Аудит ИБ перед тендером: чек-лист документов и контролей, которые проверяют заказчики РК

Коротко: аудит ИБ перед тендером — это проверка документов, процессов и технических контролей компании до подачи заявки, чтобы соответствовать квалификационным требованиям закупки и требованиям по информационной безопасности из технической спецификации заказчика. Genius Systems проводит такую подготовку для организаций Казахстана — Усть-Каменогорск, Астана, Алматы, Караганда, Павлодар: разбираем документацию закупки, собираем недостающие документы, закрываем технические разрывы и готовим пакет, который выдержит проверку. Ниже — чек-лист и реальные сроки.

Три слоя требований, которые путают между собой

Поставщики часто считают «требования по ИБ» одним списком. На деле это три независимых источника, и готовиться к ним нужно по-разному.

Слой	Источник	Что проверяют
Квалификация участника	Закон РК «О государственных закупках» от 1 июля 2024 года № 106-VIII (действует с 1 января 2025 года)	Правоспособность, наличие лицензий и разрешений по профилю работ, отсутствие в реестре недобросовестных участников. Сведения о лицензиях подтягиваются из государственных информационных систем
Отраслевое регулирование	Единые требования в области ИКТ и обеспечения ИБ (постановление Правительства РК от 20 декабря 2016 года № 832)	Организационные документы, состав средств защиты, журналирование. Изменениями от 25 февраля 2026 года (в силе с 10 марта 2026 года) круг обязанных субъектов расширен: государственные юрлица, квазигоссектор, владельцы негосударственных ИС, интегрируемых с государственными, владельцы КВОИКИ
Техническая спецификация заказчика	Документация конкретной закупки	Аттестат соответствия ИС, подключение к ОЦИБ, сертифицированные средства защиты, отчёт о тестировании на проникновение, квалификация специалистов

Вывод простой: читать нужно не «общие требования рынка», а техническую спецификацию нужного лота. Найти её заранее — отдельная задача, для этого мы используем собственную систему мониторинга закупок RaDAR: она вытаскивает техспецификации из объявлений и годовых планов до срока подачи.

Чек-лист документов

Документ	Кому нужен	Срок подготовки с нуля
Политика ИБ и перечень защищаемых сведений	Всем	2–3 недели
Приказ о назначении ответственного за ИБ	Всем	1 день
Модель угроз и нарушителя	Работа с ПДн, интеграция с государственными ИС	2–4 недели
Документы по персональным данным: согласия, регламент реагирования на утечки	Все, кто обрабатывает ПДн — по Закону РК «О персональных данных и их защите»	2–4 недели
Регламент управления доступом и матрица прав	Практически всем	1–2 недели
Аттестат соответствия ИС требованиям ИБ	Государственные ИС и негосударственные, интегрируемые с ними	От нескольких месяцев
Договор и акт подключения к ОЦИБ	Обязанные субъекты — см. подключение к ОЦИБ	1–2 месяца
Сертификат СТ РК ISO/IEC 27001-2023	Добровольно, но часто даёт баллы в оценке	3–6 месяцев
Отчёт о сканировании уязвимостей или пентесте	Если прямо указано в техспецификации	2–4 недели
Резюме и сертификаты специалистов	Когда оценивается квалификация персонала	1 неделя

Даты в документах — отдельный момент. Пакет, где все приказы, политики и журналы датированы одним числом за неделю до подачи, вызывает ровно те вопросы, которые вы не хотите обсуждать с комиссией.

Технические контроли: что попросят показать

Документы должны подтверждаться настройками, а не намерениями. Минимум, который проверяется быстрее всего:

• Защита рабочих станций и серверов. Kaspersky Endpoint Security for Business или Kaspersky Next: действующая лицензия, консоль управления, отчёт о покрытии узлов. Число лицензий должно совпадать с фактическим числом устройств.
• Периметр и сегментация. NGFW с потоковым антивирусом и контролем приложений — Check Point или Palo Alto Networks. Нужны выгрузка политик и подтверждение актуальных подписок; подробнее — в решениях NGFW.
• Контроль утечек. DLP по каналам почты, мессенджеров, USB и печати: Falcongaze SecureTower, GTB Technologies, Kaspersky. Для госорганов и квазигоссектора важно, чтобы решение входило в реестр доверенного ПО и имело сертификат КНБ РК. См. DLP.
• Резервное копирование. Veeam по схеме 3-2-1, расписание, отчёты об успешных заданиях и — главное — акт тестового восстановления с датой. Что входит в услугу, описано в разделе резервное копирование.
• Управление уязвимостями. Регулярное сканирование внешнего периметра и веб-приложений: Invicti (ex-Acunetix), Rapid7. Заказчику важен не сам отчёт, а связка «нашли — устранили — перепроверили»: управление уязвимостями.
• Журналирование. SIEM со сбором событий с межсетевых экранов, контроллеров домена, антивируса и DLP плюс заявленный срок хранения. Без централизованного сбора требование о глубине журналов не выполняется технически.

Что чаще всего валит подготовку

По нашим проектам аудита повторяется один и тот же набор:

• бэкапы идут годами, но восстановление ни разу не проверяли — акта нет, и на вопрос «за сколько поднимете 1С» ответа тоже нет;
• лицензий антивируса куплено на 40 узлов, в сети их 120, разница закрыта «пока так»;
• срок хранения журналов — 7 дней, потому что место на диске закончилось два года назад;
• аттестат или сертификат просрочен на несколько месяцев;
• ответственный за ИБ назначен приказом, но уволился в прошлом году.

Каждый пункт устраняется за недели, а не за сутки. Поэтому подготовку начинают не после объявления закупки, а по годовому плану заказчика.

План на 8 недель

1. Недели 1–2. Разбор требований конкретных лотов, инвентаризация активов и лицензий, интервью с ИТ.
2. Недели 3–4. Инструментальная проверка: сканирование периметра, аудит настроек AD, проверка политик NGFW и DLP.
3. Недели 5–6. Документы: политика ИБ, приказы, модель угроз, регламенты, журналы.
4. Недели 7–8. Устранение критичных замечаний, тестовое восстановление из резервной копии, повторное сканирование, сборка пакета для тендера.

Такой цикл мы выполняем в рамках аудита информационной безопасности и по итогам отдаём два документа: отчёт с приоритетами и готовый комплект для подачи заявки.

Что дальше

Возьмите ближайшую интересную закупку, откройте техническую спецификацию и отметьте в чек-листе выше, что у вас уже есть, а чего нет. Если непокрытых пунктов больше трёх — начинать нужно сейчас. Напишите нам — посмотрим документацию лота и скажем, что реально успеть к сроку подачи.