Безопасность.
Успех.
Надежность.
В делах и деталях!

Ежедневно мы помогаем российским компаниям ответить на вопросы о развитии бизнеса и ключевых бизнес-процессов, создаем решения, которые приносят измеримый результат и конкурентные преимущества.

О КОМПАНИИ

МАДРИГАЛ — ИТ-компания, лицензированная ФСТЭК России и ФСБ России в области защиты информации. Стратегическими направлениями деятельности компании являются комплексное обеспечение информационной безопасности организаций и импортозамещение, поставка (внедрение) программного обеспечения, средств защиты информации и оборудования. Мы обеспечиваем всестороннюю информационную безопасность бизнеса, помогаем выбрать оптимальное ИБ и ИТ-решение согласно актуальных требований, бюджета и сроков.

ФСТЭК РОССИИ
Компания находится в Перечне организаций, имеющих право проведения работ по аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не содержащей сведений, составляющих государственную тайну.
Номер лицензии: Л024-00107-77/01021211
ФСБ РОССИИ
Компания зарегистрирована в Реестре лицензий на деятельность, связанную с шифровальными (криптографическими) средствами.
Номер лицензии: Л051-00105-61/00734982
ФСТЭК РОССИИ
Компания находится в Перечне организаций, имеющих право на разработку и производство средств защиты конфиденциальной информации
Номер лицензии: Л050-00107-77/01118703

КАК МЫ РАБОТАЕМ

1. ГЛУБОКАЯ ОТРАСЛЕВАЯ ЭКСПЕРТИЗА

Наша команда – это эксперты с многолетним отраслевым опытом, которые знают процессы, задачи и вызовы этих индустрий. Мы заряжаем бизнес клиентов эффективными решениями, которые обеспечивают конкурентноспособность.

2. РЕШЕНИЕ ВАЖНЕЕ, ЧЕМ ИНСТРУМЕНТ

Наша специализация – это решение бизнес-задач под ключ и достижение желаемых результатов. Наш опыт и смежные инфраструктурные возможности позволяют подобрать оптимальные инструменты для решения каждой конкретной задачи.

3. СТРАТЕГИЧЕСКОЕ ПАРТНЕРСТВО

Мы заинтересованы в долгосрочном успехе наших клиентов. Мы стремимся к стратегическому сотрудничеству для развития компаний и достижения лучших результатов.

4. ИЗМЕРИМЫЙ РЕЗУЛЬТАТ

Мы уверены, что любой проект должен изменять компанию не только качественно, он должен быть виден на показателях компании. Для нас приоритет сосредоточен на измеримом результате.

НАШИ ПРЕИМУЩЕСТВА

ПОТЕНЦИАЛЬНЫМ КЛИЕНТАМ

  • Консалтинг по взаимодействию с регуляторами в области КИИ (юридическое сопровождение)
  • Услуги по категорированию объектов
  • Аудит информационных систем (ИС), автоматизированных систем управления (АСУ), информационно-телекоммуникационных сетей (ИТКС), документации на соответствие требованиям регуляторов
  • Разработка организационно распорядительных документов (ОРД)
  • Оценка соответствия (аттестация)
  • Аудит и тестирование на проникновение инфраструктуры, ИС, АСУ, ИТКС
  • Проектирование систем защиты информации (в т.ч. внедрение, и сопровождение)
  • Поставка необходимого программного обеспечения, оборудования, средств защиты
  • 187-ФЗ, 127-ПП, Пр. ФСТЭК № 235, 236, 239, 17
  • Подробнее

  • Консалтинг по взаимодействию с регуляторами в финансовой отрасли (юридическое сопровождение)
  • Аудит по информационной безопасности на соответствие ГОСТам
  • Проектирование систем защиты информации в соответствии с требованиями регуляторов (в т.ч. внедрение и сопровождение)
  • Разработка организационно распорядительных документов (ОРД)
  • Оценка соответствия (аттестация)
  • Тестирование на проникновение
  • Поставка необходимого программного обеспечения, оборудования, средств защиты
  • Постановления ЦБ 683-П, 719-П, 802-П, 779-П, 787-П, ГОСТ Р 57580.1, ГОСТ Р 57580.2

УСЛУГИ

РАЗРАБОТКА

NG-IDS/IPS

Система предназначена для мониторинга и анализа сетевого трафика в корпоративных сетях, обнаружения вредоносного сетевого трафика и его блокирования, поиска аномалий в трафике, раннего предупреждения атак в реальном времени.

Гибкость архитектуры

В зависимости от задач и бюджета система может конфигурироваться как IDS, так и IPS.

Система может работать как с предварительно подготовленным (обработанным) трафиком, так и с не подготовленным.

Двухуровневая система обнаружения

Первый уровень анализирует трафик на предмет отклонений от нормы, второй уровень анализирует детали аномалий, выявленных на первом уровне, уточняет их характеристики, при необходимости, в зависимости от заданных правил, блокирует трафик. Двухуровневая архитектура позволяет свести к минимуму количество ложных срабатываний.

Система использует комплекс датчиков, размещенных на ключевых точках в инфраструктуре. Это позволяет обеспечить выборочный (качественный) мониторинг трафика и распределение вычислительной нагрузки.

Система работает с копией трафика (зеркалированный трафик), что также позволяет снизить нагрузку на сеть.

Планы по дальнейшей разработке

Интерфейс управления системы, оптимизация нейросетевой модели, дообучение и ее адаптация.

Стэк технологий

Нейросетевые модели

Языки программирования

  • Rust: Используется для работы с аппаратным обеспечением и зеркалированием трафика, обеспечивая высокую производительность и безопасность памяти.
  • Python: Применяется для разработки интерфейса управления нейросетью, журналирования и уведомления SOC-экспертов.

Библиотеки и фреймворки

  • TensorFlow и Keras: Основные инструменты для разработки и обучения нейронных сетей.
  • Pandas: Используется для обработки и анализа данных.
  • Flask: для личного кабинета SOC-эксперта.

NG-МУБИ

Система предназначена для автоматизации разработки и актуализации моделей угроз безопасности информации.

Система позволяет в полуавтоматическом режиме разрабатывать проекты моделей угроз безопасности информации в соответствии с заданными требованиями.

Данное решение использует большую языковую модель, обученную на типовых отраслевых моделях угроз.

Интерфейс пользователя представляет собой опросный лист, включающий в себя название организации, типовые вопросы про инфраструктуру заказчика.

На вход системы подается специализированный промт и опросный лист заказчика, на выходе система выдает проект модели угроз безопасности информации заказчика.

Система разворачивается на автоматизированных рабочих местах заказчика.

Планы по дальнейшей разработке

Доработка пользовательского интерфейса, оптимизация большой языковой модели, дообогащение ее качественно размеченными отраслевыми моделями угроз, разработка алгоритмов оптимизации текстов.

Стэк технологий

Большие языковые модели

Языки программирования

  • Python

Библиотеки и фреймворки

  • TensorFlow и Keras

  • Pandas

ИНФОРМАЦИОННЫЕ МАТЕРИАЛЫ

В условиях санкций со стороны иностранных государств, импортозамещение программного обеспечения (ПО) и оборудования является гарантом развития самостоятельности и поддержки экономики нашей страны. Именно поэтому один из главных приоритетов государства и правительства — быстрый и эффективный переход на отечественные решения в области информационных технологий.

С 1 января 2016 г. действует Постановление Правительства РФ № 1236, задающее курс на импортозамещение всего ПО до 1 января 2025 года. В последние годы движение в данную сторону резко ускорилось, издано огромное количество федеральных и ведомственных документов, предполагающих полный переход на отечественные решения.

В рамках государственной программы по импортозамещению, организации различных отраслей, а также органы государственной власти обязываются использовать только средства, внесенные в Единый реестр российских программ и баз данных и Единый реестр радиоэлектронной продукции. С учетом требований по переходу в сжатые сроки на отечественное программное обеспечение в описанных выше услугах заинтересованы:

  • Органы государственной и муниципальной власти
  • Банки, страховые компании, ломбарды, некоммерческие финансовые организации
  • Предприятия оборонной промышленности
  • Организации здравоохранения
  • Предприятия в сфере металлургии, химии, энергетики
  • Операторы связи и интернет-провайдеры
  • Крупные адвокатские образования, нотариаты и другие

Компания «Мадригал» берет на себя все вопросы по импортозамещению ПО и оборудования.

Мы предлагаем:

  • Технологическую экспертизу в области оборудования и ПО, включенного в реестр
  • Помощь при выборе и оценке российских решений
  • Возможность организации пилотного проекта
  • Поставку, внедрение и интеграцию российского ПО и оборудования
  • Тестирование, опытную эксплуатацию ПО и оборудования
  • Техническую поддержку на любом этапе
  • Обучение пользователей работе с ПО

Для получения всего комплекса услуг по данному направлению свяжитесь с нами.

В настоящее время действует большое количество нормативных правовых документов, регулирующих деятельность в области информационной безопасности, устанавливающих требования и сроки. Сюда включаются несколько федеральных законов, подзаконные акты и положения министерств. Кроме того, существуют приказы и распоряжения уполномоченных органов в области информационной безопасности, прямо регулирующих деятельность отдельных отраслей в сфере информационной безопасности. Не профильным организациям разобраться в этих юридических хитросплетениях достаточно сложно.

В частности, данную сферу на федеральном уровне регулируют:

  • Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
  • Федеральный закон № 152-ФЗ "О персональных данных"
  • Федеральный закон № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"
  • Указ Президента РФ от 1 мая 2022 г. № 250 "О дополнительных мерах по обеспечению информационной безопасности Российской Федерации"
  • Указ Президента РФ от 30 марта 2022 г. № 166 "О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации"

И это далеко не конечный список. Среди ведомственных документов это могут быть, например:

  • Приказ ФСТЭК России от 29.04.2021 № 77 «Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну»
  • Информационное сообщение ФСТЭК России от 29 марта 2019 г. № 240/24/1525 «О требованиях по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий»
  • Постановление Правительства РФ от 16 ноября 2015 г. № 1236 "Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд"

Приведенные примеры это лишь верхушка айсберга. Документов десятки, и даже сотни. Большинство министерств и ведомств издает на основе федеральных законов и актов свои ведомственные документы.

Мы готовы индивидуально проконсультировать по существующим законодательным требованиям к конкретной отрасли и предприятию, а также выработать эффективное и разумное решение.

Для получения всего комплекса услуг по данному направлению свяжитесь с нами.

Аудит защищенности информационных систем — это независимая проверка уровня защищенности ИТ-архитектуры и информационных систем, направленная на выявление уязвимостей систем защиты, проверку на соответствие определенным требованиям, оценку эффективности мер по обеспечению безопасности с дальнейшим предоставлением рекомендаций по повышению защищенности.

Оценка защищенности системы выполняется после полного согласования методов и инструментов с заказчиком и абсолютно безопасна для информационных систем.

Анализ защищенности поможет избежать потерь важных ресурсов, таких как базы данных, файловые хранилища, персональные данные клиентов. В рамках аудита мы поможем вам узнать текущий уровень безопасности: насколько вы устойчивы к кибератакам, как построить систему защиты, как спланировать бюджет на информационную безопасность. Важно отметить, что аудит не устраняет обнаруженные уязвимости, а лишь фиксирует их наличие. Процедура по устранению угроз возникает в отдельности.

Кроме того, проведенный аудит и дальнейшие решения позволят выполнить требования законодательства РФ в области защиты информации.

В результате проведенного аудита информационной безопасности мы предоставим для руководства компании:

  • общую информацию по количеству обнаруженных уязвимостей
  • оценку текущего уровня защищенности информационных систем
  • рекомендации по повышению уровня защищенности
  • расчет вероятного бюджета в рамках поставленных задач

Для ИБ-специалистов компании мы предоставим:

  • детальное описание каждой уязвимости согласно международным стандартам
  • классификацию уязвимостей по степени опасности
  • практические рекомендации по устранению уязвимостей

Откладывание профессионального аудита увеличивает риск потенциальных угроз, которые могут остаться незамеченными, последствия от реализации которых могут привести к существенным финансовым, репутационным и другим видам ущерба. Аудит важен для всех организаций, использующих корпоративные сети, имеющих свои веб-сайты, осуществляющих интернет-платежи и обрабатывающих персональные данные. Размер предприятия не является единственным условием для проведения аудита, т.к. угрозам информационной безопасности могут быть подвержены как малый, так и крупный бизнесы, а также государственные учреждения.

Мы готовы провести аудит защищенности ваших информационных систем. Для получения всего комплекса услуг по данному направлению свяжитесь с нами.

Концепция "защищенных информационных систем" включает в себя не только законодательные инициативы, но и научные, технические и технологические решения. Государственные организации и компании должны быть готовы использовать эти решения, чтобы пользователи, использующие устройства на базе компьютеров и программного обеспечения, чувствовали себя комфортно и безопасно.

Проектирование комплексной системы обеспечения защиты информации — это разработка комплекса мероприятий, направленных на защиту информации от несанкционированного доступа или утечки.

Этапы построения защищенной системы:

  • аудит безопасности (обследование) существующей системы защиты ИС
  • анализ рисков и формирование требований
  • выработка первоочередных мер защиты
  • проектирование
  • внедрение и аттестация
  • сопровождение системы.

Защищенная информационная система определяется как система, использующая достаточные аппаратные и программные средства, позволяющие обеспечить одновременную достоверную обработку информации разной степени важности различным пользователям или группам пользователей без нарушения прав доступа, целостности и конфиденциальности данных и информации, и поддерживающая свою работоспособность в условиях воздействия на нее совокупности внешних и внутренних угроз.

Мы готовы подобрать и разработать для вас индивидуальное решение. Для получения всего комплекса услуг по данному направлению свяжитесь с нами.

Пентест - метод оценки безопасности компьютерных систем или сетей посредством моделирования реальной атаки злоумышленника.

Пентест является неотъемлемым этапом при оценке уровня безопасности информационных систем или приложений. Эффективнейшим методом проверки уровня защищенности периметра ИБ является попытка его взлома. В ходе пентеста специалисты нашей компании применяют различные методы оценки уровня защищенности, включая ручной и автоматизированный поиск уязвимостей и нарушений конфигураций, социотехническое и нагрузочное тестирование, а также эксплуатацию обнаруженных уязвимостей и проведение атак. Пентест способствует повышению безопасности активов компании и помогает разработать рациональный план инвестиций в системы безопасности без лишних затрат.

Предприятиям, отнесенным к субъектам критической информационной инфраструктуры, пентест необходимо проводить до ввода объекта в эксплуатацию (приказ ФСТЭК России № 239, Указ Президента №250). Банки и другие финансовые организации должны проводить пентест ежегодно (положения 683-П, 719-П, 757-П Банка России, ГОСТ 57580).

Для других предприятий и организаций проведение теста на проникновение позволит компании правильно реагировать на потенциальные проблемы и привести защищенность инфраструктуры в соответствие требованиям регуляторов (382-П, 683-П, 684-П, ГОСТ Р 57580.1-2017, Указ Президента № 250 и пр.). Проверка работающих в компании систем обходится гораздо дешевле, чем устранение негативных последствий утечки данных или взлома сетевого периметра.

Для получения всего комплекса услуг по данному направлению свяжитесь с нами.

Субъекты критической информационной инфраструктуры – государственные органы, государственные учреждения, российские юридические лица и индивидуальные предприниматели, которым принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в ключевых сферах России.

Также, к субъектам КИИ относятся организации, которые обеспечивают взаимодействие указанных систем или сетей.

Согласно ФЗ-187 «О безопасности критической информационной инфраструктуры РФ» к субъектам Критической Информационной Инфраструктуры относятся:

  • Здравоохранение
  • Научные учреждения
  • Предприятия транспорта
  • Предприятия связи
  • Предприятия энергетики
  • Химическая промышленность
  • Регистраторы прав на недвижимость
  • Банки и страховые компании
  • Предприятия ТЭК
  • Предприятия ВПК
  • Ракетно-космическая сфера
  • Атомная энергетика
  • Металлургия
  • Горнодобывающие предприятия

Государственные информационные системы - это информационные системы, созданные государственными органами на основе федеральных законов, законов субъектов РФ или различных правовых актов государственных органов. Они необходимы для современного функционирования государства, предоставления гражданам качественных сервисов, быстрого обмена информацией между различными организациями и государственными органами.

Подключение и взаимодействие с ГИС необходимы для учреждений, которые ежедневно обрабатывают большие объемы конфиденциальной информации. В России существует множество государственных информационных систем. Организации, работающие с ними, обязаны защищать обрабатываемые данные. Каждая ГИС имеет свои требования по информационной безопасности. Несоблюдение этих требований может привести к наказаниям со стороны государства - от штрафов до гораздо более серьезных последствий.

По требованиям ФСТЭК России владельцы ГИС обязаны проводить аттестацию своих систем и использовать только сертифицированные средства защиты информации. Аттестация необходима для предотвращения утечек данных и несанкционированного доступа к ним.

Оператором персональных данных является государственный орган, муниципальный орган, юридическое или физическое лицо организующие или осуществляющие обработку персональных данных граждан.

Персональные данные представляют собой информацию любого характера, которая позволяет идентифицировать конкретного человека. Эти данные могут быть различного рода, включая общие сведения, такие как имя, дата и место рождения, а также более специфические, например, семейное, социальное и финансовое положение, информация о здоровье, а также данные о профессии. Все эти сведения сохраняются в системах персональных данных.

Согласно Федеральному закону № 152-ФЗ «О персональных данных» каждая организация обязана обеспечить защиту персональных данных своих работников, контрагентов и граждан. Пример ИСПДн — информационная система для работы отдела кадров и бухгалтерии, которая обрабатывает сведения работников организации.

Обработка персональных данных — совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными.

Согласно положениям Федерального закона оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных.

ФСБ России и ФСТЭК России — уполномоченные службы в сфере защиты информации, которые регламентируют порядок аттестации организации. Методология аттестации ИСПДн основывается на более чем 30 документах ФСТЭК.

Главные акты, на которые нужно обратить внимание, — приказы ФСТЭК № 17 и 21, а также приказ ФСБ № 378. Для проведения аттестации необходима лицензия ФСТЭК России.

К конфиденциальной информации относятся сведения, связанные с профессиональной деятельностью: врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений, а также служебная и коммерческая тайны других организаций.

Владельцем конфиденциальной информации становится лицо, получившее на основании закона или договора доступ к такой информации, а также право разрешать или ограничивать доступ к этой информации. Исходя из этих определений, большинство юридических лиц в рамках обычной экономической деятельности могут становится владельцами конфиденциальной информации и нести ответственность за несанкционированный доступ к ней.

НАШИ ПАРТНЁРЫ

ПРОДУКТЫ ИЗ РЕЕСТРА МИНЦИФРЫ, ПРИМЕНЯЕМЫЕ КОМПАНИЕЙ

СВЯЖИТЕСЬ С НАМИ