登录格式
检查回答了任何监管项目开始时都会提出的三个问题：哪些要求适用于您的系统、防护对象的边界在哪里，以及首先应采取什么措施。我们通过现场和文档对系统范围进行深入分析，而不是简单核对形式化的检查清单。
在10–15个工作日内，您将获得当前状态的全景图及工作优先顺序。关键信息基础设施（КИИ）对象的分类、认证和保护措施设计是独立的阶段，诊断并不能替代这些步骤。
包含什么
画像和边界
哪些系统纳入范围，其中处理哪些数据，每个系统的负责人是谁，以及围绕它们的集成和流程是如何构建的。
适用要求
您具体适用152-FZ、PDn处理模式、关键信息基础设施（CII）对象要求以及国家系统相关要求中的哪些内容，哪些不适用，以及相应的证明文件是什么。
防护措施
威胁模型的状态、实际采取的措施、网络安全防护系统（SZI）和密码保护系统（SKZI）的组成、日志的完整性以及访问控制管理规程。
工作顺序
哪些问题可以快速自行解决，哪些需要项目和预算，需要发布哪些文件以及按什么顺序。
编辑和字数限制
编辑人选在合同签订前确定，并决定工作期限和形式。
| 参数 | 远程 — 10 个工作日 | 上门服务——15个工作日 |
|---|---|---|
| 格式 | 远程面试和处理文件 | 同样的内容，外加两名专家一天的现场出差 |
| 抽查措施 | 根据提供的设置和导出数据 | 最多十台经协调的基础设施设备：服务器、工作站、网络设备、安全设备 |
两个版本的共同点：一个法人实体，一个场地，最多三个预先协商好的信息系统；最多八次访谈；最多25份文件，总页数不超过500页；最多十项集成和网络连接（仅限架构层面分析）。针对一个优先系统准备威胁模型草案。
关键信息基础设施（КИИ）、个人数据信息系统（ИСПДн）和国家信息系统（ГИС）是不同的范畴，它们之间可能存在交叉：包含个人数据并不会自动使系统成为关键信息基础设施的客体，而关键信息基础设施相关要求的适用性也不能仅依据服务器配置来判断。对国家信息系统的全面检查超出了本服务包的范围，需另行评估。
客户需要提供什么
- 负责网络安全、IT、个人数据及相关业务流程的人员；
- 系统和处理数据的清单；
- 现有的关键信息基础设施、个人数据和系统保护相关文件（如有）；
- 网络拓扑图、网络安全防护系统（SЗИ）和密码保护系统（СКЗИ）的组成、对所选设置的访问权限。
若无相关文件，客户应确保能通过访谈还原实际情况——缺少文件本身并不妨碍诊断，但会作为当前状态的一部分予以记录。
什么不包括在内
- 关键信息基础设施对象分类的完整流程及委员会决议的 оформление；
- 已批准的最终威胁模型和认证；
- 防护措施的设计与实施；
- 全套组织管理文件；
- 对整个组织遵守第152-FZ号联邦法律的情况进行审查；
- 代表客户进行渗透测试和与监管机构互动。
工作完成后
- 针对每个系统均描述了其边界、所处理的数据以及适用性要求的初步评估依据；
- 发现的不符合项与具体要求和证据相关；
- 需要进一步核查的问题已与已确认的结论分开；
- 已提交某系统的威胁模型草案和后续工作的详细计划。
得出“当前工作量无需开展”或“先完成组织部分”的结论是一种完整的成果：它避免了过早采购防护设备。
输出文件
| 人工制品 | 为什么需要它？ |
|---|---|
| 系统与数据地图 | 包含处理数据组成、所有者及关联关系的系统清单是分类和选择措施的基础 |
| 不符合项清单 | 实际状况与适用要求不符之处，并注明依据 |
| 威胁模型草案 | 与威胁形势相关且已采取应对措施的攻击者和违规者——最终文件的草稿 |
| 消除路线图 | 工作顺序：哪些需要从组织上关闭，哪些需要实施网络安全防护措施（SЗИ），哪些要单独列为一个项目 |
在要求适用性矩阵中注明了法规基准的有效日期，而抽样检查措施的报告则记录了具体检查的内容及所依据的数据。路线图涵盖适用部分的文件、分类或分级、设计和技术措施。
如果根据诊断结果需要采取技术措施，则联系路线图 HLD/LLD, 信息和信息保护设备的供应 和 落实网络安全.
对于受控环路，会单独检查终端设备层：工作站、服务器、保护代理、本地权限、日志和就绪情况 Endpoint Security.
套餐预算
| 编辑部 | 套餐预算 |
|---|---|
| 远程，10个工作日 | 75万 – 150万卢布（不含增值税） |
| 需出差，15个工作日 | 75万 – 150万卢布（不含增值税） |
确切的固定价格将在启动会议和范围确认后确定；包含的工作内容、交付成果和排除事项将在项目启动前明确；任何范围扩展均需经双方协商一致。
出差编辑部的差旅费用以单独的固定金额列明。
团队构成
- 网络安全架构师 — 要求的适用性、保护对象的边界、威胁模型。
- 深圳工程师 — 防护措施、日志、访问权限的状态以及措施与基础设施的兼容性。
- 系统分析师 — 系统和数据的组成、所有者、流程、集成。
- 专案经理 — 收集资料、访谈、结论与路线图的协调。
诊断后何时需要进行渗透测试？
常见问题
诊断是否会取代成熟的项目？
不会。它有助于正确确定边界和下一阶段。
没有现成的文件可以开始吗？
是的。文档的存在或不存在被记录为当前状态的一部分。
需要旅行吗？
取决于环境。部分考试可以远程进行。
公共画像在 CII 和 152-FZ 诊断中的应用
对于 CII、ISPD 和包含个人数据的公共服务，单独检查互联网上可见的内容非常重要：个人帐户、API、VPN、域、证书、集成和测试环境。因此，KII/152-FZ诊断可以与外部周界的审核联系起来，并可以获得更准确的技术措施路线图。
诊断后：实验室验证措施
如何确定数量和期限
以下条款对所有套餐均相同，并原封不动地纳入合同。
- Perimeter — before the agreement. 我们进行一次不超过60分钟的启动会议，确定边界范围说明书：系统、流程、数据源、参与方和成果。
- 期限倒计时。 期限自交付经确认的原始材料整套文件、发放访问权限及确认访谈时间表后开始计算。如因客户方原因造成延误，则工期相应顺延。
- 数据。 我们在经双方确认的安全通道中工作。生产数据不会在未经客户书面许可的情况下传输至外部AI服务。
- 结果传输。 我们以PDF和可编辑格式（DOCX、XLSX、PPTX或双方商定的同类格式）提供材料，并进行一次不超过90分钟的成果汇报。
- 验收。 审核结果需五个工作日。包含一轮在约定范围内的统一澄清；此轮澄清不限于修正错误和合同不符之处。
- 音量更改。 新系统、资源和任务仅在经协商一致的范围和成本变更后纳入。
- 工作格式。 默认形式为远程，除非该套餐明确包含出差安排。
开展工作的依据状态和许可证已汇总在页面上 “许可证和状态”.
给我们发邮件
写信给我们： info@restart.re 或点击下面的按钮。对于第一封信，简要描述概要、组织的作用、当前系统、局限性和期望的结果就足够了。
给我们发邮件请求格式
我们就音量、时间和输出工件达成一致 - 并在短时间内启动它。
