Номер извещения: 0139200000126013423

Общая информация о закупке

Внимание! За нарушение требований антимонопольного законодательства Российской Федерации о запрете участия в ограничивающих конкуренцию соглашениях, осуществления ограничивающих конкуренцию согласованных действий предусмотрена ответственность в соответствии со ст. 14.32 КоАП РФ и ст. 178 УК РФ

Способ определения поставщика (подрядчика, исполнителя): Электронный аукцион

Наименование электронной площадки в информационно-телекоммуникационной сети «Интернет»: РТС-тендер

Адрес электронной площадки в информационно-телекоммуникационной сети «Интернет»: http://www.rts-tender.ru

Размещение осуществляет: Уполномоченный орган ДЕПАРТАМЕНТ КОНТРАКТНОЙ СИСТЕМЫ КУЗБАССА

Наименование объекта закупки: Оказание услуг в области защиты информации

Этап закупки: Подача заявок

Сведения о связи с позицией плана-графика: 202602391000002001000114

Контактная информация

Размещение осуществляет: Уполномоченный орган

Организация, осуществляющая размещение: ДЕПАРТАМЕНТ КОНТРАКТНОЙ СИСТЕМЫ КУЗБАССА

Почтовый адрес: 650000, г. Кемерово, пр. Советский, д. 63

Место нахождения: Российская Федерация, 650000, Кемеровская область - Кузбасс обл, Кемерово г, Советский пр-кт, Д. 63

Ответственное должностное лицо: Смыкова Н. В.

Адрес электронной почты: ugz@ugzko.ako.ru

Номер контактного телефона: 7-3842-585985

Факс: 7-3842-585985

Дополнительная информация: Сведения о заказчике: ТЕРРИТОРИАЛЬНЫЙ ФОНД ОБЯЗАТЕЛЬНОГО МЕДИЦИНСКОГО СТРАХОВАНИЯ КЕМЕРОВСКОЙ ОБЛАСТИ - КУЗБАССА; ИНН 4200000446; Российская Федерация, 650000, Кемеровская область - Кузбасс обл, Кемерово г, Красноармейская ул, СТР. 136; zakupki@kemoms.ru; 7-3842-581706;

Регион: Кемеровская область - Кузбасс обл

Информация о процедуре закупки

Дата и время начала срока подачи заявок: 27.10.2026 10:14 (МСК+4)

Дата и время окончания срока подачи заявок: 06.11.2026 07:00 (МСК+4)

Дата проведения процедуры подачи предложений о цене контракта либо о сумме цен единиц товара, работы, услуги: 06.11.2026

Дата подведения итогов определения поставщика (подрядчика, исполнителя): 10.11.2026

Начальная (максимальная) цена контрактов

Начальная (максимальная) цена контракта: 964 350,00

Валюта: РОССИЙСКИЙ РУБЛЬ

Идентификационный код закупки (ИКЗ): 261420000044642050100101110017490242

Информация об объекте закупки

Код позиции - Наименование товара, работы, услуги - Ед. измерения - Количество (объем работы, услуги) - Цена за ед., ? - Стоимость, ?

- 74.90.20.149 - Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 3. Требования к разрабатываемой документации. В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный Гарантия на оказанные услуги. Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. Объекты тестирования Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - Условная единица - 1,00 - 123 000,00 - 123 000,00

ТЕРРИТОРИАЛЬНЫЙ ФОНД ОБЯЗАТЕЛЬНОГО МЕДИЦИНСКОГО СТРАХОВАНИЯ КЕМЕРОВСКОЙ ОБЛАСТИ - КУЗБАССА - 1 -

- Наименование характеристики Значение характеристики Единица измерения характеристики Инструкция по заполнению характеристик в заявке 3. Требования к разрабатываемой документации. В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный Значение характеристики не может изменяться участником закупки Гарантия на оказанные услуги. Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. Значение характеристики не может изменяться участником закупки Объекты тестирования Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России Значение характеристики не может изменяться участником закупки Перечень основных нормативных правовых актов и методических документов. При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». Значение характеристики не может изменяться участником закупки План оказания услуг 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. Значение характеристики не может изменяться участником закупки 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). Порядок оказания услуг. Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. Значение характеристики не может изменяться участником закупки Требования к безопасности оказываемых услуг. Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. Значение характеристики не может изменяться участником закупки Требования к оказываемым услугам. 2.1. Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 Исходными данными, необходимыми для оценки текущего состояния защищенности ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса), могут являться: ­ акты, протоколы, иные документы, составленные по результатам государственного контроля в области защиты информации; ­ отчеты, протоколы, иные документы, составленные по результатам внутреннего контроля уровня защищенности информации; ­ отчеты, составленные по результатам внешней оценки соответствия в области защиты информации; ­ внутренние организационно-распорядительные документы, регламентирующие организацию защиты информации в ТФОМС Кемеровской области - Кузбасса; ­ эксплуатационная документация на средства защиты информации, содержащая сведения об их настройках и конфигурации; ­ результаты проведения инвентаризации информационных систем; ­ результаты опроса (интервьюирования) работников ТФОМС Кемеровской области - Кузбасса о выполнении ими функций (задач) с использованием ИС и (или) по обеспечению информационной безопасности; ­ результаты анализа функционирования (применения) отдельных программных, программно-аппаратных средств ИС; ­ результаты работы инструментальных средств оценки (анализа) защищенности ИС и (или) мониторинга информационной безопасности. Для сбора и анализа исходных данных Исполнителем могут применяться следующие методы: ­ запрос у Заказчика требуемых для анализа документов и материалов; ­ анкетирование и (или) проведение опросов (интервьюирование) работников ТФОМС Кемеровской области - Кузбасса о выполнении ими функций с использованием ИС и (или) по обеспечению информационной безопасности; ­ наблюдение за работой пользователей в ИС; ­ анализ функционирования отдельных программных, программно-аппаратных средств в ИС, в том числе средств защиты информации, средств инвентаризации ИС, инструментальных средств оценки защищенности и (или) мониторинга информационной безопасности. Значение характеристики не может изменяться участником закупки Ответственный специалист, назначенный из числа работников ТФОМС Кемеровской области - Кузбасса, а также подразделения и иные специалисты ТФОМС Кемеровской области - Кузбасса, привлекаемые для сбора исходных данных, должны оказывать содействие и принятие исчерпывающих мер для предоставления Исполнителю документов и материалов, требуемых для анализа. Заказчик несет ответственность за полноту, достоверность и оперативность предоставляемых Исполнителю исходных данных. Результаты проведения опроса (интервьюирования) работников ТФОМС Кемеровской области - Кузбасса о составе и порядке реализации ими функций (задач) в ИС и (или) обеспечении информационной безопасности подлежат документированию в виде и в форме, определяемыми Исполнителем. Собранные исходные данные подлежат анализу специалистами Исполнителя с целью формирования выводов о реализации в ТФОМС Кемеровской области - Кузбасса мероприятий (процессов) по защите информации, о достаточности принимаемых мер по защите информации. По результатам анализа исходных данных специалисты Исполнителя формируют выводы о текущем состоянии защищенности (реализации мер) ИС. В качестве минимально необходимого уровня защиты информации Исполнителем определяется состав мер, реализация которых предусмотрена нормативными правовыми актами Российской Федерации, и который минимально достаточен для блокирования (нейтрализации) типовых актуальных угроз безопасности информации. Характеристики и объем оказываемых услуг. Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 ? Анализ организационно-распорядительной документации; ? Формализованный сбор данных; ? Экспертные интервью Пункт 3.1 настоящего Описания услуг. Значение характеристики не может изменяться участником закупки - Наименование характеристики - Значение характеристики - Единица измерения характеристики - Инструкция по заполнению характеристик в заявке - 3. Требования к разрабатываемой документации. - В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный - - Значение характеристики не может изменяться участником закупки - Гарантия на оказанные услуги. - Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. - - Значение характеристики не может изменяться участником закупки - Объекты тестирования - Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - - Значение характеристики не может изменяться участником закупки - Перечень основных нормативных правовых актов и методических документов. - При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». - - Значение характеристики не может изменяться участником закупки - План оказания услуг - 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. - - Значение характеристики не может изменяться участником закупки - 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; - № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. - • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). - Порядок оказания услуг. - Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. - - Значение характеристики не может изменяться участником закупки - Требования к безопасности оказываемых услуг. - Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. - - Значение характеристики не может изменяться участником закупки - Требования к оказываемым услугам. - 2.1. Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 Исходными данными, необходимыми для оценки текущего состояния защищенности ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса), могут являться: ­ акты, протоколы, иные документы, составленные по результатам государственного контроля в области защиты информации; ­ отчеты, протоколы, иные документы, составленные по результатам внутреннего контроля уровня защищенности информации; ­ отчеты, составленные по результатам внешней оценки соответствия в области защиты информации; ­ внутренние организационно-распорядительные документы, регламентирующие организацию защиты информации в ТФОМС Кемеровской области - Кузбасса; ­ эксплуатационная документация на средства защиты информации, содержащая сведения об их настройках и конфигурации; ­ результаты проведения инвентаризации информационных систем; ­ результаты опроса (интервьюирования) работников ТФОМС Кемеровской области - Кузбасса о выполнении ими функций (задач) с использованием ИС и (или) по обеспечению информационной безопасности; ­ результаты анализа функционирования (применения) отдельных программных, программно-аппаратных средств ИС; ­ результаты работы инструментальных средств оценки (анализа) защищенности ИС и (или) мониторинга информационной безопасности. Для сбора и анализа исходных данных Исполнителем могут применяться следующие методы: ­ запрос у Заказчика требуемых для анализа документов и материалов; ­ анкетирование и (или) проведение опросов (интервьюирование) работников ТФОМС Кемеровской области - Кузбасса о выполнении ими функций с использованием ИС и (или) по обеспечению информационной безопасности; ­ наблюдение за работой пользователей в ИС; ­ анализ функционирования отдельных программных, программно-аппаратных средств в ИС, в том числе средств защиты информации, средств инвентаризации ИС, инструментальных средств оценки защищенности и (или) мониторинга информационной безопасности. - - Значение характеристики не может изменяться участником закупки - Ответственный специалист, назначенный из числа работников ТФОМС Кемеровской области - Кузбасса, а также подразделения и иные специалисты ТФОМС Кемеровской области - Кузбасса, привлекаемые для сбора исходных данных, должны оказывать содействие и принятие исчерпывающих мер для предоставления Исполнителю документов и материалов, требуемых для анализа. Заказчик несет ответственность за полноту, достоверность и оперативность предоставляемых Исполнителю исходных данных. Результаты проведения опроса (интервьюирования) работников ТФОМС Кемеровской области - Кузбасса о составе и порядке реализации ими функций (задач) в ИС и (или) обеспечении информационной безопасности подлежат документированию в виде и в форме, определяемыми Исполнителем. Собранные исходные данные подлежат анализу специалистами Исполнителя с целью формирования выводов о реализации в ТФОМС Кемеровской области - Кузбасса мероприятий (процессов) по защите информации, о достаточности принимаемых мер по защите информации. По результатам анализа исходных данных специалисты Исполнителя формируют выводы о текущем состоянии защищенности (реализации мер) ИС. В качестве минимально необходимого уровня защиты информации Исполнителем определяется состав мер, реализация которых предусмотрена нормативными правовыми актами Российской Федерации, и который минимально достаточен для блокирования (нейтрализации) типовых актуальных угроз безопасности информации. - Характеристики и объем оказываемых услуг. - Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 ? Анализ организационно-распорядительной документации; ? Формализованный сбор данных; ? Экспертные интервью Пункт 3.1 настоящего Описания услуг. - - Значение характеристики не может изменяться участником закупки

Наименование характеристики - Значение характеристики - Единица измерения характеристики - Инструкция по заполнению характеристик в заявке

3. Требования к разрабатываемой документации. - В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный - - Значение характеристики не может изменяться участником закупки

Гарантия на оказанные услуги. - Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. - - Значение характеристики не может изменяться участником закупки

Объекты тестирования - Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - - Значение характеристики не может изменяться участником закупки

Перечень основных нормативных правовых актов и методических документов. - При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». - - Значение характеристики не может изменяться участником закупки

План оказания услуг - 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. - - Значение характеристики не может изменяться участником закупки

3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ;

№ Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию.

• поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями).

Порядок оказания услуг. - Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. - - Значение характеристики не может изменяться участником закупки

Требования к безопасности оказываемых услуг. - Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. - - Значение характеристики не может изменяться участником закупки

Требования к оказываемым услугам. - 2.1. Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 Исходными данными, необходимыми для оценки текущего состояния защищенности ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса), могут являться: ­ акты, протоколы, иные документы, составленные по результатам государственного контроля в области защиты информации; ­ отчеты, протоколы, иные документы, составленные по результатам внутреннего контроля уровня защищенности информации; ­ отчеты, составленные по результатам внешней оценки соответствия в области защиты информации; ­ внутренние организационно-распорядительные документы, регламентирующие организацию защиты информации в ТФОМС Кемеровской области - Кузбасса; ­ эксплуатационная документация на средства защиты информации, содержащая сведения об их настройках и конфигурации; ­ результаты проведения инвентаризации информационных систем; ­ результаты опроса (интервьюирования) работников ТФОМС Кемеровской области - Кузбасса о выполнении ими функций (задач) с использованием ИС и (или) по обеспечению информационной безопасности; ­ результаты анализа функционирования (применения) отдельных программных, программно-аппаратных средств ИС; ­ результаты работы инструментальных средств оценки (анализа) защищенности ИС и (или) мониторинга информационной безопасности. Для сбора и анализа исходных данных Исполнителем могут применяться следующие методы: ­ запрос у Заказчика требуемых для анализа документов и материалов; ­ анкетирование и (или) проведение опросов (интервьюирование) работников ТФОМС Кемеровской области - Кузбасса о выполнении ими функций с использованием ИС и (или) по обеспечению информационной безопасности; ­ наблюдение за работой пользователей в ИС; ­ анализ функционирования отдельных программных, программно-аппаратных средств в ИС, в том числе средств защиты информации, средств инвентаризации ИС, инструментальных средств оценки защищенности и (или) мониторинга информационной безопасности. - - Значение характеристики не может изменяться участником закупки

Ответственный специалист, назначенный из числа работников ТФОМС Кемеровской области - Кузбасса, а также подразделения и иные специалисты ТФОМС Кемеровской области - Кузбасса, привлекаемые для сбора исходных данных, должны оказывать содействие и принятие исчерпывающих мер для предоставления Исполнителю документов и материалов, требуемых для анализа. Заказчик несет ответственность за полноту, достоверность и оперативность предоставляемых Исполнителю исходных данных. Результаты проведения опроса (интервьюирования) работников ТФОМС Кемеровской области - Кузбасса о составе и порядке реализации ими функций (задач) в ИС и (или) обеспечении информационной безопасности подлежат документированию в виде и в форме, определяемыми Исполнителем. Собранные исходные данные подлежат анализу специалистами Исполнителя с целью формирования выводов о реализации в ТФОМС Кемеровской области - Кузбасса мероприятий (процессов) по защите информации, о достаточности принимаемых мер по защите информации. По результатам анализа исходных данных специалисты Исполнителя формируют выводы о текущем состоянии защищенности (реализации мер) ИС. В качестве минимально необходимого уровня защиты информации Исполнителем определяется состав мер, реализация которых предусмотрена нормативными правовыми актами Российской Федерации, и который минимально достаточен для блокирования (нейтрализации) типовых актуальных угроз безопасности информации.

Характеристики и объем оказываемых услуг. - Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 ? Анализ организационно-распорядительной документации; ? Формализованный сбор данных; ? Экспертные интервью Пункт 3.1 настоящего Описания услуг. - - Значение характеристики не может изменяться участником закупки

- 74.90.20.149 - Разработка аналитического отчета по результатам аудита 1. Характеристики и объем оказываемых услуг. Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. 2. Требования к оказываемым услугам. 2.2. Требования к разработке отчета об аудите По результатам аудита Исполнитель разрабатывает аналитический отчет. Отчет должен включать как минимум: ­ полученные в результате обследования сведения об инфраструктуре ТФОМС Кемеровской области – Кузбасса; ­ результаты оценки соответствия информационных систем и их системы защиты требованиям, утвержденным приказом ФСТЭК России от 11.04.2025 № 117; ­ рекомендации по приведению информационных систем и их системы защиты в соответствие требованиям законодательства. 2.4. План оказания услуг • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). ... - Условная единица - 1,00 - 91 350,00 - 91 350,00

ТЕРРИТОРИАЛЬНЫЙ ФОНД ОБЯЗАТЕЛЬНОГО МЕДИЦИНСКОГО СТРАХОВАНИЯ КЕМЕРОВСКОЙ ОБЛАСТИ - КУЗБАССА - 1 -

- Наименование характеристики Значение характеристики Единица измерения характеристики Инструкция по заполнению характеристик в заявке 1. Характеристики и объем оказываемых услуг. Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. Значение характеристики не может изменяться участником закупки 2. Требования к оказываемым услугам. 2.2. Требования к разработке отчета об аудите По результатам аудита Исполнитель разрабатывает аналитический отчет. Отчет должен включать как минимум: ­ полученные в результате обследования сведения об инфраструктуре ТФОМС Кемеровской области – Кузбасса; ­ результаты оценки соответствия информационных систем и их системы защиты требованиям, утвержденным приказом ФСТЭК России от 11.04.2025 № 117; ­ рекомендации по приведению информационных систем и их системы защиты в соответствие требованиям законодательства. Значение характеристики не может изменяться участником закупки 2.4. План оказания услуг • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). Значение характеристики не может изменяться участником закупки № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; 3. Требования к разрабатываемой документации. В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный Значение характеристики не может изменяться участником закупки 4. Перечень основных нормативных правовых актов и методических документов. При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». Значение характеристики не может изменяться участником закупки 5. Порядок оказания услуг. Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. Значение характеристики не может изменяться участником закупки 6. Требования к безопасности оказываемых услуг. Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. Значение характеристики не может изменяться участником закупки 7. Гарантия на оказанные услуги. Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. Значение характеристики не может изменяться участником закупки Объекты тестирования Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России Значение характеристики не может изменяться участником закупки Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: Наименование работ Краткое содержание работ Требования к услуге Разработка аналитического отчета по результатам аудита Разработка аналитического отчета по результатам аудита Пункт 3.2 настоящего Описания услуг Значение характеристики не может изменяться участником закупки - Наименование характеристики - Значение характеристики - Единица измерения характеристики - Инструкция по заполнению характеристик в заявке - 1. Характеристики и объем оказываемых услуг. - Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. - - Значение характеристики не может изменяться участником закупки - 2. Требования к оказываемым услугам. - 2.2. Требования к разработке отчета об аудите По результатам аудита Исполнитель разрабатывает аналитический отчет. Отчет должен включать как минимум: ­ полученные в результате обследования сведения об инфраструктуре ТФОМС Кемеровской области – Кузбасса; ­ результаты оценки соответствия информационных систем и их системы защиты требованиям, утвержденным приказом ФСТЭК России от 11.04.2025 № 117; ­ рекомендации по приведению информационных систем и их системы защиты в соответствие требованиям законодательства. - - Значение характеристики не может изменяться участником закупки - 2.4. План оказания услуг - • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). - - Значение характеристики не может изменяться участником закупки - № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. - 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. - 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; - 3. Требования к разрабатываемой документации. В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: - № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный - - Значение характеристики не может изменяться участником закупки - 4. Перечень основных нормативных правовых актов и методических документов. - При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». - - Значение характеристики не может изменяться участником закупки - 5. Порядок оказания услуг. - Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. - - Значение характеристики не может изменяться участником закупки - 6. Требования к безопасности оказываемых услуг. - Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. - - Значение характеристики не может изменяться участником закупки - 7. Гарантия на оказанные услуги. - Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. - - Значение характеристики не может изменяться участником закупки - Объекты тестирования - Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - - Значение характеристики не может изменяться участником закупки - Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: - Наименование работ Краткое содержание работ Требования к услуге Разработка аналитического отчета по результатам аудита Разработка аналитического отчета по результатам аудита Пункт 3.2 настоящего Описания услуг - - Значение характеристики не может изменяться участником закупки

Наименование характеристики - Значение характеристики - Единица измерения характеристики - Инструкция по заполнению характеристик в заявке

1. Характеристики и объем оказываемых услуг. - Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. - - Значение характеристики не может изменяться участником закупки

2. Требования к оказываемым услугам. - 2.2. Требования к разработке отчета об аудите По результатам аудита Исполнитель разрабатывает аналитический отчет. Отчет должен включать как минимум: ­ полученные в результате обследования сведения об инфраструктуре ТФОМС Кемеровской области – Кузбасса; ­ результаты оценки соответствия информационных систем и их системы защиты требованиям, утвержденным приказом ФСТЭК России от 11.04.2025 № 117; ­ рекомендации по приведению информационных систем и их системы защиты в соответствие требованиям законодательства. - - Значение характеристики не может изменяться участником закупки

2.4. План оказания услуг - • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). - - Значение характеристики не может изменяться участником закупки

№ Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию.

2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования.

3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ;

3. Требования к разрабатываемой документации. В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: - № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный - - Значение характеристики не может изменяться участником закупки

4. Перечень основных нормативных правовых актов и методических документов. - При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». - - Значение характеристики не может изменяться участником закупки

5. Порядок оказания услуг. - Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. - - Значение характеристики не может изменяться участником закупки

6. Требования к безопасности оказываемых услуг. - Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. - - Значение характеристики не может изменяться участником закупки

7. Гарантия на оказанные услуги. - Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. - - Значение характеристики не может изменяться участником закупки

Объекты тестирования - Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - - Значение характеристики не может изменяться участником закупки

Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: - Наименование работ Краткое содержание работ Требования к услуге Разработка аналитического отчета по результатам аудита Разработка аналитического отчета по результатам аудита Пункт 3.2 настоящего Описания услуг - - Значение характеристики не может изменяться участником закупки

- 74.90.20.149 - Тестирование на проникновение 1. Характеристики и объем оказываемых услуг. Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. 2. Требования к оказываемым услугам. 2.3. Требования к услугам по проведению тестирования на проникновение Тестирование на проникновение проводится с целью выявления уязвимостей внешней и внутренней инфраструктуры Заказчика, а также получения объективной оценки ее текущего уровня защищенности. Достижение этих целей снижает вероятность наступления инцидента, вызванного действиями потенциального злоумышленника. В рамках проекта Исполнитель решает следующие задачи: • Идентификация уязвимостей сетевых служб и приложений; • Идентификация уязвимостей и ошибок конфигурирования серверов, рабочих компьютеров, сетевого оборудования Заказчика. • Поиск доступа к базам данных с конфиденциальной информацией и персональными данными сервисов Заказчика; • Выявление недостатков в применяемых мерах кибербезопасности и оценка возможности использования их нарушителем; • Практическая демонстрация эксплуатации уязвимостей (на примере наиболее критических); • Выработка рекомендаций по устранению найденных уязвимостей или принятию компенсационных мер защиты. 2.4. План оказания услуг № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; ... - Условная единица - 1,00 - 750 000,00 - 750 000,00

ТЕРРИТОРИАЛЬНЫЙ ФОНД ОБЯЗАТЕЛЬНОГО МЕДИЦИНСКОГО СТРАХОВАНИЯ КЕМЕРОВСКОЙ ОБЛАСТИ - КУЗБАССА - 1 -

- Наименование характеристики Значение характеристики Единица измерения характеристики Инструкция по заполнению характеристик в заявке 1. Характеристики и объем оказываемых услуг. Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. Значение характеристики не может изменяться участником закупки 2. Требования к оказываемым услугам. 2.3. Требования к услугам по проведению тестирования на проникновение Тестирование на проникновение проводится с целью выявления уязвимостей внешней и внутренней инфраструктуры Заказчика, а также получения объективной оценки ее текущего уровня защищенности. Достижение этих целей снижает вероятность наступления инцидента, вызванного действиями потенциального злоумышленника. В рамках проекта Исполнитель решает следующие задачи: • Идентификация уязвимостей сетевых служб и приложений; • Идентификация уязвимостей и ошибок конфигурирования серверов, рабочих компьютеров, сетевого оборудования Заказчика. • Поиск доступа к базам данных с конфиденциальной информацией и персональными данными сервисов Заказчика; • Выявление недостатков в применяемых мерах кибербезопасности и оценка возможности использования их нарушителем; • Практическая демонстрация эксплуатации уязвимостей (на примере наиболее критических); • Выработка рекомендаций по устранению найденных уязвимостей или принятию компенсационных мер защиты. Значение характеристики не может изменяться участником закупки 2.4. План оказания услуг № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; Значение характеристики не может изменяться участником закупки • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). 3. Требования к разрабатываемой документации. В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный Значение характеристики не может изменяться участником закупки 4. Перечень основных нормативных правовых актов и методических документов. При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». Значение характеристики не может изменяться участником закупки 5. Порядок оказания услуг. Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. Значение характеристики не может изменяться участником закупки 6. Требования к безопасности оказываемых услуг. Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. Значение характеристики не может изменяться участником закупки 7. Гарантия на оказанные услуги. Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. Значение характеристики не может изменяться участником закупки Объекты тестирования Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России Значение характеристики не может изменяться участником закупки Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: Наименование работ Краткое содержание работ Требования к услуге Тестирование на проникновение ? поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; ? поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; ? сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; ? сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. ? обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; ? выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; ? эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); ? эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; ? подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; Значение характеристики не может изменяться участником закупки ? использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования ? подбор аутентификационной информации доменных учетных записей; ? использование небезопасной конфигурации доменной инфраструктурной службы; ? использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); ? чтение защищаемой информации из дампов программных, программно-аппаратных средств; ? атаки на реализацию протокола аутентификации; памяти процессов ? эксплуатация уязвимостей в прикладном и системном программном обеспечении; ? доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; ? доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; ? поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: ? утечка информации ограниченного доступа; ? несанкционированный доступ к информационным системам и содержащейся в них информации; ? несанкционированная подмена информации. ? В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. ? В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. Отчет должен содержать: ? сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, ? описание объекта оценки, границы проведения работ и условия их проведения; ? краткое на проникновение; описание полученных результатов тестирования ? описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; ? рекомендации по повышению защищенности информации, содержащейся в информационной системе. ? Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). - Наименование характеристики - Значение характеристики - Единица измерения характеристики - Инструкция по заполнению характеристик в заявке - 1. Характеристики и объем оказываемых услуг. - Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. - - Значение характеристики не может изменяться участником закупки - 2. Требования к оказываемым услугам. - 2.3. Требования к услугам по проведению тестирования на проникновение Тестирование на проникновение проводится с целью выявления уязвимостей внешней и внутренней инфраструктуры Заказчика, а также получения объективной оценки ее текущего уровня защищенности. Достижение этих целей снижает вероятность наступления инцидента, вызванного действиями потенциального злоумышленника. В рамках проекта Исполнитель решает следующие задачи: • Идентификация уязвимостей сетевых служб и приложений; • Идентификация уязвимостей и ошибок конфигурирования серверов, рабочих компьютеров, сетевого оборудования Заказчика. • Поиск доступа к базам данных с конфиденциальной информацией и персональными данными сервисов Заказчика; • Выявление недостатков в применяемых мерах кибербезопасности и оценка возможности использования их нарушителем; • Практическая демонстрация эксплуатации уязвимостей (на примере наиболее критических); • Выработка рекомендаций по устранению найденных уязвимостей или принятию компенсационных мер защиты. - - Значение характеристики не может изменяться участником закупки - 2.4. План оказания услуг - № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; - - Значение характеристики не может изменяться участником закупки - • подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются: - • подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. - 4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями). - 3. Требования к разрабатываемой документации. - В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный - - Значение характеристики не может изменяться участником закупки - 4. Перечень основных нормативных правовых актов и методических документов. - При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». - - Значение характеристики не может изменяться участником закупки - 5. Порядок оказания услуг. - Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. - - Значение характеристики не может изменяться участником закупки - 6. Требования к безопасности оказываемых услуг. - Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. - - Значение характеристики не может изменяться участником закупки - 7. Гарантия на оказанные услуги. - Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. - - Значение характеристики не может изменяться участником закупки - Объекты тестирования - Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - - Значение характеристики не может изменяться участником закупки - Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: - Наименование работ Краткое содержание работ Требования к услуге Тестирование на проникновение ? поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; ? поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; ? сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; ? сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. ? обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; ? выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; ? эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); ? эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; ? подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; - - Значение характеристики не может изменяться участником закупки - ? использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования ? подбор аутентификационной информации доменных учетных записей; ? использование небезопасной конфигурации доменной инфраструктурной службы; ? использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); ? чтение защищаемой информации из дампов программных, программно-аппаратных средств; ? атаки на реализацию протокола аутентификации; памяти процессов ? эксплуатация уязвимостей в прикладном и системном программном обеспечении; ? доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; ? доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; ? поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: ? утечка информации ограниченного доступа; ? несанкционированный доступ к информационным системам и содержащейся в них информации; ? несанкционированная подмена информации. - ? В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. ? В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. Отчет должен содержать: ? сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, ? описание объекта оценки, границы проведения работ и условия их проведения; ? краткое на проникновение; описание полученных результатов тестирования ? описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; ? рекомендации по повышению защищенности информации, содержащейся в информационной системе. ? Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями).

Наименование характеристики - Значение характеристики - Единица измерения характеристики - Инструкция по заполнению характеристик в заявке

1. Характеристики и объем оказываемых услуг. - Наименование услуг: услуга по аудиту на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений», с разработкой аналитического отчета по результатам аудита Территориального фонда обязательного медицинского страхования Кемеровской области – Кузбасса. Количество информационных систем ТФОМС Кемеровской области - Кузбасса (ТФОМС Кемеровской области - Кузбасса) для проведения аудита: 4 шт. - - Значение характеристики не может изменяться участником закупки

2. Требования к оказываемым услугам. - 2.3. Требования к услугам по проведению тестирования на проникновение Тестирование на проникновение проводится с целью выявления уязвимостей внешней и внутренней инфраструктуры Заказчика, а также получения объективной оценки ее текущего уровня защищенности. Достижение этих целей снижает вероятность наступления инцидента, вызванного действиями потенциального злоумышленника. В рамках проекта Исполнитель решает следующие задачи: • Идентификация уязвимостей сетевых служб и приложений; • Идентификация уязвимостей и ошибок конфигурирования серверов, рабочих компьютеров, сетевого оборудования Заказчика. • Поиск доступа к базам данных с конфиденциальной информацией и персональными данными сервисов Заказчика; • Выявление недостатков в применяемых мерах кибербезопасности и оценка возможности использования их нарушителем; • Практическая демонстрация эксплуатации уязвимостей (на примере наиболее критических); • Выработка рекомендаций по устранению найденных уязвимостей или принятию компенсационных мер защиты. - - Значение характеристики не может изменяться участником закупки

2.4. План оказания услуг - № Этап Перечень работ 1 Сбор исходной информации Работы по сбору исходной информации включают в себя: • поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; • поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; • сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; • сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. 2 Получение первоначального доступа к программным, программно-аппаратным средствам информационной системы, доступным внешнему нарушителю Работы по получению первоначального доступа к программным, программно-аппаратным средствам проводятся с использованием пассивных и активных методов, имитирующих действия внешнего нарушителя, и включают в себя: • обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; • выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; • эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); • эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; - - Значение характеристики не может изменяться участником закупки

• подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; • использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; Эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования. 3 Повышение привилегий, развитие действий внутри информационной системы, достижение целей тестирования Работы по повышению привилегий и развитию действий внутри информационной системы должны предусматривать выявление и реализацию сценариев угроз безопасности информации по обходу системы защиты информации, повышение привилегий, полученных при первоначальном доступе, и получение контроля над доменом в информационной системе или информационно-телекоммуникационной инфраструктуре, на базе которой она функционирует, или получение доступа к программным, программно-аппаратным средствам, базам данных, иному прикладному программному обеспечению, отдельным системам и содержащейся в них конфиденциальной информации. При проведении работ с использованием активных методов имитируются действия внешнего нарушителя, получившего первоначальный доступ в информационную систему, и внутреннего нарушителя. В ходе проведения работ по повышению привилегий и развитию действий внутри информационной системы осуществляются:

• подбор аутентификационной информации доменных учетных записей; • использование небезопасной конфигурации доменной инфраструктурной службы; • использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); • чтение защищаемой информации из дампов программных, программно-аппаратных средств; • атаки на реализацию протокола аутентификации; памяти процессов • эксплуатация уязвимостей в прикладном и системном программном обеспечении; • доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; • доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; • поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: • утечка информации ограниченного доступа; • несанкционированный доступ к информационным системам и содержащейся в них информации; • несанкционированная подмена информации. В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации.

4 Подготовка отчета Отчет должен содержать: • сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, • описание объекта оценки, границы проведения работ и условия их проведения; • описание полученных результатов тестирования; • описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; • рекомендации по повышению защищенности информации, содержащейся в информационной системе. Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями).

3. Требования к разрабатываемой документации. - В ходе оказания Услуг Исполнитель разрабатывает и передает Заказчику документацию: № п/п Вид документа Формат предоставления 1 Аудит на соответствие требованиям Приказ ФСТЭК России от 11.04.2025 № 117 1.1 Отчет по результатам аудита Электронный, бумажный 2 Тестированию внутреннего периметра и социальной инженерия 2.1 Отчет по проведению тестирования на проникновение Электронный, бумажный - - Значение характеристики не может изменяться участником закупки

4. Перечень основных нормативных правовых актов и методических документов. - При проведении аудита, должны учитываться требования следующих нормативных правовых актов: ? Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений». - - Значение характеристики не может изменяться участником закупки

5. Порядок оказания услуг. - Оказание Услуг осуществляется Исполнителем в формате очного присутствия на объектах Заказчика, задействованных в функционировании/обеспечении функционирования ИС, или частично дистанционно (удаленно) с использованием средств удаленной связи и технологий по согласованию с Заказчиком. Формат выполнения работ (очный или удаленный) определяется по соглашению Сторон с учетом специфики оказываемых услуг, необходимости доступа к объектам Заказчика и обеспечения требований законодательства в части обработки и защиты сведений конфиденциального характера. При оказании услуг в очной форме Заказчик обязан обеспечить Исполнителю беспрепятственный доступ на территорию, необходимую для выполнения работ, включая оформление всех необходимых пропусков, допусков и иных документов, а также предоставление всех условий, требуемых для беспрепятственного осуществления Исполнителем своих обязательств в установленные сроки. - - Значение характеристики не может изменяться участником закупки

6. Требования к безопасности оказываемых услуг. - Исполнитель должен взять на себя обязательства соблюдать конфиденциальность информации, ставшей ему известной в ходе оказания Услуг, не открывать и не разглашать в общем или, в частности, вышеуказанную информацию какому-либо третьему лицу без предварительного письменного согласия другой Стороны, за исключением предоставления такой информации государственным, налоговым и аналогичным органам, если это требуется по действующему законодательству или решению суда. - - Значение характеристики не может изменяться участником закупки

7. Гарантия на оказанные услуги. - Гарантия на оказанные Услуги составляет 12 (двенадцать) месяцев с даты подписания Сторонами документа о приемке и предусматривает: ? устранение замечаний к содержанию документации по результатам рассмотрения указанной документации Заказчиком или контролирующими органами (срок устранения недостатков в течении 5 (Пяти) рабочих дней, повторное направление скорректированных документов в адрес Заказчика (скорректированные версии документов направляются как на бумажных, так и на электронных носителях); Консультационная поддержка может предоставляться в устной или письменной форме через согласованные каналы связи, такие как телефон, электронная почта, мессенджеры или иные средства коммуникации. - - Значение характеристики не может изменяться участником закупки

Объекты тестирования - Тестирование на проникновение проводится по отношению к внешней и внутренней инфраструктуре Заказчика. • Проведения тестирования методом “Черного ящика”; • Исследуемый объем внутреннего периметра – корпоративная сеть, сетевые хранилища, контролер домена. Границы оказания услуг, а также полный список доступных для исследования подсетей и информационных систем согласовываются дополнительно перед началом проекта. Модель злоумышленника Уровень квалификации: высококвалифицированный специалист, обладающий навыками, сравнимыми с навыками Исполнителя. Привилегии при тестировании внутренней инфраструктуры: • привилегии во внутренней сети отсутствуют; • в случае неудачи прохождения внешнего периметра, предоставляется пользовательская учетная запись в домене. В ходе оказания услуг Исполнитель имитирует процесс анализа внешней и внутренней инфраструктуры потенциальным злоумышленником в соответствии с вышеописанной моделью. При этом действия, ведущие к возможности нанесения вреда Заказчику или его клиентам, Исполнитель выполняет исключительно по согласованию с Заказчиком. Методика проведения тестирования на проникновение Тестирование на проникновение проводится по методике испытаний систем защиты информации информационных систем методами тестирования на проникновение ФСТЭК России - - Значение характеристики не может изменяться участником закупки

Оказание Услуг осуществляется Исполнителем в соответствии с перечнем выполняемых работ: - Наименование работ Краткое содержание работ Требования к услуге Тестирование на проникновение ? поиск сетевых адресов и доменов информационной системы, доступных из сети «Интернет»; ? поиск сетевых протоколов, внешних интерфейсов взаимодействия, открытых портов, находящихся на периметре информационной системы; ? сбор информации о сетевых службах и сервисах (сервисах удаленного доступа, электронной почты, DNS и иных сервисов), версиях системного и прикладного программного обеспечения, а также веб-приложений, мобильных приложений, доступных из сети «Интернет»; ? сканирование обнаруженных сервисов и служб, системного и прикладного программного обеспечения, веб-приложений, мобильных приложений на предмет наличия уязвимостей Определение конфигурации находящихся на периметре серверов (веб-серверов, серверов приложений, файловых серверов и иных серверов) информационной системы, заданной по умолчанию. ? обнаружение известных уязвимостей в сетевых службах, сервисах, программных, программно-аппаратных средствах, интерфейсы которых доступны из сети «Интернет»; ? выявление известных уязвимостей в идентифицированных программных, программно-аппаратных средствах информационной системы, интерфейсы которых доступны из сети «Интернет»; ? эксплуатация уязвимостей веб-приложений, интерфейсы которых доступны из сети «Интернет» (например, «загрузка произвольных файлов», «десериализация недоверенных данных», «внедрение SQL-кода» и другие); ? эксплуатация уязвимостей в сетевых службах и сервисах, функционирующих на периметре информационной системы и к которым возможен доступ из сети «Интернет»; ? подбор паролей учетных записей, используемых для удаленного доступа к программным, программно-аппаратным средствам; - - Значение характеристики не может изменяться участником закупки

? использование данных учетных записей, выявленных на этапе сбора исходной информации, для доступа к программным, программно-аппаратным средствам, функционирующим на периметре информационной системы; эксплуатация выявленных уязвимостей должна предусматривать проведение попыток эксплуатации известных уязвимостей служб, сервисов, программных, программно-аппаратных средств, сведения о которых получены на этапе сбора исходной информации, в том числе при проведении ручного тестирования ? подбор аутентификационной информации доменных учетных записей; ? использование небезопасной конфигурации доменной инфраструктурной службы; ? использование небезопасной конфигурации шаблонов сертификатов (ESC-атаки); ? чтение защищаемой информации из дампов программных, программно-аппаратных средств; ? атаки на реализацию протокола аутентификации; памяти процессов ? эксплуатация уязвимостей в прикладном и системном программном обеспечении; ? доступ ко внутренним сегментам информационной системы, корпоративным базам данным, системам поддержки пользователей, системам управления задачами; ? доступ к информации о пользователях, содержащейся в корпоративных базах данных, системах поддержки пользователей, системах управления задачами, внутренних страницах сайтов, и ее анализ; ? поиск информации, необходимой для достижения целей тестирования на проникновение, установленных заказчиком. В результате тестирования на проникновение подтверждается возможность реализации негативных последствий: ? утечка информации ограниченного доступа; ? несанкционированный доступ к информационным системам и содержащейся в них информации; ? несанкционированная подмена информации.

? В случае, если выполнение работ, проводимых в ходе достижения целей тестирования на проникновение, приведет к нарушению функционирования информационной системы или раскрытию защищаемой информации, исполнителем по согласованию с заказчиком указанные работы не проводятся и делается экспертный вывод о возможности достижения целей тестирования на проникновение. ? В случае, если исполнитель за установленное для проведения тестирования на проникновение время не подтвердил возможность реализации целей тестирования на проникновение, делается вывод о достаточности и эффективности в информационной системе мер по защите информации. Отчет должен содержать: ? сведения об основании для проведения работ, наименования заказчика исполнителя работ, сроки проведения работ, их цели и задачи, ? описание объекта оценки, границы проведения работ и условия их проведения; ? краткое на проникновение; описание полученных результатов тестирования ? описание действий исполнителя, которые привели к достижению поставленных целей тестирования на проникновение; ? рекомендации по повышению защищенности информации, содержащейся в информационной системе. ? Описанные действия должны быть подтверждены документированными материалами, указывающими на успешную эксплуатацию уязвимостей или иные недостатки системы защиты информации информационной системы (скриншотами, листингами, текстовыми описаниями).

Преимущества, требования к участникам

Преимущества: Преимущество в соответствии с ч. 3 ст. 30 Закона № 44-ФЗ - Размер преимущества не установлен

Требования к участникам: 1. Единые требования к участникам закупок в соответствии с ч. 1 ст. 31 Закона № 44-ФЗ 2. Требования к участникам закупок в соответствии с ч. 1.1 ст. 31 Закона № 44-ФЗ

Сведения о связи с позицией плана-графика

Сведения о связи с позицией плана-графика: 202602391000002001000114

Начальная (максимальная) цена контракта: 964 350,00

Валюта: РОССИЙСКИЙ РУБЛЬ

Идентификационный код закупки (ИКЗ): 261420000044642050100101110017490242

Срок исполнения контракта (отдельных этапов исполнения контракта) включает в том числе приемку поставленного товара, выполненной работы, оказанной услуги, а также оплату заказчиком поставщику (подрядчику, исполнителю) поставленного товара, выполненной работы, оказанной услуги

Дата начала исполнения контракта: с даты заключения контракта

Срок исполнения контракта: 31.12.2026

Закупка за счет бюджетных средств: Да

Наименование бюджета: Бюджет Территориального фонда обязательного медицинского страхования Кемеровской области - Кузбасса

Вид бюджета: бюджет территориального государственного внебюджетного фонда

Код территории муниципального образования: 32000009: Муниципальные образования Кемеровской области - Кузбасса / Территориальный фонд обязательного медицинского страхования

Место поставки товара, выполнения работы или оказания услуги: Российская Федерация, обл. Кемеровская область - Кузбасс, ул. Красноармейская,136

Требуется обеспечение исполнения контракта: Да

Размер обеспечения исполнения контракта: 10 %

Порядок предоставления обеспечения исполнения контракта, требования к обеспечению: Указан в соответствующем разделе прикрепленного проекта контракта

Платежные реквизиты для обеспечения исполнения контракта: p/c 03272643320000095100, л/c 05503953000, БИК 015004950, ОКЦ № 1 СибГУ Банка России//УФК по Новосибирской области, г Новосибирск, к/c 40102810445370000043

Банковское или казначейское сопровождение контракта не требуется

Информация о сроках исполнения контракта и источниках финансирования

Срок исполнения контракта (отдельных этапов исполнения контракта) включает в том числе приемку поставленного товара, выполненной работы, оказанной услуги, а также оплату заказчиком поставщику (подрядчику, исполнителю) поставленного товара, выполненной работы, оказанной услуги

Дата начала исполнения контракта: с даты заключения контракта

Срок исполнения контракта: 31.12.2026

Закупка за счет бюджетных средств: Да

Наименование бюджета: Бюджет Территориального фонда обязательного медицинского страхования Кемеровской области - Кузбасса

Вид бюджета: бюджет территориального государственного внебюджетного фонда

Код территории муниципального образования: 32000009: Муниципальные образования Кемеровской области - Кузбасса / Территориальный фонд обязательного медицинского страхования

Документы

Общая информация

Документы

Журнал событий