об оценке соответствия и помогаем привести системы и меры ИБ в соответствие.

Сколько длится аудит соответствия?

Зависит от области: оценка одной автоматизированной системы по ГОСТ Р 57580 занимает несколько недель, комплексный аудит нескольких контуров и процессов — от одного-двух месяцев. Сроки фиксируем в плане аудита после определения объёма работ и перечня систем.

Чем аудит соответствия отличается от пентеста?

Пентест отвечает на вопрос «можно ли нас взломать и как», аудит соответствия — «выполняем ли мы требования конкретного стандарта или регулятора». Аудит включает анализ документации и процессов и техническую проверку реализованных мер; пентест часто входит в него как одно из требований, например в ГОСТ Р 57580 и PCI DSS.

Помогаете ли вы устранить несоответствия, а не только найти их?

Да. Отчёт содержит конкретные рекомендации по каждому несоответствию, мы поддерживаем команду в процессе их устранения, помогаем внедрить новые инструменты ИБ и наладить работу с ними, после чего проводим повторную оценку, подтверждающую результат.

Что входит в работу по персональным данным?

Подготовка к проверке надзорного органа и построение процессов обработки персональных данных в соответствии с требованиями 152-ФЗ и GDPR: инвентаризация процессов, определение уровней защищённости, анализ документации и согласий, техническая проверка реализованных мер и план приведения в соответствие.

Что вы делаете для объектов КИИ?

Определяем объекты критической информационной инфраструктуры, помогаем с их категорированием по 187-ФЗ, строим модель угроз и определяем необходимые меры защиты для каждого объекта, готовим документы для направления во ФСТЭК.

Что получает заказчик по итогам аудита?

Отчёт с описанием выявленных несоответствий, оценкой рисков и приоритизированными рекомендациями по устранению, презентацию результатов для руководства и ответы на вопросы, а после устранения — повторную оценку и обновлённый отчёт. Для оценки по требованиям ЦБ РФ оформляем отчёт в формате, установленном регулятором.

Получить решение

Опишите, какое требование нужно закрыть и какие системы в него попадают. Поможем разобраться, что действительно нужно, определим объём работ и назовём сроки и стоимость в течение одного-двух рабочих дней.

Почта: info@deteact.ru
Телефон: +7 499 444-12-46
Офис: Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия: ФСТЭК России №Л024-00107-00/00581935

Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.