Подрядчика по безопасности стоит выбирать под конкретную задачу. Настройка защиты рабочих мест, аудит веб-приложения и расследование инцидента требуют разных компетенций. Большой перечень услуг на сайте не подтверждает опыт именно в вашей инфраструктуре.
Что спросить на первой встрече
Попросите объяснить предполагаемые риски, способ проверки и ограничения работы. Хороший признак — уточняющие вопросы о системах, данных и допустимом простое. Обещание полной защиты без обследования должно насторожить.
- Кто лично выполняет работы и кто заменяет специалиста?
- Какие доступы нужны и зачем?
- Будут ли привлекаться субподрядчики?
- Какие действия способны затронуть рабочие системы?
- Что получит заказчик и как проверит результат?
Как оценить подтверждения опыта
Запросите обезличенный пример отчёта и описание проекта сопоставимого масштаба. В отчёте должны быть не только названия инструментов, но и понятные рекомендации, приоритеты и подтверждения. Контакт клиента можно запрашивать с его согласия; отсутствие открытых технических подробностей само по себе нормально.
Если работа относится к регулируемой деятельности, отдельно проверьте необходимые разрешения и требования с профильным специалистом. Нельзя считать любую настройку сайта лицензируемой услугой или, наоборот, игнорировать специальные требования к конкретному объекту.
Что закрепить до выдачи доступа
Зафиксируйте область работ, разрешённые методы, время проверки, ответственных и порядок остановки. Выдавайте персональные ограниченные аккаунты. Согласуйте хранение материалов, срок удаления копий и сообщение об обнаруженной критичной проблеме.
Как принять работу
Попросите показать результаты на вашей инфраструктуре и объяснить остаточные риски. Уточните, включена ли повторная проверка исправлений. В конце работ должны остаться документация, принадлежащие компании доступы и понятный список дальнейших действий. Возможность спокойно сменить исполнителя — такой же критерий качества, как подробность первоначального обследования.
