Откуда берутся требования и зачем они нужны
Крупный заказчик или банк передаёт поставщику свои данные: заказы, реквизиты, переписку. Если у поставщика слабая защита, риск возникает у обоих. Поэтому перед началом работы или при продлении договора присылают анкету по безопасности или включают в договор отдельные условия. Для небольшой белорусской компании такие бумаги часто выглядят пугающе, хотя за ними стоит набор вполне практичных вопросов.
Основные термины и что они означают
| Термин | Простыми словами | Как подтверждается |
|---|---|---|
| Политика информационной безопасности | Документ с правилами защиты данных в компании | Утверждённый текст и ознакомление сотрудников |
| Разграничение доступа | Каждый видит только то, что нужно по должности | Список ролей и прав |
| Журнал действий | Запись того, кто и когда работал с данными | Выгрузка журнала |
| Резервное копирование | Копии данных на случай сбоя | Описание порядка и проверка восстановления |
| Конфиденциальность | Обязательство не раскрывать полученные сведения | Соглашение и пункты договора |
| Субподрядчик | Третья сторона, получающая часть данных | Перечень и условия договоров с ними |
Как отвечать на вопросы анкеты
Главное правило — отвечать по факту. Если резервное копирование делается не каждый день, так и напишите, указав реальный порядок. Преувеличение вскроется при проверке и подорвёт доверие. Разумно заранее подготовить базовый набор ответов и документов, чтобы не собирать их заново для каждого заказчика:
- описание того, какие данные заказчика вы получаете и где они хранятся
- перечень сотрудников и ролей, имеющих к ним доступ
- порядок резервного копирования и восстановления
- порядок реагирования на инциденты и сообщения о них заказчику
- список внешних сервисов, куда данные могут передаваться
Какую роль играют ИИ-инструменты в таких проверках
Если в работе с данными заказчика используются нейросети, анкета, скорее всего, спросит об этом прямо. Понадобится ответ: где обрабатываются данные, какая модель применяется, кто имеет доступ, сохраняются ли запросы. Платформа Coagent ставится на сервер компании, права агента задаются обычными словами, а нейросеть выбирается под задачу: свои ключи, модели платформы или собственные модели на сервере. При внешней модели часть данных обрабатывается за пределами сервера, и об этом нужно писать в анкете честно.
Как подготовиться заранее
Хороший способ снять нервозность перед проверкой — собрать единую папку: политика безопасности, список ролей и доступов, описание резервного копирования, шаблон ответа на типовые вопросы. Когда приходит анкета, остаётся сверить актуальность и дополнить ответ. Для белорусских заказчиков полезно упомянуть, как выстроена обработка персональных данных по Закону № 99-З, но без обещаний полного соответствия.
Обязательно ли иметь отдельную службу безопасности?
Не всегда. Для небольшой компании достаточно назначить ответственного, описать правила и подтверждать их на практике. Требования зависят от заказчика и отрасли.
Что делать, если заказчик просит больше, чем у нас есть?
Честно описать текущее состояние и договориться о плане доработки. Многие заказчики готовы принять поэтапный подход, если видят понятные шаги и ответственного.
Нужно ли показывать заказчику журнал действий?
Это зависит от договора. Обычно достаточно подтвердить, что журнал ведётся, и по запросу предоставить выдержку по конкретному эпизоду.
Соберите в одну папку документы по безопасности, чтобы отвечать на анкеты быстрее.