Бизнес делегирует функции защиты информации сторонним провайдерам (MSSP) для оптимизации расходов. Стандартные договоры на обслуживание фиксируют только доступность систем (Uptime). Такой подход оставляет качественные показатели киберзащиты в «серой зоне». Для реального контроля над подрядчиком компании используют соглашение об уровне сервиса SLA безопасность в котором получает измеримые параметры.
Формальный подход к договору превращает ИБ-аутсорсинг в покупку скрытых рисков. Грамотный SLA переводит безопасность из категории абстрактных обещаний в плоскость жестких цифр и финансовой ответственности.
Зачем внедрять метрики безопасности в договор
SLA закрепляет юридические обязательства сторон и устанавливает правила игры. Без прописанных нормативов заказчик не докажет вину исполнителя при взломе или утечке данных. Документ защищает интересы бизнеса через прозрачную систему оценки качества услуг. Ви Эф Эс Консалтинг разрабатывает такие контракты для фиксации конкретных временных интервалов реакции на угрозы.
Ключевые метрики защиты информации
Эффективное соглашение оперирует точными данными. Юристы и технические специалисты выделяют четыре базовых параметра для контроля MSSP-провайдера или облачного сервиса:
- Time to Detect (TTD): период с момента начала атаки до фиксации инцидента системой мониторинга SOC.
- Time to Notify (TTN): время на уведомление ответственных лиц заказчика о критической угрозе. Для инцидентов высокого уровня критичности этот срок составляет 15 минут.
- Time to Resolve (TTR): предельный срок локализации атаки и полного восстановления штатной работы систем.
- Recovery Point Objective (RPO): максимально допустимый объем потери данных, который определяет частоту создания резервных копий.
Нарушение этих сроков запускает механизм начисления штрафных баллов. Сервис-кредиты конвертируются в прямые скидки на услуги или денежные компенсации в следующем расчетном периоде.
Матрица ответственности RACI
Споры между заказчиком и исполнителем часто возникают из-за неопределенности ролей. В тексте SLA необходимо закрепить матрицу ответственности. Стороны должны четко понимать, кто отвечает за установку обновлений (патч-менеджмент), кто настраивает правила фаерволов, а кто контролирует учетные записи сотрудников.
Если взлом произошел из-за уязвимости, патч для которой провайдер не установил вовремя, ответственность несет исполнитель. Если причиной стала кража пароля у сотрудника клиента при отсутствии требования двухфакторной аутентификации, виноват заказчик. Четкое распределение ролей исключает манипуляции при разборе инцидентов.
Финансовые гарантии и штрафные санкции
Без ощутимых санкций SLA безопасность теряет юридический смысл. Рекомендуем использовать прогрессивную шкалу штрафов для стимулирования провайдера:
- Единичное нарушение регламентного времени: штраф от 1% до 5% от ежемесячного платежа.
- Систематические сбои (три и более случая в месяц): повышенный коэффициент штрафа до 25%.
- Критический инцидент с потерей данных по вине провайдера: полное возмещение ущерба и расторжение договора без выплат со стороны заказчика.
Такая система заставляет MSSP-провайдера инвестировать в собственные кадры и технологии защиты, чтобы избегать убытков.
Подписание SLA не снимает с компании статус оператора персональных данных перед Роскомнадзором. Однако наличие договора позволяет переложить финансовое бремя штрафов регуляторов на подрядчика через процедуру регресса.
Прозрачность и право на аудит
Доверие к провайдеру должно подтверждаться фактами. Включите в соглашение пункт о праве на независимый аудит инфраструктуры исполнителя. Провайдер обязан предоставлять доступ к лог-файлам и записям действий администраторов по первому требованию. Отсутствие прозрачности в отчетах сигнализирует о попытках скрыть проблемы в архитектуре защиты.
Особенности работы с облачными провайдерами
При использовании SaaS или IaaS возможностей для изменения условий меньше. Публичные оферты гигантов рынка обычно защищают интересы провайдера. Для крупных клиентов Ви Эф Эс Консалтинг добивается индивидуальных условий. Мы фиксируем суверенитет данных на территории РФ в соответствии с 152-ФЗ и прописываем приоритетную поддержку во время DDoS-атак.
Детализированный SLA — это инструмент зрелого бизнеса. Он переводит взаимодействие с IT-партнерами на язык денег и обязательств. Юридически грамотный контракт обеспечивает непрерывность бизнес-процессов и защищает репутацию компании на рынке.