Украинская IT-отрасль пережила за последние годы много: релокацию команд, отключение света, работу из укрытий. Иностранные клиенты это видели, и вместе с уважением к стойкости украинских команд у них возросло внимание к тому, как поставщик защищает данные и сможет ли работать при любых обстоятельствах. На практике это означает, что анкет с безопасностью стало больше, а вопросы в них стали конкретнее.
Что спрашивают чаще всего
Если убрать формулировки, которые отличаются от клиента к клиенту, большинство анкет крутится вокруг одних и тех же тем. Кто имеет доступ к системам клиента и как этот доступ забирают после увольнения. Где физически хранятся данные и кто еще к ним имеет доступ. Есть ли план непрерывности, если офис или город останутся без электричества или связи. Как компания узнает о инциденте и за сколько часов уведомит клиента. Проверяются ли субподрядчики.
Отдельный блок вопросов всегда про документы: есть ли политика информационной безопасности, проводится ли обучение сотрудников, был ли независимый аудит.
Почему анкета без системы не работает
Первые несколько анкет обычно заполняет технический директор, вечерами, с памяти. На пятой становится понятно, что ответы в разных анкетах немного расходятся, а на просьбу «направьте, пожалуйста, подтверждение» показать нечего. Именно в этот момент компании начинают думать о системе управления информационной безопасностью и о независимой проверке, которая закрывает большую часть вопросов одним документом.
Для клиентов из Европы таким документом чаще всего является сертификат ISO/IEC 27001, для клиентов из США отчет SOC 2. Оба требуют одного и того же: описанных процессов, назначенных ответственных, регулярной проверки и доказательств, что все это не только на бумаге.
Независимая проверка вместо обещаний
Клиент понимает, что любой поставщик напишет в анкете «да, у нас все настроено». Поэтому большую важность имеют документы от третьей стороны: сертификат, отчет аудитора, результаты тестирования на проникновение. Они не гарантируют, что инцидентов не будет, но показывают, что компания сознательно управляет рисками и ее проверили.
Что стоит сделать заранее
- Собрать одну «справку по безопасности» компании: как устроены доступы, резервные копии, работа во время отключений. Это уже сократит время на каждую следующую анкету.
- Назначить одного человека, который отвечает за безопасность и за ответы клиентам.
- Проверить план работы без света и связи на практике, а не только описать его.
- Определить, какая независимая проверка нужна вашим ключевым клиентам, и заложить ее в план на год.
Украинские команды уже доказали, что умеют работать в любых условиях. Следующий шаг заключается в том, чтобы уметь это показать так, как привыкли видеть иностранные заказчики. Как устроена сертификация ISO 27001 для компаний с клиентами в ЕС и Великобритании, и чем отличается аудит SOC 2 для работы с американскими клиентами, объяснено на сайте BALTUM.
