قرارداد امنیت شبکه (برون سپاری به یک فرد)

قرارداد امنیت شبکه برای برون‌سپاری به یک فرد

وقتی سازمان یا کسب‌وکار برای ارزیابی، نگهداری یا بهبود امنیت شبکه با یک متخصص مستقل همکاری می‌کند، توافق شفاهی یا شرح وظایف کلی معمولاً برای مدیریت همه ابعاد رابطه کافی نیست. قرارداد امنیت شبکه (برون‌سپاری به یک فرد) چارچوب حقوقی و اجرایی این همکاری را مشخص می‌کند: موضوع و حدود خدمات، دسترسی‌های مجاز، تعهدات طرفین، نحوه گزارش‌دهی، شرایط مالی و ترتیبات پایان کار. تنظیم دقیق قرارداد کمک می‌کند کارفرما بداند چه خدمتی دریافت می‌کند و متخصص نیز بداند در چه محدوده‌ای مجاز و متعهد به فعالیت است. این سند همچنین می‌تواند مرجع ثبت تصمیم‌ها و تغییرات در طول همکاری باشد و از اختلاف درباره دامنه مسئولیت یا خروجی مورد انتظار بکاهد.

این نوع قرارداد باید متناسب با واقعیت پروژه تنظیم شود. نیازهای کسب‌وکاری که صرفاً بررسی تنظیمات شبکه را می‌خواهد با نیازهای مجموعه‌ای که پایش مستمر، رسیدگی به رخداد یا آزمون فنی زیرساخت را برون‌سپاری می‌کند یکسان نیست. این تفاوت‌ها بر میزان دسترسی، نوع خروجی، زمان‌بندی و مسئولیت‌های مورد توافق اثر می‌گذارند. بنابراین عنوان کلی خدمت به‌تنهایی کافی نیست و بهتر است جزئیات فنی در متن قرارداد یا پیوست‌های مورد توافق بیان شود. در قرارداد فردمحور نیز باید مشخص شود خدمات را شخصاً همان متخصص انجام می‌دهد یا استفاده از همکار یا شخص ثالث، تنها با موافقت قبلی کارفرما مجاز است.

موضوع و محدوده مجاز خدمات

در شرح موضوع قرارداد، خدمات مورد انتظار باید تا حد امکان روشن و قابل ارزیابی باشند. خدمات می‌تواند شامل بررسی وضعیت امنیتی شبکه، شناسایی نقاط ضعف، پیشنهاد اصلاح، بازبینی تنظیمات، تهیه رویه‌های امنیتی، پایش مشخص‌شده یا ارائه مشاوره باشد. دامنه فنی کار نیز باید معلوم شود؛ از جمله سامانه‌ها و تجهیزات مشمول، محیط‌های عملیاتی یا آزمایشی، بازه زمانی اجرای خدمات و مواردی که صراحتاً خارج از قرارداد هستند. اگر خدمت به مکان یا زیرساخت مشخصی محدود است، بهتر است نشانی یا شناسه سامانه‌ها و تجهیزات در پیوست درج شود تا محدوده مجاز با ابهام همراه نباشد.

اگر انجام آزمون نفوذ، اسکن، تغییر پیکربندی، دسترسی به داده‌های واقعی یا هر اقدامی با احتمال اختلال در سرویس‌ها جزو همکاری است، اجازه کارفرما و حدود آن باید به‌صورت مشخص و مستند تعیین شود. می‌توان در پیوست، نشانی سامانه‌ها، بازه اجرای آزمون، روش‌های مجاز، محدودیت‌های عملیاتی و اشخاصی را که باید پیش از اقدام مطلع شوند درج کرد. همچنین باید معلوم شود چه اقداماتی ممنوع است؛ برای مثال، حذف یا تغییر داده، ایجاد حساب جدید، قطع سرویس یا اجرای آزمون روی سامانه اشخاص ثالث، مگر آنکه اجازه روشن و جداگانه صادر شده باشد. هر اقدام خارج از محدوده توافق‌شده بهتر است منوط به اخذ تأیید کتبی جداگانه باشد. این شفافیت هم از اجرای ناخواسته عملیات پرریسک می‌کاهد و هم در ارزیابی عملکرد متخصص مبنا ایجاد می‌کند.

دسترسی، محرمانگی و حفاظت از اطلاعات

متخصص امنیت شبکه ممکن است در جریان کار به اطلاعات حساس، حساب‌های کاربری، تنظیمات زیرساخت، داده‌های کارکنان یا اطلاعات مشتریان دسترسی پیدا کند. قرارداد باید تکلیف محرمانگی را روشن کند و دامنه اطلاعات محرمانه، اشخاص مجاز به دسترسی، شیوه نگهداری و انتقال اطلاعات و موارد مجاز استفاده از آن را توضیح دهد. تعهد محرمانگی می‌تواند استفاده از اطلاعات را به اجرای موضوع قرارداد محدود کند و تکلیف بازگرداندن یا حذف نسخه‌های در اختیار متخصص را پس از پایان همکاری مشخص سازد. همچنین لازم است مشخص شود آیا متخصص اجازه دارد اطلاعات یا تصویرهایی از محیط فنی را برای مستندسازی نگه دارد و در صورت مجاز بودن، چه محدودیت‌هایی بر نگهداری آن اعمال می‌شود.

بهتر است درباره ایجاد حساب‌های اختصاصی، استفاده از دسترسی حداقلی، نگهداری امن اطلاعات احراز هویت، منع اشتراک‌گذاری رمزها و اعلام دسترسی‌های ایجادشده نیز توافق شود. کارفرما باید مشخص کند چه کسی مجاز به اعطای دسترسی یا تأیید تغییرات است و متخصص نیز باید از حدود اختیارات واگذارشده فراتر نرود. در صورت استفاده از ابزارهای راه دور، محل و روش اتصال، ثبت فعالیت‌ها و نحوه لغو دسترسی پس از اتمام کار بهتر است از پیش تعیین شود. اگر اطلاعات شخصی یا داده‌هایی با الزامات قانونی یا قراردادی ویژه درگیر باشد، نحوه پردازش و حفاظت از آن باید با توجه به شرایط واقعی کسب‌وکار و مقررات مربوط بررسی شود.

تعهدات، گزارش‌دهی و معیار تحویل

در قرارداد، تعهدات متخصص می‌تواند شامل اجرای خدمات در محدوده توافق‌شده، رعایت دستورهای امنیتی اعلام‌شده، ثبت تغییرات مهم، اعلام سریع وضعیت‌های غیرعادی و ارائه گزارش در موعد مقرر باشد. گزارش‌ها بهتر است قالب و محتوای مشخص داشته باشند؛ برای مثال، شرح اقدامات انجام‌شده، یافته‌ها، سطح اهمیت هر مورد، محدودیت‌های بررسی و پیشنهادهای اصلاحی. باید معلوم شود گزارش به چه شخصی تحویل می‌شود، در چه قالبی ارائه خواهد شد و آیا جلسه ارائه یا توضیح نتایج نیز جزو خدمات است. اگر اقدامی برای رفع آسیب‌پذیری انجام می‌شود، لازم است مسئول تأیید تغییر و شیوه مستندسازی آن نیز مشخص باشد.

تعهدات کارفرما نیز اهمیت دارد. فراهم‌کردن دسترسی‌های لازم، معرفی نماینده پاسخ‌گو، ارائه اطلاعات صحیح درباره محیط فنی، اطلاع‌رسانی محدودیت‌ها و اخذ مجوزهای داخلی لازم می‌تواند در پیشرفت کار مؤثر باشد. اگر تأخیر در ارائه اطلاعات یا دسترسی موجب جابه‌جایی برنامه شود، بهتر است روش اطلاع‌رسانی و آثار آن بر زمان‌بندی در قرارداد پیش‌بینی شود. همچنین می‌توان برای تحویل هر مرحله، مهلت بررسی و اعلام ایراد تعیین کرد تا معیار پذیرش خروجی‌ها روشن باشد. بهتر است قرارداد مشخص کند اگر کارفرما در مهلت مقرر درباره گزارش یا خروجی اعلام نظر نکند، طرفین چگونه موضوع را پیگیری می‌کنند؛ سکوت نباید بدون تصریح به معنای پذیرش قطعی تلقی شود.

مدت، حق‌الزحمه و تغییر دامنه همکاری

مدت قرارداد، تاریخ آغاز و پایان، نقاط زمانی مهم و شرایط تمدید باید صریح باشند. حق‌الزحمه می‌تواند بر مبنای پروژه، مرحله، زمان یا شیوه مورد توافق تعیین شود و بهتر است موعد پرداخت، مدارک لازم برای پرداخت و ارتباط هر قسط با تحویل یا تأیید خدمات مشخص باشد. اگر خدمات خارج از دامنه اولیه درخواست شود، قرارداد باید روشی برای ثبت تغییر، برآورد آثار آن بر زمان و حق‌الزحمه و تأیید پیش از اجرا داشته باشد. این سازوکار مانع از آن می‌شود که درخواست‌های تازه بدون توافق روشن به تعهدات طرفین افزوده شوند. بهتر است درخواست تغییر از سوی نماینده مشخص‌شده کارفرما ارسال و تأیید آن نیز به شکل قابل استناد ثبت شود.

در تنظیم قرارداد فردمحور، عنوان پیمانکار به‌تنهایی تعیین‌کننده ماهیت حقوقی رابطه نیست. شیوه واقعی انجام کار، میزان استقلال متخصص، نحوه نظارت، زمان‌بندی و سایر شرایط باید با وضعیت همکاری و قوانین مربوط سازگار باشد. اگر ساختار همکاری ویژگی‌های رابطه استخدامی پیدا کند، لازم است پیش از امضا آثار حقوقی آن جداگانه بررسی شود. قرارداد باید واقعیت رابطه طرفین را منعکس کند و صرف انتخاب یک عنوان، جایگزین بررسی شرایط اجرایی همکاری نیست.

مسئولیت، رخداد امنیتی و خاتمه همکاری

قرارداد بهتر است فرایند اعلام رخداد یا مشاهده آسیب‌پذیری مهم را بیان کند؛ از جمله شخص یا مسیر تماس، اطلاعات اولیه مورد انتظار، زمان اطلاع‌رسانی متناسب با شرایط و نحوه ثبت و پیگیری موضوع. همچنین باید روشن باشد واکنش اضطراری جزو خدمات توافق‌شده است یا برای آن تأیید و توافق جداگانه لازم خواهد بود. مسئولیت هر طرف را می‌توان بر پایه نقش، اقدام یا قصور منتسب به او و تعهداتی که پذیرفته است تنظیم کرد. از درج عبارت‌های کلی و مبهم درباره مسئولیت همه حوادث باید پرهیز شود؛ وقوع هر رخداد امنیتی لزوماً به‌تنهایی نشان‌دهنده نقض تعهد یک طرف نیست. چگونگی همکاری طرفین برای بررسی اولیه رخداد و حفظ سوابق مرتبط نیز می‌تواند در قرارداد پیش‌بینی شود.

شرایط خاتمه قرارداد، فسخ یا توقف موقت خدمات نیز باید قابل فهم باشد؛ از جمله موارد نقض اساسی تعهد، مهلت رفع تخلف در صورت توافق، نحوه تسویه خدمات انجام‌شده و تحویل گزارش‌ها یا مستندات. هنگام پایان کار، لازم است وضعیت حساب‌ها و دسترسی‌های متخصص، بازگرداندن تجهیزات و اطلاعات و حذف دسترسی‌های غیرضروری تعیین شود. همچنین می‌توان درباره تحویل اطلاعاتی که برای تداوم خدمات ضروری است، همکاری در انتقال کار و مهلت انجام این اقدامات توافق کرد. اگر کارفرما ناظری برای پیگیری قرارداد معرفی می‌کند، حدود اختیار او در تأیید خدمات، ابلاغ درخواست‌ها و ثبت تغییرات نیز بهتر است مشخص باشد.

خدمات قراردادی سندآرا

سندآرا خدمات تنظیم، تدوین، بررسی، بازبینی، اصلاح و شخصی‌سازی قرارداد ارائه می‌کند. قرارداد اختصاصی با توجه به نیازها، شرایط طرفین، موضوع همکاری و الزامات سفارش تدوین می‌شود تا مفاد آن با پروژه موردنظر تناسب داشته باشد. قرارداد اختصاصی تخصصی علاوه بر شرایط طرفین، الزامات و ریسک‌های تخصصی صنعت، حوزه فعالیت یا نوع قرارداد را نیز در نظر می‌گیرد؛ برای همکاری امنیت شبکه، این ملاحظات می‌تواند شامل کنترل دسترسی، محرمانگی، دامنه مجاز اقدامات و گزارش رخداد باشد.

برای کسب‌وکارهایی که چند پروژه یا همکاری مشابه دارند، نمونه قرارداد اختصاصی به‌صورت ساختاری اختصاصی و قابل استفاده مجدد برای همان نوع پروژه‌ها یا همکاری‌ها تهیه می‌شود. این خدمت فرم عمومی آماده یا فایل دانلودی نیست؛ مبنا، شرایط و نیازهای اعلام‌شده برای طراحی ساختاری متناسب با استفاده‌های مشابه است. پیش از انتخاب نوع خدمت، مشخص‌کردن موضوع همکاری، سامانه‌های درگیر، سطح دسترسی، خروجی‌های مورد انتظار، مسئول تأیید تغییرات و شیوه پرداخت می‌تواند به تدوین متن دقیق‌تر کمک کند.

سؤالات متداول

سؤال: آیا قرارداد باید نوع دسترسی متخصص به شبکه را مشخص کند؟

پاسخ: بله. بهتر است سطح و مدت دسترسی، سامانه‌های مشمول، اشخاص مجاز به تأیید دسترسی و محدودیت‌های استفاده از اطلاعات روشن باشد. دسترسی‌های لازم نیز می‌تواند متناسب با اصل حداقل دسترسی تعریف شود و نحوه لغو آن پس از پایان همکاری مشخص باشد.

سؤال: اگر پس از امضای قرارداد خدمت تازه‌ای لازم شود، چه باید کرد؟

پاسخ: بهتر است خدمت جدید پیش از اجرا به‌صورت مکتوب ثبت شود و آثار آن بر محدوده کار، زمان‌بندی، خروجی و حق‌الزحمه به تأیید طرفین برسد. قرارداد می‌تواند روش ثبت و تأیید این تغییرات را از ابتدا پیش‌بینی کند.

سؤال: آیا محرمانگی پس از پایان همکاری هم اهمیت دارد؟

پاسخ: بله. قرارداد می‌تواند مدت یا شرایط ادامه تعهد محرمانگی پس از خاتمه همکاری و نیز نحوه بازگرداندن یا حذف اطلاعات و لغو دسترسی‌ها را مشخص کند.

سؤال: آیا متخصص می‌تواند آزمون نفوذ یا اسکن را بدون تأیید جداگانه انجام دهد؟

پاسخ: فقط در صورتی که انجام این اقدامات در محدوده مجاز و مستند قرارداد یا پیوست آن قرار گرفته باشد. بهتر است سامانه‌های مشمول، زمان اجرا، روش‌های مجاز و اقدامات ممنوع به‌روشنی تعیین شوند و هر اقدام خارج از توافق نیازمند تأیید کتبی باشد.

سؤال: نمونه قرارداد اختصاصی سندآرا با فرم عمومی آماده چه تفاوتی دارد؟

پاسخ: نمونه قرارداد اختصاصی بر اساس ساختار و نیازهای مشخص‌شده برای پروژه‌ها یا همکاری‌های مشابه تدوین می‌شود تا قابلیت استفاده مجدد داشته باشد؛ منظور از آن فرم عمومی آماده یا فایل دانلودی نیست.