Аутсорсинг тәуекелдері және мердігерлерді бақылау

1) Неліктен аутсорсинг = жоғары тәуекел

Аутсорсинг іске қосуды жылдамдатады және шығындарды азайтады, бірақ тәуекел бетін кеңейтеді: сіздің процестеріңіз, деректеріңіз және клиенттеріңіз сыртқы командалар мен олардың қосалқы мердігерлеріне қол жеткізеді. Тәуекелдерді басқару - бұл шарттық, ұйымдастырушылық және техникалық шаралардың өлшемділігі мен аудитке жарамдылығының комбинациясы.

2) Тәуекелдер картасы (типология)

Құқықтық: қажетті лицензиялардың болмауы, әлсіз шарттық кепілдіктер, IP/авторлық құқықтар, юрисдикциялық коллизиялар.
Реттегіш/комплаенс: GDPR/AML/PCI DSS/SOC 2 және т.б. сәйкессіздігі; DPA/SCC болмауы; есептілік мерзімдерінің бұзылуы.
Ақпараттық қауіпсіздік: ағып кету/эксфильтрация, қолжетімділікті әлсіз басқару, журналдардың болмауы және шифрлау.
Құпиялылық: PI артық өңдеу, ретенциясының бұзылуы/алып тастау, Legal Hold және DSAR.
Операциялық: сервистің төмен тұрақтылығы, әлсіз BCP/DR, 24 × 7 болмауы, SLO/SLA бұзылуы.
Қаржылық: өнім берушінің тұрақсыздығы, бір клиентке/өңірге тәуелділігі, шығуға жасырын шығындар.
Беделді: инциденттер/жанжалдар, мүдделер қақтығысы, уытты маркетинг.
Жеткізу тізбегі: мөлдір емес қосалқы процессорлар, деректерді сақтаудың бақыланбайтын орындары.

3) Рөлдер және жауапкершілік (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Мердігерлерді бақылаудың өмірлік циклі

1. Жоспарлау: аутсорсинг мақсаты, сындарлылық, деректер санаты, юрисдикция, баламаларды бағалау (build/buy/partner).
2. Due Diligence: сауалнамалар, артефактілер (сертификаттар, саясаттар), техникалық тексерулер/РоС, тәуекелдер скорингі және гап-парақ.
3. Шарт: DPA/SLA/аудит құқығы, жауапкершілік және айыппұлдар, қосалқы процессорлар, шығу жоспары (exit) және деректерді жою мерзімдері.
4. Онбординг: SSO және рөлдер (ең аз артықшылықтар), деректер каталогтары, орталарды оқшаулау, журналдау және алерталар.
5. Операциялар және мониторинг: KPI/SLA, инциденттер, субпроцессорлардың/орналасу орындарының өзгеруі, жыл сайынғы қайта қарау және дәлелдерді бақылау.
6. Қайта қарау/ремедиация: мерзімдері бар гаптарды түзету, мерзімі өткен waiver-процедуралар.
7. Оффбординг: рұқсаттарды кері қайтару, экспорт, жою/анонимдеу, жойылғанын растау, evidence мұрағаты.

5) Шартты «must-have»

DPA (шартқа қосымша): рөлдер (controller/processor), өңдеу мақсаттары, деректер санаттары, ретенция/жою, Legal Hold, DSAR-мен көмек, сақтау және беру орындары (қажет болған жерде SCC/BCR).
SLA/SLO: қолжетімділік деңгейлері, реакция/жою уақыты (sev-деңгейлер), кредит/бұзушылық үшін айыппұл, RTO/RPO, 24 × 7/Follow-the-sun.
Security Annex: at rest/in transit шифрлау, кілттерді басқару (KMS/HSM), құпия-менеджмент, журналдау (WORM/Object Lock), пентесталар/сканерлер, осалдықтарды басқару.
Audit & Assessment Rights: тұрақты сауалнамалар, есептерді ұсыну (SOC 2/ISO/PCI), аудит/он-сайт/журналды тексеру құқығы.
Subprocessors: тізбе, өзгерістерді хабарлау/келісу, тізбек үшін жауапкершілік.
Breach Notification: мерзімдері (мысалы, ≤ 24-72 сағат), форматы, тергеудегі өзара іс-қимыл.
Exit/Deletion: экспорт форматы, мерзімі, жойылғанын растау, көші-қонды қолдау, шығу құнына cap.
Liability/Indemnity: лимиттер, ерекшеліктер (PI жылыстауы, реттегіштердің айыппұлдары, IP-бұзушылықтар).
Change Control: сервистің/орналасулардың/бақылаулардың елеулі өзгерістері туралы хабарламалар.

6) Техникалық және ұйымдастырушылық бақылаулар

Қолжетімділік және сәйкестілік: SSO, ең аз артықшылықтар қағидаты, SoD, кампанияның re-certification, JIT/уақытша қолжетімділік, міндетті MFA.
Оқшаулау және желілер: tenant-isolation, сегментация, жеке арналар, allow-lists, egress шектеуі.
Шифрлау: міндетті TLS, тасымалдауыштағы шифрлау, кілттерді басқару және ротация, қолдан жасалған криптографияға тыйым салу.
Журналдандыру және дәлелдемелер: орталықтандырылған логтар, WORM/Object Lock, есептерді хеш-тіркеу, evidence каталогтары.
Деректер және құпиялылық: бүркемелеу/псевдонимдеу, ретенцияны бақылау/TTL, Legal Hold override, деректер экспортын бақылау.
DevSecOps: SAST/DAST/SCA, құпия-сканер, SBOM, OSS лицензиялары, CI/CD гейтс, релиздер саясаты (blue-green/canary).
Тұрақтылық: DR/BCP тесттер, RTO/RPO мақсаттары, capacity-жоспарлау, SLO мониторингі.
Операциялар: playbooks инциденттер, on-call, SLA бар ITSM-тикеттер, change-management.
Оқыту және рұқсаттар: провайдердің АҚ/жекелік бойынша міндетті курстары, персоналды тексеру (where lawful).

7) Жеткізушінің үздіксіз мониторингі

Спектакль/SLA: қол жетімділік, реакция/жою уақыты, кредиттер.
Сертификаттау/есептер: SOC/ISO/PCI, scope және ерекшеліктер өзектілігі.
Инциденттер мен өзгерістер: жиілік/күрделілік, сабақтар, субпроцессорлардың/орналасулардың өзгерістері.
Бақылау дрейфі: шарттық талаптардан ауытқу (шифрлау, журналдау, DR тесттер).
Қаржылық тұрақтылық: жария сигналдар, M&A, бенефициарлардың ауысуы.
Юрисдикциялар мен санкциялар: жаңа шектеулер, елдердiң/бұлттардың/дата-орталықтардың тiзiмi.

8) Метриктер мен дашбордтар Vendor Risk & Outsourcing

Дашбордтар: Провайдерлер бойынша тәуекелдердің Heatmap, SLA Center, Incidents & Findings, Evidence Readiness, Subprocessor Map.

9) Рәсімдер (SOP)

SOP-1: Мердігерді қосу

1. Қызметтің тәуекел-жіктелуі → 2) DD + PoC → 3) шарттық қосымшалар → 4) қолжетімділіктер/логтар/шифрлау онбордингі → 5) бастапқы метриктер мен дашбордтар.

SOP-2: Мердігердегі өзгерістерді басқару

1. Өзгерту карточкасы (орналасу/субпроцессор/сәулет) → 2) тәуекелді бағалау/заңгерлік → 3) DPA/SLA → 4) коммуникация және енгізу мерзімі → 5) evidence тексеру.

SOP-3: Мердігердегі оқиға

Detect → Triage (sev) → Notify (шарттың уақытша терезелері) → Contain → Eradicate → Recover → Post-mortem (сабақтар, бақылау/шарт жаңартулары) → Evidence WORM.

SOP-4: Оффбординг

1. Freeze интеграциялар → 2) деректерді экспорттау → 3) жою/анонимдеу + растау → 4) барлық кіру/кілттерді қайтарып алу → 5) жабу есебі.

10) Ерекшеліктерді басқару (waivers)

Мерзімі өткен, тәуекел-бағалау және өтемдік бақылаулары бар формалды сұрау салу.
GRC/дашбордтарда көріну, авто ескертулер, «мәңгілік» ерекшеліктерге тыйым салу.
Комитетке мерзімі өткен/қауіпті тәуекел кезінде эскалация.

11) Үлгі үлгілері

Мердігердің онбордингінің чек-парағы

• DD аяқталды; скоринг/тәуекел санаты бекітілді
• DPA/SLA/audit rights қол қойылды; Security Annex келісілген
• Қосалқы процессорлардың тізімі алынды; сақтау орындары расталды
• SSO/MFA теңшелген; рөлдер барынша азайтылған; SoD тексерілді
• Логтар қосылған; WORM/Object Lock теңшелген; тәуекелдер пайда болды
• DR/BCP мақсаттары келісілген; тестілеу күні белгіленді
• DSAR/Legal Hold процедуралары біріктірілген
• Мониторинг дашбордтары мен өлшемдері енгізілген

SLA талаптары шағын үлгісі

Реакция уақыты: 15 мин. 1 сағ

Қалпына келтіру уақыты: Sev1 ≤ 4 сағат, Sev2 ≤ 24 сағат

Қолжетімділік: 99 ≥. 9 %/ай; бұзылған кездегі несиелер

Инцидент туралы хабарлама: 24 сағат ≤, әрбір 4 сағат сайын аралық апдейттер (Sev1)

12) Антипаттерндер

Логсыз, телеметриясыз және аудит құқығынсыз «қағаз» бақылау.
Шығу жоспары жоқ: қымбат/ұзақ экспорт, проприетарлық форматтарға тәуелділік.
Мердігердің мәңгілік қолжетімділігі, re-certification болмауы.
Субпроцессорлардың және деректерді сақтау орындарының игноры.
Қызыл фактілер кезінде иесіз/эскалациясыз және «жасыл» аймақсыз KPI.
evidence үшін WORM/immutability болмауы - аудиттегі дау.

13) Аутсорсингті басқарудың жетілу моделі (M0-M4)

M0 Бытыраңқы: бір реттік тексерулер, «бәріндегідей» шарт.
M1 Каталог: мердігерлер тізілімі, базалық SLA және сауалнамалар.
M2 Басқарылатын: Тәуекел бойынша DD, стандартты DPA/SLA, логтар мен дашбордтар қосылған.
M3 Біріктірілген: continuous monitoring, policy-as-code, авто-evidence, тұрақты DR тесттер.
M4 Assured: «кнопка бойынша audit-ready», жеткізу тізбегінің болжамды тәуекелдері, автоматты эскалациялар және off-ramp сценарийлер.

14) Байланысты wiki баптары

Провайдерлерді таңдау кезінде Due Diligence

Комплаенс пен есептілікті автоматтандыру

Үздіксіз сәйкестік мониторингі (CCM)

Legal Hold және деректерді мұздату

Саясаттар мен рәсімдердің өмірлік циклі

KYC/KYB және санкциялық скрининг

Үздіксіздік жоспары (BCP) және DRP

Жиынтығы

Аутсорсингті бақылау - бұл чек парағы емес, жүйе: тәуекелге бағдарланған іріктеу, қатаң шарттық кепілдіктер, ең аз және бақыланатын қолжетімділік, үздіксіз мониторинг, жылдам оффбординг және дәлелдеу базасы. Мұндай жүйеде мердігерлер сіздердің осалдықтарыңызды арттырмай-ақ бизнестің жылдамдығын арттырады.