С 1 марта 2026 года требования к контролю подрядчиков стали обязательной частью политики защиты информации. Согласно статистике, атаки на цепочку поставок составляют порядка 30% всех инцидентов. При этом даже если инцидент произошел по вине подрядной организации, первичную ответственность перед регулятором (включая штрафы за утечку ПДн от 3 до 5 млн рублей) несет заказчик.
В эфире эксперты рассказали, как выстроить безопасное взаимодействие с подрядчиками и избежать штрафов.
Смотреть запись
😄 ВК | 🥰 RuTube |😉 YouTube
📌 Тезисы эфира
Как переложить риски на подрядчика
Чтобы иметь возможность взыскать ущерб, необходимо прописать в договоре три условия. Во-первых, включить статью 406.1 Гражданского кодекса. Во-вторых, четко описать события и инциденты, наступающие по вине подрядчика. В-третьих, обеспечить возможность доказать, что инцидент произошел именно по вине третьей стороны. Право на аудит и обязательство уведомлять об инцидентах (в течение 3 часов) работают как «DLP»: даже неиспользуемое право отсеивает недобросовестных исполнителей на этапе выбора.
Правило «золотой середины» в требованиях
Заказчикам не следует требовать от подрядчика аттестации по высокому классу, если это небольшой локальный проект. Такой подход резко удорожает контракт и сужает круг потенциальных исполнителей. Лучше сконцентрироваться на конкретных мерах: регламентировать удаленный доступ (через сертифицированные СЗИ), контролируемую зону доступа и мониторинг действий, а не требовать от подрядчика полной аттестации всей его инфраструктуры.
Три маркера опасного подрядчика
При сборе коммерческих предложений стоит обращать внимание на поведение. Первый маркер — навязывание своих инструментов удаленного доступа. Второй и самый критичный — просьба использовать одну учетную запись на всю команду. Это лишает возможности идентифицировать конкретного виновного. Третий маркер — отказ предоставлять логи и артефакты о проделанной работе или отсутствии инцидентов.
Что важно для подрядчиков
Для соответствия требованиям заказчиков подрядчикам необходимо внедрить базовые процессы. Это назначение ответственного за ИБ, обеспечение прозрачности и готовности предоставлять информацию по запросу, а также использование технологической защиты (минимум — антивирусы и EDR-агенты). Критическим риском для подрядчика является попадание в реестр недобросовестных поставщиков по 44-ФЗ или 223-ФЗ, что для лицензируемой деятельности фактически означает закрытие бизнеса.
Мы оперативно публикуем в группе ВК записи всех эфиров Код ИБ. Подписывайтесь, чтобы не пропустить новые видео!
Мы в MAX | Мы в ВК