Контроль ИБ подрядчиков и внешних сервисов
Как проверять поставщиков и интеграторов: доступы, обработка данных, договорные обязательства и отключение.
Даже небольшой сайт зависит от хостинга, облачной почты, CRM, агентства поддержки и платёжных сервисов. Каждый подрядчик может получить доступ к данным или инфраструктуре и продолжить хранить его после завершения договора. Простой реестр поставщиков и правила доступа снижают риск необнаруженных зависимостей.
01. Инвентаризируйте внешний контур
Этап проверки: инвентаризируйте внешний контур.
- Перечислите SaaS, хостеров, разработчиков, техподдержку, интеграторов и организации с доступом к резервным копиям.
- Для каждой связи запишите доступные данные, инфраструктуру, владельца договора и зависимые процессы.
- Отделите критичных поставщиков от сервисов, остановка которых не влияет на ключевые операции.
- Результат: команда видит действующих партнёров и связанную с ними поверхность риска.
02. Сформулируйте требования до договора
Этап проверки: сформулируйте требования до договора.
- Для значимых поставщиков уточните регион хранения, субподрядчиков, механизм контроля доступа и порядок реакции на инциденты.
- Согласуйте каналы эскалации, доступность резервных данных, ответственность за обновления и уведомления о нарушениях.
- Запросите релевантные свидетельства процесса защиты, проверяя область их действия и актуальность.
- Результат: критерии поставщика сформулированы до передачи доступа.
03. Предоставляйте минимальные полномочия
Этап проверки: предоставляйте минимальные полномочия.
- Используйте индивидуальные учётные записи с MFA, сроком действия и ограничениями по необходимым средам.
- Откажитесь от общих административных логинов в пользу воспроизводимых заявок и аудита изменений.
- Разделяйте доступ к production, тестовым данным, репозиториям и финансовой информации.
- Результат: подрядчик получает ровно тот объём прав, который необходим для задачи.
04. Контролируйте выполнение работ
Этап проверки: контролируйте выполнение работ.
- Сохраняйте запись о создании и отзыве привилегированных доступов, ключах интеграции и проведённых обновлениях.
- Для изменений на живом сайте требуйте проверяемую исходную версию, критерий успеха и способ отката.
- Проверяйте существенные уведомления поставщика о сбоях, утечках и прекращении поддержки используемых функций.
- Результат: отклонения обнаруживаются в ходе сотрудничества, а не после его завершения.
05. Планируйте выход из сервиса
Этап проверки: планируйте выход из сервиса.
- Уточните возможность выгрузить данные в читаемом формате и мигрировать настройку без длительного простоя.
- Проверьте право удалить копии данных у подрядчика и срок прекращения хранения согласно согласованным условиям.
- Заранее опишите порядок смены ключей, DNS, вебхуков и административных аккаунтов после расторжения.
- Результат: бизнес не привязан технически к одному исполнителю сверх необходимого.
06. Пересматривайте риски по событиям
Этап проверки: пересматривайте риски по событиям.
- Проводите повторную оценку при новом доступе, изменении владельца поставщика или крупном инциденте.
- Контролируйте исключения и просроченные допуски, сохраняя их в отдельном реестре ответственных лиц.
- Документируйте решения о продлении отношений с учётом качества фактической поддержки и соблюдения условий.
- Результат: контроль цепочки поставщиков остаётся действующим процессом.
Редакционный материал, октябрь 2026 года. Проверяйте применимость методов к вашей конфигурации и действующим требованиям.