Как проверить поставщика перед договором

Почти у каждой небольшой компании есть поставщик, который знает о ней больше, чем хотелось бы: бухгалтерия в облаке, подрядчик по сайту, сервис рассылок, курьерская служба с адресами. Все они касаются данных, и ни один не обязан защищать их так же тщательно, как вы, — если это не записано в договоре и не проверено заранее.

Оценка рисков поставщиков кажется бюрократией ровно до первого инцидента. Потом выясняется, что доступ к общей папке остался у подрядчика, ушедшего год назад, а «сертификат» из презентации относится к другой компании группы. Опросник нужен, чтобы задать неудобные вопросы до подписания. Ниже — как его устроить и как читать ответы, чтобы документ не стал формальностью.

Почему поставщик стал частью периметра

Атака через подрядчика дешевле прямой: не нужно взламывать вашу защиту — достаточно доступа к компании, у которой есть доступ к вам. Так работали громкие истории последних лет — от SolarWinds до MOVEit.

По данным Verizon DBIR 2025, доля утечек через третьи стороны выросла с 15% до 30% за год. SecurityScorecard оценивает, что 71% организаций за год столкнулись хотя бы с одним значимым инцидентом у поставщика, а IBM в отчёте Cost of a Data Breach 2025 называет средний ущерб от утечки через цепочку поставок в 4,9 млн долларов — в 17 раз дороже прямой атаки.

Для малого бизнеса вывод простой: поставщиков немного, проверить их реально.

С чего начать: разделить поставщиков по уровням

Одинаково глубоко проверять всех бессмысленно: у поставщика канцелярии и у провайдера, который хранит резервные копии, разные риски. Поэтому сначала составляют реестр и присваивают уровень.

Уровень	Признаки	Что запрашивать
Критичный	Доступ к персональным данным, платежам или инфраструктуре	Полный опросник, ежегодная проверка, отчёты и сертификаты
Средний	Ограниченный доступ, интеграция с внутренними системами	Сокращённый опросник на 15–25 вопросов, пересмотр раз в 18 месяцев
Низкий	Данных не касается, заменяется без потерь	10–15 вопросов, пересмотр раз в два года

Реестр удобно вести в таблице: услуга, какие данные видит поставщик, кто отвечает за отношения, дата проверки, ссылка на документы. Та же таблица пригодится при аудите по ISO 27001.

Что спрашивать: восемь блоков

Полный опросник для критичного поставщика — это 40–60 формулировок по восьми темам, по две-три на каждую.

Компания и объём услуги. Кто именно оказывает услугу, какие данные получит, привлекает ли субподрядчиков и каких.
Управление безопасностью. Есть ли политика, кто за неё отвечает, когда её пересматривали, какие сертификаты и отчёты подтверждают практику.
Защита данных. Шифрование при передаче и хранении, где физически лежат данные, есть ли соглашение об обработке, как удаляются данные после расторжения.
Доступы. MFA для администраторов и удалённого доступа, принцип минимальных прав, регулярный пересмотр прав, порядок отзыва при увольнении.
Инциденты. Есть ли план реагирования, когда его проверяли в последний раз, в какой срок поставщик обязуется сообщить о происшествии.
Непрерывность. Резервные копии, их проверка, целевое время восстановления, география хранения.
Уязвимости. Частота сканирования, сроки установки обновлений, проводится ли внешний тест на проникновение.
Соответствие требованиям. Какие регуляторные режимы применяются, были ли штрафы и предписания за последние три года.

Доступы и данные

Этот блок чаще всего вскрывает проблему. Вопрос «кто имеет доступ к нашим данным и как вы это проверяете» показывает разрыв между политикой и практикой: в ответе написано «только по заявке», а учётные записи подрядчиков живут годами. Просите конкретику: сколько администраторов имеют доступ к вашему арендатору, включён ли второй фактор, сколько хранятся журналы. Ответ «у нас всё безопасно» без цифр — это отсутствие ответа.

Непрерывность и инциденты

Этот блок — про простои: за какое время поставщик обязуется восстановить сервис и на какую глубину откатить данные. «Копии делаем ежедневно» без проверки восстановления ничего не стоит — копия, из которой ни разу не разворачивали систему, это надежда, а не гарантия. Отдельно договариваются об уведомлении в часах, а не «в разумный срок»: вам нужно успеть выполнить свои обязательства перед регулятором.

Как читать ответы: доказательства вместо «да»

Анкета, в которой все ответы «да», говорит не о зрелости поставщика, а о том, кто её заполнял. Для критичных поставщиков ответы подкрепляют документами:

отчёт SOC 2 Type II за период не меньше полугода — он показывает, что контроли работали, а не только были описаны;
сертификат ISO 27001 с областью действия: важно, чтобы в области были именно те услуги, которые вы покупаете;
краткое резюме последнего внешнего теста на проникновение с датой и описанием устранённых замечаний;
план непрерывности и восстановления с результатами последней проверки;
полис страхования киберрисков, если сумма покрытия для вас существенна.

Разница между SOC 2 Type I и Type II не формальна: первый фиксирует проектирование контролей на дату, второй подтверждает, что они работали месяцами. Читать стоит построчно — раздел с исключениями часто важнее списка выполненных требований.

Шкала оценки

Чтобы решения не зависели от настроения, ответы переводят в баллы по каждой теме и выводят средний результат.

Ответ и подтверждение	Балл	Что означает
Требование выполнено, есть документы	1	Риск низкий, достаточно планового контроля
Выполнено частично, есть план устранения	2	Риск средний, нужен график и проверка через полгода
Не выполнено, плана нет	3	Риск высокий, вопрос выносится на руководителя
Отказ отвечать или нет данных	4	Оценить невозможно, ищите альтернативу

Ниже 1,6 — обычное наблюдение; 1,6–2,1 — усиленный контроль и фиксация сроков; выше 2,1 — доработка условий договора и компенсирующие меры либо другой поставщик. Компенсирующая мера — например, работа только с обезличенными выгрузками вместо полного доступа.

Ошибки, из-за которых опросник превращается в формальность

Проверка только при подключении. Поставщики меняют субподрядчиков и позволяют сертификатам истекать: без повторной оценки документ устаревает за год.
Вера самооценке. Отметка «MFA включена» ничего не доказывает: нужны конфигурация или отчёт.
Игнорирование субподрядчиков. Риск приходит не только от прямого контрагента: сбой у его хостинг-провайдера — ваш сбой.
Опросник без владельца. Если непонятно, кто хранит ответы и обновляет реестр, через полгода никто не найдёт ни документов, ни оценок.

Что перенести в договор

Анкета — вход, договор — выход. Закрепить стоит пять вещей: перечень обрабатываемых данных и цель обработки, срок уведомления об инциденте (для критичных поставщиков — 24–72 часа), право на запрос отчёта или аудит, удаление данных после расторжения и привлечение субподрядчиков только с вашего согласия.

Для персональных данных добавьте соглашение об обработке: в GDPR это статья 28, в российской практике — требования 152-ФЗ. Сам договор согласуйте с юристом: безопасность обычно выпадает из стандартных формулировок.

Как часто пересматривать

Критичных поставщиков пересматривают ежегодно, средних — раз в полтора года, низких — раз в два года. Внепланово — после инцидента или смены субподрядчика.

Что делать с отказами

Отказ заполнять анкету сам по себе сигнал. Прежде чем искать замену, предложите альтернативу: свежий SOC 2 Type II, сертификат ISO 27001 с нужной областью или типовую отраслевую анкету. Если и это невозможно, зафиксируйте риск письменно, ограничьте объём данных и добавьте компенсирующий контроль.

Итог

Оценка рисков поставщиков начинается не с сорока вопросов, а с реестра и трёх уровней. Дальше — последовательность: анкета до подписания, доказательства вместо «да», баллы вместо впечатлений, условия в договоре и календарь повторных проверок. Это несколько дней работы в году.

Если нужно собрать реестр поставщиков, адаптировать анкету под вашу отрасль или проверить уже подписанные договоры, обсудить с командой можно без обязательств.

Частые вопросы

Сколько вопросов должно быть в анкете? Столько, сколько нужно для решения. Для критичного — 40–60, для среднего — 15–25, для низкого хватит десятка. Ошибка не в длине, а в одинаковом подходе ко всем.

Можно ли обойтись без SOC 2 и ISO 27001? Можно, если поставщик небольшой: тогда смотрят на практику — второй фактор, резервные копии, состав доступов. Для критичных поставщиков отсутствие отчётов компенсируют условиями договора.

Что делать, если поставщик отказывается отвечать? Зафиксировать отказ, ограничить объём передаваемых данных и усилить контроль. Если услуга критична и заменить её нечем, решение принимает руководитель — но письменно и с пониманием остаточного риска.

Нужна ли отдельная анкета для облачного сервиса? Да, но короче: у крупных провайдеров есть публичные отчёты, поэтому вопросы смещаются к конфигурации — кто администратор и что попадает в журналы.

Кто заполняет анкету — поставщик или мы? Заполняет поставщик, но вопросы формулируете вы: стандартная анкета из интернета даёт общие ответы. Свои формулировки появляются там, где есть отраслевая специфика, — например, требования к хранению платёжных данных.

Оценка рисков поставщиков: опросник и шаблон для МСП