Услуга «Разработка плана защиты критичной инфраструктуры» — это системная работа по выявлению объектов и систем, отказ которых останавливает бизнес, оценке их текущей защищённости и проектированию мер повышенной физической и информационной защиты. На выходе заказчик получает согласованный план защиты критичной инфраструктуры с распределённой ответственностью и механизмом регулярной проверки эффективности.
Кому нужна услуга
Компании, у которых есть объекты и системы, отказ которых останавливает выручку или производство, но нет формализованного перечня критичной инфраструктуры.
Руководители службы безопасности, ИТ и эксплуатации, у которых защита организована фрагментарно и без единого плана.
Бизнес после инцидента с простоем критичного объекта или системы, которому нужна системная, а не точечная реакция.
Компании, проходящие внешний аудит, страхование или требования регулятора по защите значимых объектов.
Собственники и топ-менеджмент, которым нужна прозрачная картина: что критично, как защищено, кто отвечает.
Быстрорастущие компании, где инфраструктура выросла стихийно и никто не видит полной картины зависимостей.
Что нужно от вас на входе
Перечень объектов, систем и ключевых бизнес-процессов. Чтобы определить, что вообще подлежит оценке на критичность
Данные о текущих мерах защиты: физической, информационной, организационной. Чтобы оценить реальный уровень защищённости, а не декларируемый
Схема ИТ- и производственной инфраструктуры, зависимости между системами. Чтобы выявить цепочки отказов и скрытые зависимости
Доступ к владельцам процессов и систем для интервью. Чтобы корректно определить критичность и допустимое время простоя
Действующие регламенты, политики и требования регулятора. Чтобы план защиты соответствовал обязательным нормам и внутренним правилам
Назначенный ответственный со стороны заказчика. Чтобы согласовывать решения и обеспечивать доступ к людям и данным
Комплект документов, который вы получаете
Описание услуги — наш стандарт качества: заранее видно, какие документы вы получите и зачем нужен каждый.
Документ | Формат | Для чего нужен |
|---|---|---|
Реестр критичной инфраструктуры | таблица | Фиксирует объекты и системы, отказ которых останавливает бизнес, с оценкой критичности |
Карта зависимостей и сценариев отказа | схема / ментальная карта | Показывает, как отказ одного элемента запускает каскад потерь |
Отчёт об оценке текущего уровня защищённости | документ с выводами и разрывами | Даёт объективную картину «как есть» и приоритеты закрытия разрывов |
План мер повышенной защиты | документ с перечнем мер, приоритетами и ответственными | Основной результат: что, кем и в каком порядке делается |
Матрица ответственности по защите критичной инфраструктуры | таблица RACI | Устраняет размытость зон ответственности между службами |
Регламент регулярной проверки эффективности мер | регламент / чек-лист проверок | Обеспечивает, что защита не деградирует со временем |
Презентация для руководства | слайды | Для защиты плана перед топ-менеджментом и выделения ресурсов |
План выполнения услуги
Этап | Что делаем | Результат этапа |
|---|---|---|
1. Бриф и согласование границ | Уточняем цели, границы услуги, заинтересованных лиц и критерии успеха | Согласованный бриф, перечень интервью и доступов |
2. Идентификация критичной инфраструктуры | Собираем перечень объектов и систем, определяем критичность и допустимое время простоя | Реестр критичной инфраструктуры |
3. Анализ зависимостей | Строим карту зависимостей и сценариев отказа, выявляем каскадные риски | Карта зависимостей и сценариев отказа |
4. Оценка текущего уровня защищённости | Проверяем фактическое состояние физической, информационной и организационной защиты | Отчёт об оценке с перечнем разрывов |
5. Разработка мер повышенной защиты | Проектируем меры под каждый критичный элемент с приоритетами | План мер повышенной защиты |
6. Распределение ответственности | Закрепляем владельцев и исполнителей по каждой мере | Матрица ответственности |
7. Проектирование механизма проверки | Определяем периодичность, критерии и порядок проверки эффективности мер | Регламент регулярной проверки |
8. Согласование и защита плана | Презентуем план руководству, снимаем замечания, фиксируем решения | Утверждённый план защиты критичной инфраструктуры |
9. Передача в сопровождение | Переносим артефакты в рабочую среду заказчика, проводим инструктаж | Команда понимает, как исполнять и обновлять план |
Чек-лист качества
Перед сдачей исполнитель проверяет результат по этому списку:
Все объекты и системы, отказ которых останавливает бизнес, попали в реестр
Для каждого критичного элемента определено допустимое время простоя
Карта зависимостей отражает каскадные сценарии отказа
Оценка защищённости опирается на факты, а не на декларации
Каждая мера привязана к конкретному критичному элементу и владельцу
Матрица ответственности не содержит «белых пятен» между службами
План согласован со службой безопасности, ИТ и эксплуатацией
Регламент проверок содержит периодичность, критерии и порядок действий
Артефакты оформлены единообразно и читаемы для неспециалиста
Презентация для руководства содержит выводы и запрос на ресурсы
Критерии приёмки работ
Работа считается выполненной, когда выполнены все пункты. Критерии фиксируем вместе с расчётом — до начала работ.
Полнота реестра. Заказчик сверяет реестр с перечнем своих бизнес-процессов и подтверждает, что критичные элементы не пропущены
Обоснованность критичности. По каждому элементу есть логика присвоения критичности и допустимого простоя, понятная владельцу процесса
Применимость плана мер. Владельцы систем подтверждают, что меры реализуемы и приоритеты соответствуют их рискам
Ясность ответственности. Каждая мера в матрице имеет одного владельца и исполнителя, подтверждённых руководителями
Работоспособность регламента проверок. Заказчик проводит пробную проверку по регламенту и подтверждает, что он исполним
Утверждение плана. План защиты критичной инфраструктуры утверждён уполномоченным руководителем заказчика
На проверку результата — 3 рабочих дня. Замечания в рамках согласованного объёма устраняются без доплаты.
После сдачи: результат остаётся рабочим инструментом
Все материалы остаются в вашем пространстве OrgDevTools — их можно дорабатывать без исполнителя:
Процессы (BPMN). Сценарии отказа и меры защиты описываются как процессы, что делает их исполнимыми и проверяемыми
База знаний и регламенты. План защиты, матрица ответственности и регламент проверок хранятся в единой базе и доступны команде
Проекты и задачи. Меры повышенной защиты превращаются в задачи с ответственными и сроками, прогресс виден в реальном времени
Сервис деск. Инциденты и отклонения по критичной инфраструктуре фиксируются и обрабатываются по единому регламенту
AI-советник OrgDevTools. AI-советник OrgDevTools помогает команде после сдачи: подсказывает действия по регламентам защиты, отвечает на вопросы по базе знаний и напоминает о плановых проверках. Это снижает зависимость от носителей знаний и ускоряет реакцию на инциденты.
Чем эта услуга не является
Услуга не является монтажом и настройкой конкретных средств защиты — это проектирование плана и мер
Не включает юридическую экспертизу соответствия регуляторным требованиям
Не заменяет аудит информационной безопасности в объёме, требуемом для сертификации
Не включает круглосуточный мониторинг и реагирование на инциденты после сдачи
Стоимость и сроки
Стоимость рассчитывается после брифа: зависит от масштаба компании, числа подразделений и глубины проработки. Расчёт и состав работ фиксируем до начала — без сюрпризов в конце.
Частые вопросы об услуге «Разработка плана защиты критичной инфраструктуры»
Чем эта услуга отличается от аудита информационной безопасности?
Аудит отвечает на вопрос «как защищено сейчас». Наша услуга идёт дальше: определяет, что критично для бизнеса, и проектирует план повышенной защиты с ответственными и механизмом проверки.
Сколько это стоит?
Стоимость рассчитывается после брифа: она зависит от числа объектов и систем, их разнородности и требуемой глубины оценки.
Сколько времени занимает разработка плана?
Ориентировочно — от нескольких недель до пары месяцев в зависимости от масштаба инфраструктуры и скорости предоставления данных. Точная длительность фиксируется после брифа.
Нужно ли раскрывать нам коммерческую тайну и схемы инфраструктуры?
Да, для корректной оценки нужны схемы, зависимости и данные о защите. Объём доступа и режим конфиденциальности согласуем на этапе брифа.
Что делать команде после сдачи плана?
Исполнять меры по приоритетам, вести задачи в OrgDevTools и проходить проверки по регламенту. AI-советник помогает ориентироваться в регламентах и базе знаний.
Вы гарантируете, что после внедрения инцидентов не будет?
Нет. Мы обеспечиваем системный, обоснованный план защиты и механизм его проверки. Гарантий отсутствия инцидентов не даём — риски всегда остаются.
Заказать услугу
Опишите задачу в заявке ниже — уточним детали, пришлём расчёт и план работ.