🔐 ИБ-аутсорсинг: почему передача функций ≠ передача ответственности
Тема аутсорсинга в ИБ часто продаётся как «....с больной головы на здоровую», но на практике превращается в делегирование рисков без контроля. Главный диссонанс в ожиданиях:
🔹 Заказчик ждёт: проактивной защиты и экспертности
🔹 Подрядчик делает: ровно то, что прописано в соглашении
Если в договоре нет регламентов эскалации, прав на аудит и механизмов экстренного вмешательства — при инциденте вы останетесь с «отчётностью», а не с решением. Мы с вами все помним: ответвенность в ИБ по общему правилу в законодательстве РФ не делегируется (!) Ответственность перед ФСБ, ФСТЭК остаётся на субъекте КИИ.
Аутсорсинг ИБ — это не снятие ответственности, а делегирование полномочий с обязательным документальным подтверждением контроля.
Делюсь структурированным подходом, как выстраивать работу с подрядчиками, чтобы не стать заложником контракта — особенно если есть объекты КИИ. ✅ Чек-лист управляемого аутсорсинга (по фазам):
🔹 Предконтракт: RFI/RFP (об этом чуть позже и поподробнее расскажу), бенчмаркинг, проверка разрешений и лицензий, соответствие ГОСТ Р ИСО/МЭК 27036.
🔹 Контракт: SLA + SOW, NDA, чёткие KPI/KRI, право на независимый аудит, условие одностороннего расторжения
🔹 Операционная деятельность: интеграция процессов, логирование доступа, совместный регламент инцидентов, мониторинг выполнения SLA
🔹 Завершение/переход: план преемственности, выгрузка всех артефактов и логов, фиксация результатов аудита
🎯 Ну, и напоследок, «неудобные» вопросы аутсорсеру, которые сэкономят ваши нервы и (деньги, конечно😁). Не стесняйтесь задавать их до подписания договора:
1️⃣ «Чьи логи, дампы и артефакты атак по договору — вам или нам?»
2️⃣ «Изолируете ли вы сервер без моего разрешения при активной компрометации?»
3️⃣ «Используете ли наши данные (в т.ч. анонимизированные) для обучения ваших ИИ/продуктов?»
4️⃣ «Кто в приоритете, если у вас одновременно сработает 10 инцидентов у клиентов?»
5️⃣ «Предоставите ли регулятору отчёт о нарушении, даже если я попрошу этого не делать?»
💡 Резюме: ИБ-аутсорсинг работает только по принципу «доверие с доказательствами». Без встроенных механизмов контроля, аудита и чёткого распределения зон ответственности вы получаете дополнительные неуправляемые риски.
#КИИ #ИБ #аутсорсинг #187ФЗ #SLA #управлениерисками #консалтинг