Тендер алдындағы ақпараттық қауіпсіздік аудиті: ҚР тапсырыс берушілері тексеретін құжаттар мен бақылау шараларының чек-листі

Қысқаша: тендер алдындағы ақпараттық қауіпсіздік аудиті — сатып алудың біліктілік талаптарына және тапсырыс берушінің техникалық ерекшелігіндегі ақпараттық қауіпсіздік талаптарына сай болу үшін компанияның құжаттарын, процестерін және техникалық бақылау шараларын өтінім бергенге дейін тексеру. Genius Systems мұндай дайындықты Қазақстан ұйымдары үшін жүргізеді — Өскемен, Астана, Алматы, Қарағанды, Павлодар: сатып алу құжаттамасын талдаймыз, жетіспейтін құжаттарды жинаймыз, техникалық олқылықтарды жабамыз және тексеруден өтетін топтаманы дайындаймыз. Төменде — чек-лист және нақты мерзімдер.

Бір-бірімен шатастырылатын талаптардың үш қабаты

Өнім берушілер «АҚ талаптарын» көбіне бір тізім деп есептейді. Шын мәнінде бұл — үш тәуелсіз дереккөз, және оларға әртүрлі тәсілмен дайындалу керек.

Қабат	Дереккөз	Нені тексереді
Қатысушының біліктілігі	«Мемлекеттік сатып алу туралы» 2024 жылғы 1 шілдедегі № 106-VIII ҚР Заңы (2025 жылғы 1 қаңтардан бастап қолданыста)	Құқық қабілеттілігі, жұмыс бейіні бойынша лицензиялар мен рұқсаттардың болуы, жосықсыз қатысушылар тізілімінде болмауы. Лицензиялар туралы мәліметтер мемлекеттік ақпараттық жүйелерден автоматты түрде алынады
Салалық реттеу	АКТ және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (ҚР Үкіметінің 2016 жылғы 20 желтоқсандағы № 832 қаулысы)	Ұйымдастырушылық құжаттар, қорғау құралдарының құрамы, журналдау. 2026 жылғы 25 ақпандағы өзгерістермен (2026 жылғы 10 наурыздан бастап күшінде) міндетті субъектілер шеңбері кеңейтілді: мемлекеттік заңды тұлғалар, квазимемлекеттік сектор, мемлекеттік жүйелермен интеграцияланатын мемлекеттік емес ақпараттық жүйелердің (АЖ) иелері, ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің (АКИАМО, КВОИКИ) иелері
Тапсырыс берушінің техникалық ерекшелігі	Нақты сатып алудың құжаттамасы	АЖ-ның сәйкестік аттестаты, АҚЖО-ға (ОЦИБ) қосылу, сертификатталған қорғау құралдары, енуге тестілеу туралы есеп, мамандардың біліктілігі

Қорытынды қарапайым: «нарықтың жалпы талаптарын» емес, қажетті лоттың техникалық ерекшелігін оқу керек. Оны алдын ала табу — жеке міндет. Бұл үшін біз сатып алуды мониторингтеудің өз жүйесін — RaDAR — пайдаланамыз: ол техникалық ерекшеліктерді хабарландырулар мен жылдық жоспарлардан өтінім беру мерзіміне дейін шығарып алады.

Құжаттар чек-листі

Құжат	Кімге қажет	Нөлден дайындау мерзімі
АҚ саясаты және қорғалатын мәліметтер тізбесі	Барлығына	2–3 апта
АҚ үшін жауапты адамды тағайындау туралы бұйрық	Барлығына	1 күн
Қатерлер мен бұзушы моделі	Дербес деректермен жұмыс, мемлекеттік АЖ-мен интеграция	2–4 апта
Дербес деректер бойынша құжаттар: келісімдер, жылыстауға ден қою регламенті	Дербес деректерді өңдейтіндердің барлығы — «Дербес деректер және оларды қорғау туралы» ҚР Заңы бойынша	2–4 апта
Қолжеткізуді басқару регламенті және құқықтар матрицасы	Іс жүзінде барлығына	1–2 апта
АЖ-ның АҚ талаптарына сәйкестік аттестаты	Мемлекеттік АЖ және олармен интеграцияланатын мемлекеттік емес АЖ	Бірнеше айдан бастап
АҚЖО-ға қосылу шарты мен актісі	Міндетті субъектілер — АҚЖО-ға қосылу бөлімін қараңыз	1–2 ай
СТ РК ISO/IEC 27001-2023 сертификаты	Ерікті, бірақ бағалауда көбіне балл береді	3–6 ай
Осалдықтарды сканерлеу немесе пентест туралы есеп	Техникалық ерекшелікте тікелей көрсетілсе	2–4 апта
Мамандардың түйіндемелері мен сертификаттары	Персоналдың біліктілігі бағаланғанда	1 апта

Құжаттардағы күндер — бөлек мәселе. Барлық бұйрығы, саясаты мен журналы өтінім беруден бір апта бұрынғы бір күнмен белгіленген топтама дәл сіз комиссиямен талқылағыңыз келмейтін сұрақтарды тудырады.

Техникалық бақылау шаралары: нені көрсетуді сұрайды

Құжаттар ниетпен емес, баптаулармен расталуға тиіс. Ең жылдам тексерілетін минимум:

• Жұмыс станциялары мен серверлерді қорғау. Kaspersky Endpoint Security for Business немесе Kaspersky Next: қолданыстағы лицензия, басқару консолі, түйіндердің қамтылуы туралы есеп. Лицензиялар саны құрылғылардың нақты санымен сәйкес келуге тиіс.
• Периметр және сегменттеу. Ағындық антивирусы мен қосымшаларды бақылауы бар NGFW — Check Point немесе Palo Alto Networks. Саясаттардың жүктемесі және жазылымдардың өзекті екенінің растамасы қажет; толығырақ — NGFW шешімдерінде.
• Деректердің жылыстауын бақылау. Пошта, мессенджерлер, USB және басып шығару арналары бойынша DLP: Falcongaze SecureTower, GTB Technologies, Kaspersky. Мемлекеттік органдар мен квазимемлекеттік сектор үшін шешімнің сенім білдірілген бағдарламалық қамтылым тізіліміне енгені және ҚР ҰҚК сертификаты болғаны маңызды. DLP бөлімін қараңыз.
• Резервтік көшіру. 3-2-1 схемасы бойынша Veeam, кесте, сәтті тапсырмалар туралы есептер және — ең бастысы — күні көрсетілген тестілік қалпына келтіру актісі. Қызметке не кіретіні резервтік көшіру бөлімінде сипатталған.
• Осалдықтарды басқару. Сыртқы периметр мен веб-қосымшаларды тұрақты сканерлеу: Invicti (бұрынғы Acunetix), Rapid7. Тапсырыс берушіге есептің өзі емес, «таптық — жойдық — қайта тексердік» байламы маңызды: осалдықтарды басқару.
• Журналдау. Желіаралық экрандардан, домен контроллерлерінен, антивирустан және DLP-ден оқиғаларды жинайтын SIEM, оған қоса мәлімделген сақтау мерзімі. Орталықтандырылған жинаусыз журналдар тереңдігі туралы талап техникалық тұрғыдан орындалмайды.

Дайындықты көбіне не құлатады

Біздің аудит жобаларымызда бір жиынтық қайталанады:

• бэкаптар жылдар бойы жасалады, бірақ қалпына келтіру бірде-бір рет тексерілмеген — акт жоқ, «1С-ті қанша уақытта көтересіздер» деген сұраққа да жауап жоқ;
• антивирус лицензиялары 40 түйінге сатып алынған, желіде олар 120, айырмашылық «әзірге осылай» деп жабылған;
• журналдарды сақтау мерзімі — 7 күн, өйткені дискідегі орын екі жыл бұрын таусылған;
• аттестаттың немесе сертификаттың мерзімі бірнеше ай бұрын өтіп кеткен;
• АҚ үшін жауапты адам бұйрықпен тағайындалған, бірақ өткен жылы жұмыстан кетіп қалған.

Әр тармақ бір тәулікте емес, бірнеше аптада жойылады. Сондықтан дайындықты сатып алу жарияланғаннан кейін емес, тапсырыс берушінің жылдық жоспары бойынша бастайды.

8 аптаға арналған жоспар

1. 1–2-апталар. Нақты лоттардың талаптарын талдау, активтер мен лицензияларды түгендеу, АТ бөлімімен сұхбат.
2. 3–4-апталар. Аспаптық тексеру: периметрді сканерлеу, AD баптауларының аудиті, NGFW және DLP саясаттарын тексеру.
3. 5–6-апталар. Құжаттар: АҚ саясаты, бұйрықтар, қатерлер моделі, регламенттер, журналдар.
4. 7–8-апталар. Сыни ескертулерді жою, резервтік көшірмеден тестілік қалпына келтіру, қайта сканерлеу, тендерге арналған топтаманы жинау.

Мұндай циклді біз ақпараттық қауіпсіздік аудиті аясында орындаймыз және қорытындысы бойынша екі құжат береміз: басымдықтары көрсетілген есеп және өтінім беруге дайын жиынтық.

Әрі қарай не істеу керек

Жақын арадағы қызықты сатып алуды алып, оның техникалық ерекшелігін ашыңыз да, жоғарыдағы чек-листте сізде не бар, не жоқ екенін белгілеңіз. Егер жабылмаған тармақтар үшеуден көп болса — қазір бастау керек. Бізге жазыңыз — лот құжаттамасын қарап, өтінім беру мерзіміне дейін нақты неге үлгеруге болатынын айтамыз.