Информационная безопасность на IT-аутсорсинге
Передача IT-инфраструктуры на аутсорсинг вызывает у руководителей закономерный вопрос: «А безопасно ли это? Не утекут ли данные?» Беспокойство оправданное, но решаемое. Безопасность — это не причина отказаться от аутсорсинга, а задача, которую нужно правильно организовать.
В этой статье — как обеспечить информационную безопасность при передаче IT на аутсорсинг. Если хотите работать с подрядчиком, который уделяет этому первостепенное внимание — обращайтесь.
Риски аутсорсинга
Основные риски информационной безопасности при передаче IT на аутсорсинг:
- Утечка данных: конфиденциальная информация может попасть к третьим лицам;
- Несанкционированный доступ: подрядчик может получить больше прав, чем нужно;
- Слабая защита у подрядчика: если у подрядчика плохая безопасность — рискует и клиент;
- Человеческий фактор: ошибки сотрудников подрядчика могут привести к инциденту;
- Зависимость от подрядчика: если подрядчик уходит — нужно восстановить доступ и документацию;
- Несоблюдение 152-ФЗ: подрядчик может нарушить требования по персональным данным.
Меры защиты
Чтобы минимизировать риски, применяют комплекс мер:
Юридические меры
- NDA (соглашение о неразглашении): подписывается с подрядчиком;
- Положение об обработке персональных данных: часть договора;
- Чёткое описание объёма услуг: что можно, что нельзя;
- Ответственность за инциденты: прописана в договоре.
Организационные меры
- Ограничение доступа: подрядчик получает только те права, которые нужны;
- Персональные учётные записи: у каждого специалиста — свой доступ;
- Двухфакторная аутентификация: для доступа к критичным системам;
- Регламенты работы: как подрядчик обращается с данными;
- Обучение специалистов подрядчика: по вашим требованиям безопасности.
Технические меры
- VPN: весь трафик подрядчика к вашей инфраструктуре — через VPN;
- Шифрование: данных при передаче и в покое;
- Разграничение прав: ролевая модель доступа;
- Логирование: все действия фиксируются в журналах;
- Мониторинг: отслеживание подозрительной активности;
- SIEM-системы: для анализа событий безопасности.
Что должно быть в договоре
Договор с IT-подрядчиком должен защищать ваши интересы. Что важно включить:
- NDA: соглашение о неразглашении с конкретными сроками и штрафами;
- Описание услуг: что именно подрядчик делает и в каком объёме;
- Права доступа: к каким системам, с какими правами;
- Обязанности по безопасности: что подрядчик делает для защиты данных;
- Порядок реагирования на инциденты: как и в какие сроки уведомлять;
- Ответственность за утечки: что подрядчик компенсирует;
- Возврат доступов и документов: при расторжении договора;
- Право на аудит: возможность проверить работу подрядчика;
- Соответствие 152-ФЗ: обязательство соблюдать закон о персональных данных.
Управление доступом
Доступ — ключевой элемент безопасности. Что важно организовать:
Принципы
- Минимальные привилегии: подрядчик получает только те права, которые нужны для работы;
- Персональные учётки: у каждого специалиста подрядчика — свой логин, а не общий;
- Разделение обязанностей: один специалист не может сделать всё — нужны разные уровни доступа;
- Временный доступ: если нужен временный доступ — он автоматически закрывается после выполнения задачи;
- Регулярный аудит: раз в квартал проверяйте, кто имеет доступ и нужен ли он ещё.
Инструменты
- PAM (Privileged Access Management): управление привилегированными доступами;
- SSO (Single Sign-On): единый вход с единой политикой;
- MFA (многофакторная аутентификация): для критичных систем;
- VPN с MFA: доступ только через защищённый канал;
- Журналирование: все действия с привилегированными доступами фиксируются.
Мониторинг и аудит
Даже с подписанным NDA и ограниченным доступом нужно постоянно контролировать работу подрядчика:
- Логи доступа: кто, когда, к чему получал доступ;
- Логи действий: что делал подрядчик в системах;
- Мониторинг аномалий: необычные попытки доступа, выгрузки данных;
- Аудит безопасности: раз в год проводите независимый аудит;
- Пентест: имитация атак для проверки устойчивости;
- Отчёты подрядчика: ежемесячно — о действиях и инцидентах.
💡 Важно
Хороший подрядчик сам предложит прозрачную систему логирования и отчётов. Если подрядчик избегает аудита или не готов предоставлять логи — это тревожный сигнал.
Соответствие 152-ФЗ
152-ФЗ — федеральный закон о персональных данных. Если вы обрабатываете данные клиентов или сотрудников, вы обязаны соблюдать его требования. Что это значит при работе с аутсорсером:
- Обработка в РФ: данные должны храниться и обрабатываться на территории России;
- Согласие субъектов: подрядчик должен соблюдать правила получения согласий;
- Защита данных: шифрование, разграничение доступа, аудит;
- Уведомление Роскомнадзора: если обработка данных ведётся подрядчиком — это фиксируется в уведомлении;
- Договор поручения: с подрядчиком заключается договор поручения на обработку персональных данных;
- Ответственность: за нарушения — штрафы, вплоть до уголовной ответственности.
Наши рекомендации
Как мы обеспечиваем безопасность
- NDA: подписываем соглашение о неразглашении;
- Ограниченный доступ: только нужные специалисты с нужными правами;
- VPN и MFA: весь доступ — через защищённые каналы;
- Логирование: все действия специалистов фиксируются;
- 152-ФЗ: соблюдаем требования закона о персональных данных;
- Возврат доступов: при расторжении договора все доступы немедленно отзываются.
📌 Итоговый вывод
Безопасность при аутсорсинге — это не причина отказаться, а задача, которую нужно правильно организовать.
Что нужно знать:
- Риски: утечка данных, несанкционированный доступ, слабая защита, человеческий фактор;
- Меры: юридические (NDA, договор), организационные (ограничение доступа), технические (VPN, шифрование);
- В договоре: NDA, описание услуг, права доступа, ответственность за инциденты;
- Управление доступом: минимальные привилегии, персональные учётки, регулярный аудит;
- Контроль: логи, аудит, пентест, отчёты подрядчика;
- 152-ФЗ: обработка данных в РФ, договор поручения, ответственность.
Также рекомендуем: что такое IT-аутсорсинг, аутсорсинг или штат, SLA, стоимость, все статьи об IT-аутсорсинге.