VIII.1. Требования, учитываемые при заключении контракта с поставщиком услуг

В случае аутсорсинга регламентация вопросов ИБ носит обязательный характер, поскольку зоны полномочий и ответственности должны быть определены заранее, и в случае инцидента нужно четко идентифицировать ответственных и определить виновных.

Требования безопасности, в случае, когда ФНС России передает для управления и контроля все или некоторые из элементов ИТ-инфраструктуры ФНС России, должны быть указаны в контракте (или ином документе), согласованном между сторонами и учитывающем:

- наличие соглашения о неразглашении поставщиком услуг информации ограниченного доступа/распространения, ставшей известной ему в ходе исполнения договорных обязательств;

- выполнение требований по защите информации, установленные законодательством Российской Федерации;

- достижение зафиксированных договоренностей, обеспечивающих уверенность в том, что все стороны, включая субподрядчиков, осведомлены о своих обязанностях, касающихся безопасности;

- возможность обеспечения и тестирования параметров целостности, доступности и конфиденциальности ИР ФНС России;

- уровни физической безопасности, которые должны быть обеспечены в отношении оборудования, используемого в рамках аутсорсинга;

- соблюдение поставщиком услуг требований законодательства Российской Федерации о лицензировании, сертификации, а также требований трудового законодательства;

- право на проведение аудита деятельности поставщика услуг со стороны ФНС России;

- возможность расторжения договора с внешней организацией в одностороннем порядке;

- необходимость разработки регламента доступа ФНС России к арендуемым мощностям и каналам связи;

- необходимость разработки регламента информирования ФНС России о попытках НСД при использовании арендуемого оборудования и каналов связи;

- необходимость выполнения технических требований по защите информации, действующих в ФНС России;

- обеспечения отдельных правил информационной безопасности в случае приобретения, разработки и эксплуатации информационных систем (в соответствии с Разделом VIII.3).