Аудит информационной безопасности — удалённая работа в Москве

Ищу специалиста по информационной безопасности и защите персональных данных для разовой экспертной консультации по российскому SaaS-проекту ProZакон CRM. ProZакон CRM — разрабатываемая multi-tenant CRM-система для юридических практик. Продукт находится на этапе подготовки первой коммерческой версии 1.0. До подключения внешних платных пользователей и размещения реальных клиентских данных необходимо правильно определить требования к информационной безопасности и обработке персональных данных. Что планируется в системе В CRM будут работать независимые юридические практики. В системе предполагается обработка: — персональных данных владельцев и сотрудников юридических организаций; — персональных данных клиентов юридических практик; — данных участников судебных и досудебных дел; — судебных документов, договоров, PDF, сканов, фотографий; — финансовой и иной информации по юридическим делам. В отдельных документах потенциально могут содержаться специальные категории персональных данных. Предварительно планируется российская облачная инфраструктура: — сервер приложения; — Managed PostgreSQL; — объектное S3-хранилище; — приватные сети; — резервное копирование; — разграничение доступа разных организаций; — журналирование; — MFA административных аккаунтов. Сейчас сравниваем Selectel, Yandex Cloud и Cloud.ru. Что требуется от специалиста Нужна не разработка стандартной политики конфиденциальности и не пакет документов «152-ФЗ под ключ». На первом этапе требуется именно экспертная консультация/аудит проектируемой архитектуры. Необходимо помочь определить: Какие ИСПДн возникают в данной архитектуре. Какова роль владельца SaaS ProZакон CRM: — в отношении собственных пользователей сервиса; — в отношении данных, которые юридические практики загружают в CRM по своим делам. Какой уровень защищённости ИСПДн применим. Применимые требования: — Федерального закона № 152-ФЗ; — Постановления Правительства РФ № 1119; — приказа ФСТЭК России № 21; — при необходимости иных нормативных требований. Нужна ли модель угроз и в каком объёме. Требуются ли сертифицированные средства защиты информации в нашей ситуации. Какие технические меры необходимо реализовать до первой коммерческой версии: — разграничение доступа; — tenant isolation; — PostgreSQL; — S3; — резервное копирование; — журналирование; — управление секретами; — шифрование; — MFA; — восстановление данных и т. п. Какие требования предъявить российскому облачному провайдеру. Как проверить отсутствие/наличие трансграничной передачи персональных данных. Какие меры действительно обязательны до первых платных клиентов, а какие можно внедрять позднее при масштабировании. Желаемый результат После консультации нужен краткий письменный результат/чек-лист примерно в логике: «требование ? применимо ли к ProZакон CRM ? что необходимо сделать ? чем подтвердить выполнение». И отдельный перечень критических действий до коммерческого запуска. Кого ищу: Желателен специалист с практическим опытом: — ИСПДн; — 152-ФЗ; — ПП РФ № 1119; — приказа ФСТЭК № 21; — моделей угроз; — облачной инфраструктуры; — веб-приложений/SaaS; — баз данных и серверной части. Большим плюсом будет практический опыт аудитов ИСПДн, работы в службе информационной безопасности, интеграторе либо профильной организации по защите информации. Важно: сейчас не требуется внедрение дорогостоящей системы защиты, закупка СЗИ или разработка полного комплекта документов. Необходим именно первый экспертный этап, чтобы правильно спроектировать систему до запуска. Формат — дистанционно. В отклике прошу коротко указать: — ваш опыт именно с ИСПДн; — работали ли с SaaS/облачными веб-системами; — работали ли с ПП № 1119 и приказом ФСТЭК № 21; — составляли ли модели угроз; — какой результат сможете передать по итогам консультации; — стоимость.