Атаки через подрядчиков: с каких вопросов начать проверку

Главное

УЦСБ SOC 8 сентября представил анонс отчёта за первое полугодие 2026 года и отметил риски атак на цепочки поставок. Речь идёт об исследовании прошедшего периода, а не о новом инциденте у конкретного заказчика. Сообщение УЦСБ SOC.

Что обсудить с исполнителем

Юридические сведения о компании и организация её работы отвечают на разные вопросы. Предлагаем дополнить проверку ИТ-партнёра разговором о конкретной задаче: какие системы потребуются специалисту, кто со стороны заказчика согласует разрешения и когда их пересмотрят.

Для встречи удобно подготовить небольшую таблицу:

Это редакционный шаблон для разговора, не универсальный перечень обязательных мер. Его стоит уточнить с ответственным за ИТ и безопасность.

Проверять договорённости в работе

В рекомендациях NCSC понимание рисков сочетается с контролем, проверкой и последующим улучшением. Поэтому полезно назначить дату возвращения к договорённостям, а не ограничиваться ответами при выборе подрядчика.

Первым результатом такой встречи может стать согласованная карточка одного исполнителя: задача, ответственный и порядок изменения доступа. Она покажет, где сведения уже есть, а где решения пока принимаются по привычке.