Аудит информационной безопасности — удалённая работа в Москве

Ищу специалиста по информационной безопасности и защите персональных данных для разовой экспертной консультации по российскому SaaS-проекту ProZакон CRM. ProZакон CRM — разрабатываемая multi-tenant CRM-система для юридических практик. Продукт находится на этапе подготовки первой коммерческой версии 1.0. До подключения внешних платных пользователей и размещения реальных клиентских данных необходимо правильно определить требования к информационной безопасности и обработке персональных данных. Что планируется в системе В CRM будут работать независимые юридические практики. В системе предполагается обработка: — персональных данных владельцев и сотрудников юридических организаций; — персональных данных клиентов юридических практик; — данных участников судебных и досудебных дел; — судебных документов, договоров, PDF, сканов, фотографий; — финансовой и иной информации по юридическим делам. В отдельных документах потенциально могут содержаться специальные категории персональных данных. Предварительно планируется российская облачная инфраструктура: — сервер приложения; — Managed PostgreSQL; — объектное S3-хранилище; — приватные сети; — резервное копирование; — разграничение доступа разных организаций; — журналирование; — MFA административных аккаунтов. Сейчас сравниваем Selectel, Yandex Cloud и Cloud.ru. Что требуется от специалиста Нужна не разработка стандартной политики конфиденциальности и не пакет документов «152-ФЗ под ключ». На первом этапе требуется именно экспертная консультация/аудит проектируемой архитектуры. Необходимо помочь определить: Какие ИСПДн возникают в данной архитектуре. Какова роль владельца SaaS ProZакон CRM: — в отношении собственных пользователей сервиса; — в отношении данных, которые юридические практики загружают в CRM по своим делам. Какой уровень защищённости ИСПДн применим. Применимые требования: — Федерального закона № 152-ФЗ; — Постановления Правительства РФ № 1119; — приказа ФСТЭК России № 21; — при необходимости иных нормативных требований. Нужна ли модель угроз и в каком объёме. Требуются ли сертифицированные средства защиты информации в нашей ситуации. Какие технические меры необходимо реализовать до первой коммерческой версии: — разграничение доступа; — tenant isolation; — PostgreSQL; — S3; — резервное копирование; — журналирование; — управление секретами; — шифрование; — MFA; — восстановление данных и т. п. Какие требования предъявить российскому облачному провайдеру. Как проверить отсутствие/наличие трансграничной передачи персональных данных. Какие меры действительно обязательны до первых платных клиентов, а какие можно внедрять позднее при масштабировании. Желаемый результат После консультации нужен краткий письменный результат/чек-лист примерно в логике: «требование ? применимо ли к ProZакон CRM ? что необходимо сделать ? чем подтвердить выполнение». И отдельный перечень критических действий до коммерческого запуска. Кого ищу: Желателен специалист с практическим опытом: — ИСПДн; — 152-ФЗ; — ПП РФ № 1119; — приказа ФСТЭК № 21; — моделей угроз; — облачной инфраструктуры; — веб-приложений/SaaS; — баз данных и серверной части. Большим плюсом будет практический опыт аудитов ИСПДн, работы в службе информационной безопасности, интеграторе либо профильной организации по защите информации. Важно: сейчас не требуется внедрение дорогостоящей системы защиты, закупка СЗИ или разработка полного комплекта документов. Необходим именно первый экспертный этап, чтобы правильно спроектировать систему до запуска. Формат — дистанционно. В отклике прошу коротко указать: — ваш опыт именно с ИСПДн; — работали ли с SaaS/облачными веб-системами; — работали ли с ПП № 1119 и приказом ФСТЭК № 21; — составляли ли модели угроз; — какой результат сможете передать по итогам консультации; — стоимость.

Ищем специалиста с практическим опытом расследования инцидентов информационной безопасности, аудита сайтов, CRM и корпоративной инфраструктуры. У нас медицинский центр в Москве. Есть обоснованное подозрение, что происходит утечка контактных данных первичных обращений. Сценарий следующий: потенциальный пациент впервые находит нашу клинику, звонит по номеру телефона, размещенному на сайте, либо оставляет заявку через форму обратной связи. После этого, нередко в течение короткого времени, ему начинают поступать звонки от других клиник, предлагающих аналогичные услуги. Необходимо определить, действительно ли происходит утечка контактных данных, установить ее источник и предложить меры по устранению проблемы. Что необходимо проверить: - сайт и серверную часть; - формы обратной связи; - CRM-систему; - телефонию и коллтрекинг; - все интеграции между сервисами; - права доступа сотрудников; - доступы подрядчиков; - журналы событий и действий пользователей; - возможные каналы экспорта или передачи контактных данных; - иные потенциальные источники утечки. Ожидаемый результат - анализ существующей инфраструктуры; - определение возможного источника утечки либо аргументированное исключение проверенных версий; - письменное заключение по результатам проверки; - рекомендации по устранению выявленных рисков; - при необходимости — помощь во внедрении мер защиты. Просьба при отклике указать - опыт расследования аналогичных случаев; - примеры реализованных проектов (без раскрытия конфиденциальной информации); - какие системы и сервисы вы планируете проверить в первую очередь; - ориентировочные сроки выполнения работ; - стоимость диагностики и стоимость полного расследования. Рассматриваем специалистов с подтвержденным опытом именно в расследовании инцидентов информационной безопасности, поиске источников утечки данных, аудите CRM, сайтов и корпоративной инфраструктуры.

Ищем специалиста с практическим опытом расследования инцидентов информационной безопасности, аудита сайтов, CRM и корпоративной инфраструктуры. У нас медицинский центр в Москве. Есть обоснованное подозрение, что происходит утечка контактных данных первичных обращений. Сценарий следующий: потенциальный пациент впервые находит нашу клинику, звонит по номеру телефона, размещенному на сайте, либо оставляет заявку через форму обратной связи. После этого, нередко в течение короткого времени, ему начинают поступать звонки от других клиник, предлагающих аналогичные услуги. Необходимо определить, действительно ли происходит утечка контактных данных, установить ее источник и предложить меры по устранению проблемы. Что необходимо проверить: - сайт и серверную часть; - формы обратной связи; - CRM-систему; - телефонию и коллтрекинг; - все интеграции между сервисами; - права доступа сотрудников; - доступы подрядчиков; - журналы событий и действий пользователей; - возможные каналы экспорта или передачи контактных данных; - иные потенциальные источники утечки. Ожидаемый результат - анализ существующей инфраструктуры; - определение возможного источника утечки либо аргументированное исключение проверенных версий; - письменное заключение по результатам проверки; - рекомендации по устранению выявленных рисков; - при необходимости — помощь во внедрении мер защиты. Просьба при отклике указать - опыт расследования аналогичных случаев; - примеры реализованных проектов (без раскрытия конфиденциальной информации); - какие системы и сервисы вы планируете проверить в первую очередь; - ориентировочные сроки выполнения работ; - стоимость диагностики и стоимость полного расследования. Рассматриваем специалистов с подтвержденным опытом именно в расследовании инцидентов информационной безопасности, поиске источников утечки данных, аудите CRM, сайтов и корпоративной инфраструктуры.

Работаю в сфере внедрения средств защиты информации, но не хватает целостных знаний по проектированию архитектур с учетом ИБ требований - позиция Архитектор внедрения ИБ решений. Что нужно? Объяснить, показать, рассказать о самых важных доменах для архитектора ИБ и как это всё взаимосвязано и работает. Не нужен курс по ИБ, нужно именно рассказать, что реально сейчас применяется, работает и как проектируются современные инфраструктуры: локальные и облачные. Всё на основе своего опыта, реальных кейсов. Перечень тем и технологий, которые затрагиваем: - Основы проектирования ИБ, микросегментация сети по PCI DSS и ISO 27001 - Анализ архитектурных решений на требований ИБ, т. е. нужно взять реальный кейс архитектуры и пройтись, что спроектировано, какие косяки есть/были, как нужно - Составление threat modeling - Выявление и оценка рисков, меры защиты и стандарты - Диалоги с DovOps, что нужно знать, понимать в этой части со стороны ИБ - CI/CD и пайплайн, объясни по отельности - Kubernetes и в целом контейнеризация. Цель: создать уверенное, целостное понимание в части проектирования и внедрения ИБ практик в финансовых организациях и других компаниях с позиции ИБ архитектора. Мы погружаемся не в дебри технички, а общие основы, умение и что доносится бизнесу, руководству со стороны безопасности при проектировании, внедрении, отстаивании ИБ бюджетов. Просьба откликаться только для практиков, которые реально работают на позициях Архитекторов ИБ решений, аудита ИБ. Сроки и продолжительность обговаривается отдельно, но желательно уложиться за 2-3 недели, по 1-2 часа несколько раз в неделю.

Пожелания и особенности: Подключить: дополнительное интернет соединение. Услуга интернета предоставлена Ростелекомом. Настройка vip соединения: шустрая работа и возможность просмотра большего количества сайтов Что нужно ещё: настроить дополнительный Wi-Fi роутер. Марка и модель роутера: Оборудование ваше (оплата отдельно), с учетом вышесказанных пожеланий Подробности расскажу при созвоне. Желательно специалиста рядом с адресом услуги, но не обязательно.

Установка прокси сервера на ноутбук для работы в телеграмм.