Список вопросов по безопасности и закупке

Русский

Список вопросов по безопасности и закупке

Используйте этот список как основу для проверки поставщика. Он не подтверждает, что какой-либо поставщик соответствует требованиям. Запрашивайте актуальные подтверждающие материалы, уточняйте область их действия и условия договора. Поручите оценку ответов специалистам по безопасности и юристам.

Обработка данных

• Какие персональные данные и данные разговоров собираются, создаются или передаются?
• В каких регионах и с участием каких субобработчиков (подрядчиков по обработке данных) выполняется каждый этап обработки?
• Какие сроки хранения установлены для записей разговоров, расшифровок, результатов анализа и резервных копий?
• Как уполномоченные пользователи могут запросить удаление, выгрузку или исправление данных и как проверяется выполнение запроса?

Доступ и защита

• Как устроены управление учётными записями, ролями и привилегированным доступом, а также разграничение данных разных клиентов?
• Какое шифрование применяется при передаче и хранении данных? Кто управляет ключами?
• Какие события доступа и действия администраторов фиксируются в журналах и как долго хранятся эти журналы?
• Какие отчёты независимых проверок или сертификаты действуют сейчас и распространяются на рассматриваемый сервис? Запрашивайте копии; не судите об области их действия по логотипу.

Работа сервиса и инциденты

• Какие обязательства по доступности, поддержке и восстановлению закреплены в договоре?
• Как регистрируются и расследуются инциденты и как о них сообщают клиентам?
• Каков порядок уведомления об изменениях в составе субобработчиков, месте размещения данных и существенных аспектах работы продукта?
• Как клиент может приостановить обработку и получить или удалить свои данные при прекращении договора?

Проверка коммерческих и юридических условий

• Какие платежи, ограничения использования, условия продления и расходы при прекращении использования предусмотрены?
• Какое соглашение об обработке данных и какие условия их передачи предлагаются?
• Кому принадлежат результаты и настройки и какие права на их использование предусмотрены?
• Какие вопросы остаются без ответа, кто за них отвечает и к какому сроку должен дать ответ?

Запись о решении: проверяющий __________ место хранения подтверждающих материалов __________ открытый вопрос / ответственный / срок __________