Консалтинг по информационной безопасности и соответствию требованиям
Консалтинг по информационной безопасности — это построение системы менеджмента, технических мер контроля и их свидетельств для защиты информационных активов организации. От подготовки к сертификации по ISO 27001 и технических и организационных мер по KVKK (закон Турции № 6698 о защите персональных данных), до тестирования на проникновение и внутреннего аудита — мы объединяем политику и практику в одной системе.
- Охват
- Подготовка к ISO 27001, 27701, 22301 и PCI DSS, меры по KVKK, тестирование на проникновение, внутренний аудит, обучение
- Подход
- Риск-ориентированный; политики и технические меры контроля вместе
- Формат работы
- Проект · периодическое тестирование · постоянное консультирование
- Первый шаг
- Бесплатная первичная консультация и оценка текущего состояния
Когда встаёт вопрос о безопасности и соответствии требованиям?
Требования к безопасности обычно появляются вместе с запросом клиента, аудитом или новым этапом роста. Мы определяем объём работ исходя из этой цели.
- Клиент запрашивает сертификат ISO 27001 или аудит безопасности. Нужно определить охват, сроки и необходимые шаги.
- Технические меры KVKK нужно воплотить на практике. Процессы доступа, журналирования, шифрования и уничтожения данных должны работать согласованно с реестром данных.
- Результаты сканирования уязвимостей требуют отслеживания. Уязвимости нужно приоритизировать, закрепить за ответственными и отслеживать до устранения.
- Нужна независимая проверка ваших систем. Системы, доступные извне и изнутри, проверяются тестированием на проникновение в согласованных границах.
- Планируется обучение сотрудников основам безопасности. Регулярное документируемое обучение по таким темам, как фишинг, пароли и безопасность устройств.
Что мы делаем в области информационной безопасности и соответствия?
От системы менеджмента до технического тестирования — направления, которые можно выбрать по вашим потребностям.
Подготовка к сертификации ISO 27001
Область действия и оценка рисков, политики и процедуры, Положение о применимости (SoA) и подготовка к сертификационному аудиту.
ISO 27701, ISO 22301 и PCI DSS
Подготовка по защите персональных и карточных данных и непрерывности бизнеса — отдельно или вместе с действующей системой.
Руководство по безопасности информации и коммуникаций
Соответствие BİG Rehberi: определение групп активов и уровней критичности, GAP-анализ, внедрение мер защиты и подготовка к аудиту.
Технические и организационные меры KVKK
Доступ, журналирование, шифрование, резервное копирование и уничтожение данных на практике — по реестру персональных данных.
Внутренний аудит
Внутренний аудит системы менеджмента аудитором, независимым от команды внедрения; замечания и контроль корректирующих действий.
Тестирование на проникновение
Веб-приложения, внешняя и внутренняя сеть, облако; чёрный, серый или белый ящик, письменные правила и повторный тест после исправлений.
Управление уязвимостями
Регулярное сканирование, приоритизация уязвимостей, контроль их устранения и понятная регулярная отчётность для руководства.
Повышение осведомлённости
Практические занятия для сотрудников по таким темам, как фишинг, пароли и безопасность устройств, с фиксацией участия.
Риск-ориентированный подход, шаг за шагом.
Мы связываем каждую меру контроля с риском и в первую очередь работаем с наиболее высокими рисками. Так усилия направляются туда, где они дают наибольший эффект. Ниже показан полный цикл работ; каждое направление можно заказать и отдельно.
Ориентиры, которые мы учитываем
Работа опирается на признанные стандарты и нормативные требования:
- ISO/IEC 27001:2022 и 27002
- ISO/IEC 27701:2025, ISO 22301, PCI DSS v4
- KVKK (закон № 6698) и Руководство по безопасности персональных данных
- Руководство по безопасности информации и коммуникаций
- Руководства OWASP по тестированию
- CIS Controls
Текущее состояние и охват
Изучаем активы, процессы и существующие меры контроля и вместе определяем охват.
Результат: Охват и GAP-анализОценка рисков
Оцениваем угрозы и их последствия и расставляем приоритеты мер контроля.
Результат: Отчёт об оценке рисков и план обработки рисковВнедрение мер контроля
Вместе с вами внедряем политики, процессы и технические меры.
Результат: Комплект политик, внедрённые меры контроляТестирование и проверка
Подтверждаем работу мер контроля сканированием уязвимостей и тестированием на проникновение; внутренний аудит проводит аудитор, независимый от команды, внедрявшей систему.
Результат: Отчёты о тестировании, отчёт о внутреннем аудитеПоддержание системы
Поддерживаем систему в актуальном состоянии с помощью периодических тестов, контроля свидетельств и анализа со стороны руководства.
Результат: Периодические отчётыРезультаты работ по безопасности и соответствию.
В зависимости от охвата — конкретные результаты, которые можно показать аудитору, клиенту или руководству.
GAP-анализ и анализ рисков
Текущее состояние, риски и приоритизированный план обработки рисков.
Комплект политик и процедур
Применимые на практике документы, адаптированные к вашей организации.
Отчёт о внутреннем аудите
Выявленные замечания, несоответствия и план корректирующих действий.
Отчёты о тестировании
Резюме для руководства, технические находки, доказательства и советы по устранению.
Проверка устранения
Повторный тест, подтверждающий устранение закрытых уязвимостей.
Учебные материалы
Материалы по повышению осведомлённости и записи об участии.
Отправная точка под вашу цель.
Малый и средний бизнес перед аудитом клиентов
Компании, которые готовятся к анкетам безопасности корпоративных клиентов и аудитам поставщиков.
Компании, нацеленные на ISO 27001
Те, кто хочет пройти сертификацию поэтапно, в реалистичные сроки и с системой, формирующей свидетельства.
Работающие с госсектором и критической инфраструктурой
Государственные организации и их поставщики, от которых ожидается соответствие мерам BİG Rehberi.
Чтобы первая встреча была продуктивной.
Ничто из этого не является обязательным условием; всё, что у вас есть, сделает первую встречу более предметной.
Что можно подготовить, если есть
- Перечень систем и активов, даже неполный
- Цель: сертификат ISO 27001, меры по KVKK, анкета клиента или аудит
- Предыдущие отчёты об аудитах, сканированиях и тестах, если есть
- Владельцы процессов и контактные лица
- Ограничения: сроки, окна простоя, системы вне охвата
Об информационной безопасности и соответствии
Источники и стандарты
- ISO/IEC 27001:2022 (откроется в новой вкладке)Стандарт системы менеджмента информационной безопасности
- Ведомство по защите персональных данных (KVKK) (откроется в новой вкладке)Законодательство и руководства KVKK
- PCI Security Standards Council (откроется в новой вкладке)Стандарт PCI DSS
- OWASP Top 10 (откроется в новой вкладке)Риски безопасности веб-приложений
- FIRST CVSS (откроется в новой вкладке)Оценка критичности уязвимостей
Давайте вместе разберём ваши цели в области безопасности и соответствия.
На бесплатной первичной консультации мы обсуждаем вашу текущую ситуацию и цели, а своим первым впечатлением и возможными следующими шагами делимся на той же встрече.
- Техническая беседа со специалистами по вашей теме
- Первое впечатление о вашей ситуации и возможные подходы
- Если уместно, следующий шаг: оценка, проектное предложение или консалтинг
- При необходимости — соглашение о неразглашении до встречи
- Ответ на запрос в течение 4 рабочих часов
Информационная безопасность: примеры из практики
На наглядных сценариях показываем, как идут подготовка к сертификации, тестирование и внедрение мер защиты.
Подготовка к сертификации по ISO 27001
Подготовка идёт от определения области до внутреннего аудита. Сертификат выдаёт аккредитованный орган по сертификации; мы готовим организацию к этому аудиту.
Область применения
Определяется, какие площадки, процессы и системы охватывает система менеджмента.
- scope: software development and hosting services
- location: Istanbul office
Активы и риски
Выявляются информационные активы; для каждого анализируются угрозы, уязвимости и последствия.
- assets: 126 · risks assessed: 48
- high: 6 · medium: 19 · low: 23
Положение о применимости
Фиксируется, какие из 93 мер Приложения A будут применяться и почему.
- ISO/IEC 27001:2022 Annex A · 93 controls
- applied: 87 · excluded: 6 (justified)
Политики и записи
Готовятся политики, процедуры и записи, подтверждающие работу мер.
- policies: 14 · procedures: 22
- ✓ records: access reviews, changes, incidents
Внутренний аудит
До сертификационного аудита система проходит внутренний аудит, независимый от команды, которая её внедряла; руководство анализирует результаты.
- 0 major · 3 minor nonconformities
- ✓ corrective actions closed
Сертификационный аудит
Аккредитованный орган по сертификации проводит двухэтапный аудит и выдаёт сертификат.
- ✓ Stage 1: documentation audit
- ✓ Stage 2: implementation audit
- ISO/IEC 27001:2022
- Оценка рисков
- Положение о применимости
Тестирование на проникновение
Тестирование проводится в письменно согласованных границах и по согласованным правилам. Находки автоматического сканирования проверяются вручную; отчёт завершается повторным тестом после исправлений.
Границы и правила
Тестируемые системы, временное окно, методы и контактные лица утверждаются письменно.
- scope: 3 web applications · 1 external IP block
- test window: weekdays 09:00–18:00
Разведка
Выявляются открытые сервисы и поверхность атаки приложения.
- $ nmap -sV -p- 203.0.113.0/28
- 443/tcp open https nginx 1.24.0
- 22/tcp open ssh OpenSSH 9.3
Проверка
Находки проверяются вручную; ложные срабатывания отсеиваются.
- ! IDOR: /api/invoices/{id} returns another customer's record
- verified · severity: high
Последствия и критичность
Последствия находки демонстрируются в рамках согласованных правил и без вреда для данных; критичность рассчитывается по стандартной методике.
- CVSS 3.1: 7.1
- AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
Отчёт
Отчёт передаётся с резюме для руководства, техническими подробностями, доказательствами и рекомендациями по исправлению.
- high: 1 · medium: 3 · low: 5 · info: 4
Повторный тест
После исправлений находки проверяются снова, а результаты добавляются в отчёт.
- ✓ IDOR: closed
- ✓ medium findings: 3/3 closed
- Nmap
- Burp Suite
- CVSS 3.1
Технические и организационные меры по KVKK
Работа начинается с того, чтобы показать, где и как хранятся персональные данные. Юридические документы готовятся вместе с юристом организации на основе того же реестра.
Реестр данных
Определяется, какие персональные данные, в какой системе, с какой целью и как долго хранятся.
- processes: 21 · systems: 9 · data categories: 14
Права доступа
Пересматриваются роли и права с доступом к персональным данным; лишние права отзываются.
- accounts reviewed: 140
- ✓ unnecessary permissions removed: 23
Шифрование и логи
Проверяются шифрование при хранении и передаче, а также журналы доступа.
- ✓ disk encryption · TLS 1.2+
- ✓ access logs in the central logging system
Организационные меры
Готовятся политики, обязательства о конфиденциальности, обучение и процедура реагирования на утечки данных.
- ✓ data breach response procedure
- ✓ awareness training · attendance records
Правовая координация
Такие документы, как уведомление об обработке данных и согласие, согласуются с юристом организации на основе того же реестра.
- inventory and list of measures shared with legal counsel
- Реестр данных
- Матрица доступа
- Централизованные логи