Українська IT-галузь пережила за останні роки багато: релокацію команд, відключення світла, роботу з укриттів. Іноземні клієнти це бачили, і разом з повагою до стійкості українських команд у них зросла увага до того, як постачальник захищає дані і чи зможе працювати за будь-яких обставин. На практиці це означає, що анкет з безпеки стало більше, а питання в них стали конкретнішими.
Що питають найчастіше
Якщо прибрати формулювання, які відрізняються від клієнта до клієнта, більшість анкет крутиться навколо одних і тих самих тем. Хто має доступ до систем клієнта і як цей доступ забирають після звільнення. Де фізично зберігаються дані і хто ще до них має доступ. Чи є план безперервності, якщо офіс або місто залишаться без електрики чи зв’язку. Як компанія дізнається про інцидент і за скільки годин повідомить клієнта. Чи перевіряються субпідрядники.
Окремий блок питань завжди про документи: чи є політика інформаційної безпеки, чи проводиться навчання працівників, чи був незалежний аудит.
Чому анкета без системи не працює
Перші кілька анкет зазвичай заповнює технічний директор, вечорами, з пам’яті. На п’ятій стає зрозуміло, що відповіді в різних анкетах трохи розходяться, а на прохання «надішліть, будь ласка, підтвердження» показати нічого. Саме в цей момент компанії починають думати про систему управління інформаційною безпекою і про незалежну перевірку, яка закриває більшу частину питань одним документом.
Для клієнтів з Європи таким документом найчастіше є сертифікат ISO/IEC 27001, для клієнтів зі США звіт SOC 2. Обидва вимагають того самого: описаних процесів, призначених відповідальних, регулярної перевірки і доказів, що все це не лише на папері.
Незалежна перевірка замість обіцянок
Клієнт розуміє, що будь-який постачальник напише в анкеті «так, у нас усе налаштовано». Тому велику вагу мають документи від третьої сторони: сертифікат, звіт аудитора, результати тестування на проникнення. Вони не гарантують, що інцидентів не буде, але показують, що компанія свідомо керує ризиками і її перевірили.
Що варто зробити заздалегідь
- Зібрати одну «довідку з безпеки» компанії: як влаштовані доступи, резервні копії, робота під час відключень. Це вже скоротить час на кожну наступну анкету.
- Призначити одну людину, яка відповідає за безпеку і за відповіді клієнтам.
- Перевірити план роботи без світла і зв’язку на практиці, а не лише описати його.
- Визначити, яка незалежна перевірка потрібна вашим ключовим клієнтам, і закласти її в план на рік.
Українські команди вже довели, що вміють працювати в будь-яких умовах. Наступний крок полягає в тому, щоб уміти це показати так, як звикли бачити іноземні замовники. Як влаштована сертифікація ISO 27001 для компаній з клієнтами в ЄС і Великій Британії, і чим відрізняється аудит SOC 2 для роботи з американськими клієнтами, пояснено на сайті BALTUM.
