Как отвечать на анкеты по безопасности и комплаенсу

Четверг, вторая половина дня. Сделка идёт полгода и уже дошла до подписания, когда от службы информационной безопасности заказчика приходит письмо: во вложении таблица на двести четырнадцать строк, срок — пять рабочих дней. Менеджер пересылает файл разработчикам, а те в середине спринта: часть строк отмечают словом «да», часть — как неприменимое, около тридцати остаются пустыми. Через десять дней юристы заказчика находят одиннадцать расхождений между таблицей и проектом договора. Сделка уезжает в следующий квартал, и потеряна тут вовсе не одна инженерная неделя.

Анкета по безопасности и комплаенсу — это способ корпоративного заказчика перенести риск поставщика в собственные записи. Она появляется на последних метрах сделки и задерживает неподготовленные команды на недели. В этом материале по порядку: что анкета на самом деле измеряет, кто должен быть её владельцем, как собрать библиотеку ответов, как разделить вопросы по типам, какие документы готовят заранее, как правильно говорить «нет», почему фразы из анкеты имеют договорный вес, как проходит этот этап команда без сертификатов, где место анкеты в цикле продажи и какие показатели отслеживать.

Что анкета измеряет на самом деле

Первое заблуждение — считать, что анкета измеряет вашу безопасность. Измеряет она в значительной мере другое: способность специалиста по рискам на той стороне письменно защитить вас перед собственным руководством. Его результат — не балл, а короткое заключение на несколько абзацев, и фразы для этого заключения он ждёт от вас. Если заполнять анкету с таким пониманием, ответы становятся короче, точнее и по-настоящему полезнее.

Второе заблуждение — думать, что каждый вопрос читают внимательно. Читают обычно несостыковки: два разных ответа по одной теме, обязательство, заявленное в анкете и отсутствующее в договоре, контроль, о котором технические специалисты говорят «есть», но который не отражён ни в одном документе. Поэтому качество заполненной анкеты измеряется не смелостью ответов, а их согласованностью друг с другом и с вашими документами. Общую логику работы процедурного покупателя мы разбираем в материале о переговорах с отделом закупок.

Кто владеет анкетой

Самая распространённая схема одновременно и самая плохая: анкета приходит в продажи, продажи пересылают её техническим специалистам, те заполняют, когда освободятся. В такой схеме ломается сразу три вещи. Срок становится непредсказуемым, ответы зависят от того, кто был свободен в тот день, и никто не помнит, что писали в прошлый раз. У анкеты должен быть один владелец, и техническим экспертом он быть не обязан — он должен быть владельцем процесса.

Задача владельца — не писать ответы, а собирать их и удерживать согласованность. Технические вопросы уходят инженерам, договорные — тому, кто ведёт соглашения, процессные — профильному подразделению; владелец сводит всё воедино, вычищает противоречия и отдаёт результат из одних рук. Снятие такой работы с зависимости от конкретного человека — один из самых наглядных примеров пользы документирования процессов и SOP.

Библиотека ответов: не писать один и тот же ответ дважды

Ко второй анкете это становится очевидным: большая часть вопросов — те же вопросы первой анкеты, сформулированные другими словами. Как управляются права доступа, где хранятся данные, как часто снимаются резервные копии, кого и в какой срок уведомляют при инциденте. Вместо того чтобы каждый раз писать всё заново, соберите библиотеку ответов по темам и питайте из неё каждую новую анкету.

Три части, которые должен нести любой ответ

У каждого работающего ответа три части. Первая — утверждение: что вы делаете, одной фразой. Вторая — доказательство: какой документ, экран или настройка это подтверждает. Третья — область применения: где этот контроль действует, а где нет. Ответы без указанной области возвращаются чаще всех остальных, потому что проверяющий не может написать собственное заключение, не зная границы, и открывает с вами ещё один круг.

Поддержка библиотеки важна не меньше её создания. У каждого ответа должны быть владелец и дата пересмотра: ответ, к которому не прикасались полгода, может описывать настройку, которую инженеры за это время уже изменили. Самый опасный неверный ответ — не тот, что написан недобросовестно, а тот, что когда-то был верным: его никто не перепроверяет.

Какие бывают типы вопросов и кто на них отвечает

Вместо чтения анкеты строка за строкой разложите вопросы по типам. Один этот шаг обычно сокращает срок вдвое, потому что делает возможной параллельную работу и кладёт перед каждым специалистом только его область. Пять типов покрывают почти всё, с чем вы столкнётесь.

Больше всего такое разделение помогает в разделе о доступах и учётных записях: кто что видит, как выдаются права, когда закрывается доступ уволившегося сотрудника. Чтобы отвечать на это внятно, у вас самих должна быть описанная модель ролей и прав; как построить эту матрицу, мы объясняем в материале об управлении ролями и правами. Когда возникает требование централизованной аутентификации, опорой ответа становится настроенный единый вход (SSO).

Какие документы готовят заранее

Приложения оценивают не менее серьёзно, чем саму анкету, а многие проверяющие открывают именно их первыми. Когда набор ниже готов, написание ответов занимает заметно меньше времени. Когда не готов, каждая анкета превращается в небольшой проект и повторяется одна и та же спешка.

• Набор политик безопасности: по нескольку страниц о паролях, доступах, устройствах и поставщиках, с датой и утверждением; оценивают не объём, а актуальность и то, соблюдаются ли они в действительности.
• Схема архитектуры и потоков данных: одна страница с тем, между какими компонентами перемещаются данные, убеждает гораздо быстрее десяти строк текста.
• Матрица доступов: какая роль к каким данным допущена и за какое время закрывается доступ уволившегося, — вопрос, который не исчезает ни из одной анкеты.
• Список субобработчиков и поставщиков: у кого вы берёте хостинг, рассылку почты и аналитику и где эти сервисы работают, должно быть зафиксировано письменно.
• Запись о резервном копировании и восстановлении: частота, срок хранения и, главное, дата последней реальной проверки восстановления; без этой даты резервная копия — обещание.
• Процедура реагирования на инциденты: кого извещают, кто принимает решение, кто и по какому каналу сообщает клиенту; эти три строки в большинстве анкет весят больше всего.
• Отчёт о сканировании уязвимостей или тесте на проникновение: делиться полным документом вы не обязаны, обычно достаточно резюме с объёмом работ, датой и статусом устранения находок.

Двух пунктов из этого набора в большинстве небольших компаний нет: записи о реально проведённой проверке восстановления и письменно закреплённых сроков хранения данных. Сам факт снятия копий не говорит ни о чём; говорит дата, когда восстановление пробовали. Обе темы мы подробно разбираем в материалах о резервном копировании и восстановлении и о политике хранения и удаления данных.

Как правильно говорить «нет»

Больше всего команды боятся ответа «нет». На практике больше всего дополнительных кругов порождает ответ «неприменимо». Каждая пустая строка или отказ в одно слово означают, что проверяющий не может написать собственное заключение, а это почти гарантированно даёт ещё один круг вопросов. Правильно построенное «нет», наоборот, чаще всего закрывается с первого раза.

Правильное построение — три фразы: такого контроля у нас в этом виде нет; вместо него работает следующая компенсирующая мера; связанный риск мы ограничиваем вот так. Служба рисков на той стороне ищет не совершенство, а приемлемое и пригодное для протокола обоснование. Базовый набор мер, который небольшая команда может выстроить ограниченными силами, мы собрали в материале о кибербезопасности для малого бизнеса.

Почему фраза из анкеты — часть договора

Во многих корпоративных закупках заполненная анкета прикладывается к договору как приложение или как минимум упоминается в нём в качестве заверения. Это значит, что оптимистичная фраза, написанная ради ускорения сделки, позже превращается в операционное обязательство. Строка, которую вы считали непрочитанной, при инциденте открывается первой.

Каждая фраза в анкете — это неподписанное приложение к договору, и цену преувеличения платит не отдел продаж, а операционная команда несколько месяцев спустя.

Практическое правило: в анкете не должно быть ни одного обязательства, которое вы отказались бы вписать в текст договора. Заявления о персональных данных требуют отдельного внимания, поскольку там ваш ответ стоит не только перед заказчиком, но и перед регулированием; сторону CRM в этой теме мы разбираем в материале о CRM, соответствующей требованиям к персональным данным. Здесь показана механика, а окончательную оценку по вашей ситуации сделайте вместе с юридическим консультантом.

Как пройти анкету без сертификата

Обычный рефлекс после первой тяжёлой анкеты — немедленно начать сертификацию. Для небольшой команды это чаще всего неверный первый ход: сертификация занимает много времени, продажи всё это время продолжаются, и анкеты того периода вам всё равно придётся проходить на доказательствах. В коротком горизонте вас проводит не значок, а аккуратный и непротиворечивый набор свидетельств.

Границу тоже стоит назвать прямо. В некоторых сегментах — крупные корпоративные закупки, государственные тендеры, часть финансового сектора — конкретный документ является условием допуска, и там вас отсеют независимо от качества доказательной базы. Правильный ход в такой ситуации не упорство, а раннее выяснение требования и отсев сделки ещё на этапе квалификации.

Вопрос о том, где физически хранятся данные, в этом же разделе часто превращается в условие допуска. Выясните заранее, совпадает ли ожидание заказчика с вашей инфраструктурой, не дожидаясь самой анкеты. Подробности — в материале о резидентности данных.

Где место анкеты в цикле продажи

То, что анкеты приходят поздно, не случайность: заказчик и сам считает их последним шагом. Но поздний приход вредит обеим сторонам: вы пишете под давлением сроков, а они срывают собственную дату закрытия. Решение — поднимать тему намного раньше.

Самый изящный способ — один вопрос до отправки предложения: есть ли у вас процедура оценки безопасности, кто её ведёт и сколько она обычно занимает. Этот вопрос даёт сразу три вещи: делает график реалистичным, выводит на нужного человека со стороны заказчика и показывает вашу подготовленность. Познакомиться с тем, кто будет вести оценку, в середине цикла всегда дешевле, чем в конце.

Какие показатели отслеживать

Пока процесс не измеряется, каждая анкета переживается как новая неожиданность. Достаточно четырёх показателей. Срок выполнения — число дней от получения до отправки, он напрямую двигает дату закрытия. Доля закрытых из библиотеки показывает, сколько вопросов удалось ответить готовыми формулировками; чем она выше, тем сам собой короче срок. Число кругов — сколько раз анкета возвращалась, и это самая честная мера несогласованности. Количество и возраст открытых пунктов в реестре пробелов показывают ваш реальный долг по безопасности.

Большинство этих измерений предполагает, что изменения в системе фиксируются: если не видно, кто, что и когда менял, вы не сможете ни ответить проверяющему, ни проверить себя изнутри. Именно поэтому тема журнала аудита повторяется в анкетах чаще многих других.

С чего начать

Не ждите следующей анкеты. Откройте последнюю заполненную, выберите двадцать повторяющихся вопросов и напишите к каждому ответ из трёх фраз — утверждение, доказательство, область применения. Эти двадцать ответов закроют примерно половину следующей анкеты, а после второй библиотека начнёт расти сама, и процесс впервые станет предсказуемым.

Чтобы это работало устойчиво, анкеты, их владельцы, сроки и открытые пункты должны лежать прямо на записи сделки: список в отдельной таблице перестаёт обновляться на первой же загруженной неделе. В Rocketly задачи по сделке, напоминания, вложенные документы и настройка прав собраны в одном месте — создайте бесплатный аккаунт и соберите собственный процесс работы с анкетами.