Минсельхоз решил провести масштабную оценку собственной киберустойчивости

Минсельхоз России рассматривает возможность проведения оценочных работ на собственной информационной инфраструктуре. Ведомство запросило у подрядчиков цены на комплекс работ, подразумевающих не только изучение текущего состояния информационной защищенности сетей Минсельхоза, но и поиск следов ранее успешно проведенных атак на инфраструктуру. Запрос цен был размещен на сайте госзакупок в начале февраля 2026 года.

Какие цены за выполнение подобных работ дали потенциальные исполнители — неизвестно. Но в 2022 году Минсельхоз запрашивал услуги на осуществление аудита ИБ, включая тестирование на проникновение (пентест). Тогда начальная цена контракта составляла 40 млн рублей. В конкурсе победил единственный претендент, который согласился выполнить работы за 39,9 млн рублей, компания «Сикрет Технолоджис».

В текущей закупке Минсельхоз запрашивает комплекс работ: в первой части от подрядчика требуется оценка защищенности инфраструктуры ведомства, во второй — поиск следов успешной компрометации информационной инфраструктуры злоумышленником. Первая часть работ также подразумевает разработку плана реагирования на инциденты и разработку рекомендаций по повышению уровня информационной безопасности.

Устройство ИТ-инфраструктуры Минсельхоза

Согласно плану Минсельхоза, работы должны проводиться на ИТ-инфраструктуре ведомства и в ЦОД «Компрессор». Также приводится состав ИТ-инфраструктуры:

Состав ИТ-инфраструктуры	Количество IP адресов
Ресурсы внешнего периметра	222
СХД iSCSI	43
УСЗ	110
СЭДО	86
Система аварийного управления	148
Система управления сетевым оборудованием	197
Система управления PDU и системой кондиционирования	72
Система управления СХД	13
Система аварийного управления виртуализацией	28
Система виртуализации	165
СОИБ	84
Система аварийного управления СОИБ	53
VoIP	130
Система печати	149
Система ВКС Dante	140
Система ВКС	154
Система ВКС IVA	24
Серверный сегмент	583
Система резервного копирования	11
КСОИБ	36
Итого	2448

В своей заявке ведомство также просит потенциальных подрядчиков определить, во сколько обойдется оценка безопасности информационных систем. В перечень входят следующие:

Сокращенное наименование	Полное наименование
ЕФГИС	Единая федеральная государственная информационная система о землях сельскохозяйственного назначения и землях, используемых или предоставленных для ведения сельского хозяйства в составе земель иных категорий
ФГИС УСМТ	Федеральная государственная информационная система учета и регистрации тракторов, самоходных машин и прицепов к ним
Единая цифровая платформа	Единая цифровая платформа агропромышленного и рыбохозяйственного комплексов
АИС «Субсидии АПК»	Комплексная информационная система сбора и обработки бухгалтерской и специализированной отчетности сельскохозяйственных товаропроизводителей, формирования сводных отчетов, мониторинга, учета, контроля и анализа субсидий на поддержку агропромышленного комплекса
ИАС НТОР СХ	Государственная информационная система «Информационно-аналитическая система оперативного мониторинга и оценки состояния и рисков научно-технического обеспечения развития сельского хозяйства»
ФГИС «Семеноводство»	Федеральная государственная информационная система в области семеноводства сельскохозяйственных растений
ФГИАС ПР	Федеральная государственная информационно-аналитическая система племенных ресурсов
ФГИС «Зерно»	Федеральная государственная информационная система прослеживаемости зерна и продуктов переработки зерна

Оценка внешнего периметра

При анализе защищенности внешнего периметра потенциальный исполнитель работ должен провести интервью с ответственными лицами со стороны Минсельхоза и согласовать «Реестр недопустимых событий». Оценка возможности реализации недопустимых событий, как отмечается в техническом задании, проводится с помощью моделирования целевой атаки на инфраструктуру заказчика методами «черного ящика» и «серого ящика».

В зависимости от выбранного типа нарушителя (будь то внешний или внутренний, имеющий пользовательские привилегии в системе или нет) моделируется целый ряд потенциальных атак. Их спектр ранжируется от сбора информации об инфраструктуре для последующего анализа и уточнения областей поиска уязвимостей и получения информации о топологии веб-приложений, используемых решениях, версиях программного обеспечения, логике работы до атак посредством подделки межсайтового запроса, внедрения команд, интерпретируемых средой выполнения или ОС сервера.

Минсельхоз рассчитывает, что при проведении оценки защищенности внешнего периметра исполнитель проверит возможность эксплуатации наиболее опасных уязвимостей с целью выхода за границы заданного сегмента информационной системы. Также исполнитель должен будет предоставить перечень узлов внутренней сети, доступных из объектов Минсельхоза и его подведомственных структур. И наконец, таким образом в ведомстве рассчитывают провести инвентаризацию узлов, доступных из текущего сегмента информационной системы.

Оценка внутреннего периметра

Анализ защищенности внутреннего периметра должен проходить по методу «серого ящика». В рамках этих работ исполнитель должен провести активный сбор информации о внутреннем периметре инфраструктуры, включая инструментальное сканирование открытых портов и идентификацию доступных сетевых служб. Также предстоит провести анализ сетевого трафика и идентификацию уязвимостей сетевых служб, включая анализ данных.

Возможность реализации недопустимых событий будет оцениваться с помощью моделирования целевой атаки на инфраструктуру Минсельхоза. Исполнителю предстоит оценить возможность утечек из-за имеющихся каналов взаимодействия с использованием интерфейсов управления, провести анализ защищенности инфраструктурных служб и приложений, анализ паролей и защищенности мобильных устройств в случае использования сотрудниками личных мобильных для выполнения своих обязанностей.

При оценке развитие атаки во внутреннем периметре информационной инфраструктуры осуществляется вплоть до подтверждения возможности реализации одного или нескольких недопустимых событий — или же пока исполнитель оценки не исчерпает все возможные методы атаки.

Анализ безопасности моделей ИИ

В Минсельхозе также рассчитывают, что потенциальный исполнитель работ сможет провести оценку достаточности мер, исключающих несанкционированное воздействие на ИИ-модели, «несанкционированную модификацию информации и её распространение, а также использование информационных систем с ИИ не по назначению».

Так, при взаимодействии в формате строго заданных шаблонов запросов и ответов должны быть определены шаблоны запросов и ответов, при этом должен быть установлен контроль соответствия запросов их шаблонам. А при взаимодействии в свободной текстовой форме нужно определить допустимые тематики запросов и форматы ответов модели ИИ.

Ранее SecPost детально разобрал техническое задание Росреестра на проведение киберучений.