Задание

Вопрос: Прошу дать следующую информацию для проведения теста на проникновение для внутреннего аудита:

- кол-во серверов

- кол-во виртуальных серверов

- кол-во рабочих станций

Ответ: Данная информация является результатом 1 этапа работ по договору, являющимся неотъемлемой частью конкурсной документации, т. е. обследования. Количество оборудования зависит от типа объекта и может различаться в объектах одного типа. Сервера имеются только в почтамтах и УФПС. Количество рабочих станций варьируется от 2 до 400 в каждом объекте.

Вопрос: Прошу дать следующую информацию для проведения теста на проникновение для внешнего аудита:

- кол-во веб-приложений

- кол-во внешних IP для объектов обследования

- является ли сеть централизованной

- достаточно ли будет проверки wi-fi в одном из территориальных подразделений.

Ответ: Данная информация является результатом 1 этапа работ по договору, являющимся неотъемлемой частью конкурсной документации, т. е. обследования. Как правило, на каждом объекте имеется хотя бы один внешний IP адрес. В настоящее время сеть централизована частично. Обследование необходимо произвести на каждом объекте, указанном в перечне объектов.

Вопрос:

Прошу дать следующую информацию по объектам:

- общее количество ИС на объектах защиты.

- достаточно ли обследовать только типовые объекты.

- ориентировочное количество ИС на каждом объекте, указать что за системы:

- кол-во задействованных серверов на каждом объекте

- кол-во задействованных виртуальных серверов

- кол-во рабочих станций на каждом объекте

- кол-во подразделений, работающих с ИС в каждом территориальном объекте и их численность.

Ответ:

Данная информация является результатом 1 этапа работ по договору, являющимся неотъемлемой частью конкурсной документации, т. е. обследования.

Необходимо обследовать все объекты, указанные в приложении к договору, являющимся неотъемлемой частью конкурсной документации.

Вопрос:

Цитата из RFP: «Сбор данных для оценки должен проводиться путем обследования объектов почтовой связи. Для каждого из обследуемых объектов должно быть проведено согласование границ проведения обследования, включая определение перечня обследуемых информационных ресурсов, функциональных подсистем, их программных и технических средств обеспечения, а также площадок, попадающих в границы проведения обследования. Данное согласование производится с Заместителем директора по технологиям (Начальником службы технологий, Главным инженером) УФПС, к которому относится данный объект почтовой связи.»

По какому принципу и на основании чего будут выбираться и согласовываться границы работ?

Ответ:

Границы работ определяются полным перечнем ИС, существующих на объекте почтовой связи. Окончательный перечень ресурсов и ИС, подлежащих обследованию на объекте утверждается Заместителем директора по технологиям (Начальником службы технологий, Главным инженером) соответствующего филиала при подготовке к обследованию.

Вопрос:

Возможно ли заранее определить перечень или хотя бы количество ИСПДн, включаемых в границы работ?

Ответ:

Количество и состав ИС зависит от класса объекта и может различаться значительно. По нашим оценкам от 1 до 10 ИСПДн на каждом объекте.

Вопрос:

Цитата из RFP: «Услуги оказываются только для ФГУП «Почта России» в рамках базовой архитектуры комплекса информационных систем, выполняющих основную функциональность информационной поддержки бизнес процессов ФГУП «Почта России». Что является базовой архитектурой указанного комплекса информационных систем? В каком виде можно получить данную информацию?

Ответ:

Имеется в виду, что обследование для внешних организаций и их оборудования, размещенного на территориях объектов почты не проводится.

Базовая архитектура – это набор оборудования и ПО, позволяющий обеспечить оказание почтовых услуг и других услуг, определяемых деятельностью предприятия.

Вопрос:

ИТ-Инфраструктура выбранных площадок типовая?

Ответ:

Не является типовой, однако принципы работы являются однотипными для одинаковых типов объектов: ОПС, УФПС, ГЦМПП, EMS и т. д.

Вопрос:

В каком формате необходимы описания бизнес-процессов, в рамках которых происходит обработка персональных данных и конфиденциальной информации?

Ответ:

Один из общепринятых форматов на усмотрение участника.

Вопрос:

Есть ли в Организации утвержденный перечень конфиденциальной информации?

Ответ:

Да.

Вопрос:

Один из подэтапов разработки концепции предполагает "выработку предложения по разработке моделей угроз и нарушителя безопасности информации в информационных системах предприятий ФГУП "Почта России". Но на первом этапе работ (обследование) разрабатываются как модели угроз (для ПДн и для конфиденциальной информации), так и модели нарушителя. Т. е. не совсем понятно, что тогда имеется в виду в работах на этапе разработки концепции?

Ответ:

В концепции должны быть общие описания моделей угроз и моделей нарушителя для Почты России и правила их составления, в т. ч. для новых ИС. На первом этапе работ необходима разработка конкретных моделей для каждой ИС Предприятия.

Вопрос:

Можно ли отнести локальные вычислительные сети и системы ФГУП "Почта России" к государственным информационным системам (в терминах Федерального закона № 000 "Об  информации, информационных технологиях и о защите информации"

Ответ:

Нет

Вопрос:

Можно ли отнести часть  конфиденциальной  информации, обрабатываемой в системах ФГУП "Почта России" к государственным информационным ресурсам?

Ответ:

Нет.

Вопрос:

В Технических требованиях к работам не определен состав комплекта ОРД. Можно ли уточнить?

Ответ:

Надо руководствоваться п.1.5 Раздела 6 КД, Технические требования, дополнительная информация и условия.

Вопрос:

Что вкладывается  в термин "Концепция информационной безопасности". Это "Концепция построения системы информационной безопасности" по Приложению 1 к РД50-34.698-90? Или что-то иное?

Ответ:

При написании концепции, безусловно можно ориентироваться на положения этого документа. Однако нет необходимости буквально придерживаться каждого пункта этого РД. Концепция ИБ должна содержать основные принципы и способы достижения требуемого уровня информационной безопасности.

Концепция должна служить методологической основой для:

- формирования и реализации единой политики в области обеспечения информационной безопасности;

- принятия обоснованных управленческих решений по разработке мер защиты информации;

- выработки комплекса согласованных мер нормативно-правового, технологического и организационно-технического характера, направленных на выявление и ликвидацию последствий реализации различных видов угроз информационной безопасности;

- координации деятельности подразделений при проведении работ по созданию, развитию и эксплуатации информационной системы с соблюдением требований обеспечения безопасности информации.