Оценка рисков поставщиков и подрядчиков: что проверять и как

Удалённый доступ подрядчика к серверам, облачный сервис с вашими данными, бухгалтерия на аутсорсе с доступом к персональным данным сотрудников — риск в таких случаях возникает не в вашей инфраструктуре, а в чужой, и повлиять на неё напрямую нельзя. Единственный рычаг — оценить риск до подключения поставщика и зафиксировать требования в договоре. Ниже практический порядок для компании, у которой нет отдельной службы оценки контрагентов.

Статья опирается на логику направления «Риск-ориентированный подход» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Шаг 1. Определите уровень доступа поставщика

Глубина проверки должна соответствовать риску, а не быть одинаковой для всех. Разделите поставщиков хотя бы на три группы:

Шаг 2. Анкета для самооценки

Для поставщиков с доступом к данным или критичным системам попросите заполнить короткую анкету перед подключением:

1. Где физически и в какой юрисдикции хранятся и обрабатываются наши данные?
2. Кто из сотрудников поставщика имеет доступ к нашим данным и как ограничен этот доступ?
3. Шифруются ли данные при хранении и передаче?
4. Есть ли у поставщика процесс реагирования на инциденты и обязательство уведомить нас при утечке? В какой срок?
5. Делаются ли резервные копии и когда последний раз проверялось восстановление?
6. Привлекает ли поставщик субподрядчиков с доступом к нашим данным?
7. Есть ли у поставщика сертификация или независимый аудит безопасности (если применимо к размеру компании)?

Цель анкеты не «поставить галочку», а получить письменные ответы, на которые можно сослаться при инциденте. Небольшой поставщик может честно ответить «нет» на часть пунктов — это тоже результат оценки, который влияет на решение о сотрудничестве и на объём компенсирующих мер с вашей стороны.

Шаг 3. Что проверить своими силами

• Публичный периметр поставщика: если он предоставляет онлайн-сервис, посмотрите заголовки безопасности, наличие HTTPS, не выключена ли защита от перебора на странице входа — это не замена аудиту, но быстрый сигнал общей культуры.
• Открытые источники: упоминания об утечках или инцидентах у поставщика в новостях и базах утечек.
• Репутацию и отзывы других клиентов по теме надёжности и безопасности, не только по качеству основной услуги.
• Соответствие размера проверки размеру риска: для небольшого локального сервиса достаточно анкеты и пунктов договора, для поставщика с полным доступом к базе клиентов — запросите отчёт о последнем аудите или пентесте, если он проводился.

Шаг 4. Пункты договора

Анкета фиксирует состояние на момент подключения, а договор — обязательства на весь срок сотрудничества:

• Обязательство уведомить об инциденте, затрагивающем ваши данные, в конкретный срок (а не «незамедлительно» без цифры).
• Право на аудит или хотя бы на получение отчёта о проверках безопасности поставщика по запросу.
• Условия обработки персональных данных, если они передаются поставщику: роль оператора/обработчика, цели и сроки обработки, условия привлечения субподрядчиков — в соответствии с внутренним порядком компании по ПДн: самопроверка по ПДн.
• Порядок и срок возврата или гарантированного удаления данных при завершении договора.
• Ограничение на передачу данных третьим лицам без согласия.

Шаг 5. Периодический пересмотр

Оценка на входе устаревает: у поставщика меняется инфраструктура, состав субподрядчиков, происходят инциденты. Для поставщиков с доступом к критичным данным повторяйте короткую проверку не реже раза в год — обновлённая анкета и быстрый взгляд на новости об инцидентах. Ведите список поставщиков с уровнем доступа и датой последней проверки в одном месте, иначе через год никто не вспомнит, что проверку нужно повторить.

Если у поставщика случился инцидент

Реагируйте так же, как на собственный инцидент, затрагивающий те же данные: оцените, какие ваши данные могли быть скомпрометированы, нужно ли уведомлять субъектов персональных данных или регулятора (обращение Роскомнадзора описывает похожий процесс со стороны получателя запроса), и временно ограничьте доступ поставщика, если это возможно без остановки нужного вам сервиса.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Риск-ориентированный подход» (материалы направления, карта зрелости). Уровень 2 требует, чтобы риски оценивались не только внутри компании, но и там, где данные выходят за её периметр: найденные риски поставщиков заносятся в общий реестр рисков на тех же основаниях, что и внутренние.

Как проверить

1. Поставщики разделены по уровню доступа к данным и системам, глубина проверки соответствует уровню.
2. Для поставщиков с доступом к критичным данным есть заполненная анкета и подписанный договор с пунктами про ИБ и ПДн.
3. Ведётся список поставщиков с датой последней и следующей проверки.
4. Есть контакт поставщика на случай инцидента и обязательство уведомления в договоре.
5. Риски, найденные при оценке поставщика, занесены в общий реестр рисков с владельцем.

Источники

• Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
• 152-ФЗ «О персональных данных» в части требований к обработчикам персональных данных: pravo.gov.ru.