Коллеги, хотели бы привлечь стороннюю организацию для экспертной оценки качества работ по защите объектов КИИ. В частности необходимо будет оценить два момента:
а) достаточности мер технической защиты ( оценка проекта технической защиты)
б) достаточности организационных мероприятий (оценка разработанных документов на выполнение требований законодательства).

Посоветуете к кому можно обратиться? Желателен опыт защиты объектов КИИ оператора связи.

Вам шашечки или ехать?

В рамках аудита оно является как обним из завершающих документов

Аудит включает в себя тестирование на проникновение? Если нет, то такое заключение - профанация.

Аудит включает в себя тестирование на проникновение? Если нет, то такое заключение - профанация.

Аудит включает в себя тестирование на проникновение? Если нет, то такое заключение - профанация.

у заказчика только "оценка проекта технической защиты", так что пока все только на бумаге))

Пентестом можно назвать и банальное сканирование сканером. Четких методик, требование и стандартов к данной услуге в России нет :)

главное сканер взять попроще, чтобы совсем ничего не нашел))

Пентестом можно назвать и банальное сканирование сканером. Четких методик, требование и стандартов к данной услуге в России нет :)

А по бумаге в принципе невозможно дать заключение о достаточности мер защиты.

Достаточность мер защиты оценивается при приемке в ходе анализа уязвимостей. Аудитор может добросовестно счесть, что прям все меры защиты реализованы и их достаточно, А анализ уязвимостей покажет, что это не так. Просто потому, что документация не отражает все нюансы. А чаще всего вообще не имеет ничего общего с реальностью

А по бумаге в принципе невозможно дать заключение о достаточности мер защиты.

Достаточность мер защиты оценивается при приемке в ходе анализа уязвимостей. Аудитор может добросовестно счесть, что прям все меры защиты реализованы и их достаточно, А анализ уязвимостей покажет, что это не так. Просто потому, что документация не отражает все нюансы. А чаще всего вообще не имеет ничего общего с реальностью

Вы серьезно?

Аудиторов по ИБ в России не делают. Требований к этике поведения нет. СРО тоже.

оценка проекта нужна для понимания что на стадии проектирования не совершены ошибки, которые дорого потом обойдутся. А пентесты - это совсем другая история.