قرارداد امنیت شبکه (برون سپاری به یک تیم یا شرکت)

برون‌سپاری خدمات امنیت شبکه می‌تواند دسترسی کسب‌وکار به تخصص فنی موردنیاز را فراهم کند، اما هم‌زمان رابطه‌ای ایجاد می‌کند که در آن پیمانکار ممکن است با سامانه‌ها، حساب‌های کاربری، معماری شبکه و داده‌های مهم کارفرما سروکار داشته باشد. قرارداد امنیت شبکه، چارچوب حقوقی و اجرایی این همکاری را مشخص می‌کند: چه خدماتی باید ارائه شود، پیمانکار در چه محدوده‌ای مجاز به اقدام است، اطلاعات چگونه حفاظت می‌شوند و هر طرف در برابر چه تعهداتی مسئولیت دارد. تنظیم این سند فقط به نوشتن عنوان خدمات محدود نیست؛ جزئیات باید با نوع زیرساخت و سطح دسترسی موردنیاز هماهنگ باشند.

تعیین دقیق موضوع و محدوده خدمات

در قرارداد بهتر است خدمات مورد انتظار با عباراتی قابل ارزیابی شرح داده شوند. عبارت کلی مانند تأمین امنیت شبکه، به‌تنهایی روشن نمی‌کند که تعهد پیمانکار شامل پایش مستمر، ارزیابی دوره‌ای، مدیریت رخداد، نصب و پیکربندی تجهیزات، آزمون نفوذ، تهیه نسخه پشتیبان یا صرفاً ارائه مشاوره است. پیوست شرح خدمات می‌تواند سامانه‌ها و دارایی‌های مشمول، محل یا محیط انجام کار، دوره زمانی، خروجی‌های مورد انتظار و موارد خارج از تعهد را مشخص کند. اگر قرار است کار به‌صورت مرحله‌ای انجام شود، مراحل، موعدهای تقریبی و روش تحویل هر مرحله نیز باید درج شوند.

تعیین محدوده، برای فعالیت‌هایی مانند اسکن آسیب‌پذیری یا آزمون نفوذ اهمیت ویژه دارد. نام دامنه‌ها، نشانی‌های شبکه، تجهیزات یا محیط‌های آزمایشی مجاز، بازه زمانی انجام آزمایش، محدودیت‌های فنی و اشخاصی که باید از آن مطلع باشند، می‌توانند در پیوست یا مجوز کتبی جداگانه ثبت شوند. قرارداد باید مانع برداشت این موضوع شود که پیمانکار برای هر اقدام فنی روی هر سامانه کارفرما اختیار نامحدود دارد. هر تغییر در محدوده نیز بهتر است با درخواست مشخص و تأیید کتبی طرفین انجام شود.

دسترسی فنی و مسئولیت طرفین

کارفرما معمولاً مسئول معرفی نماینده مجاز، ارائه اطلاعات لازم، ایجاد دسترسی در حد نیاز و اعلام محدودیت‌های عملیاتی است. پیمانکار نیز باید در چارچوب مجوزهای دریافتی و دستورالعمل‌های توافق‌شده عمل کند، از دسترسی خارج از نیاز خودداری کند و درباره مانع یا خطر مشاهده‌شده اطلاع دهد. قرارداد می‌تواند شیوه صدور، تغییر و لغو دسترسی‌ها، استفاده از حساب‌های اختصاصی، ثبت فعالیت‌های مدیریتی و تأیید اقدامات حساس را توضیح دهد. تعیین مسئولیت هر طرف در نگهداری اعتبارنامه‌ها و کنترل دسترسی کارکنان نیز از ابهام‌های رایج می‌کاهد.

بهتر است در متن، مسئولیت کارفرما در ارائه تصویر درست از زیرساخت و اعلام تغییرات مؤثر، و مسئولیت پیمانکار در رعایت رویه‌های توافق‌شده و مستندسازی اقدامات از هم تفکیک شود. اگر چند تیم یا تأمین‌کننده در محیط فناوری اطلاعات حضور دارند، روش هماهنگی و مسیر ارجاع موضوعات نیز اهمیت دارد. انتساب مسئولیت باید بر اساس تعهدات واقعی، میزان کنترل هر طرف و شرایط همکاری نوشته شود؛ درج عباراتی کلی درباره مسئولیت همه خسارت‌ها، بدون تعیین حدود و عوامل مرتبط، ممکن است منشأ اختلاف شود.

محرمانگی، حفاظت و استفاده از داده‌ها

در همکاری امنیت شبکه، اطلاعات محرمانه ممکن است شامل ساختار شبکه، پیکربندی‌ها، گزارش‌های آسیب‌پذیری، اطلاعات حساب‌ها، داده‌های عملیاتی یا اطلاعات کاربران و مشتریان باشد. قرارداد باید تعریف مناسبی از اطلاعات محرمانه ارائه کند و مشخص سازد پیمانکار و کارکنان مجاز او فقط برای اجرای خدمات از این اطلاعات استفاده می‌کنند. دامنه اشخاصی که می‌توانند به داده‌ها دسترسی داشته باشند، شیوه حفاظت از فایل‌ها و گزارش‌ها، نحوه انتقال اطلاعات و مواردی که افشای آن‌ها با مجوز یا الزام قانونی ممکن است، باید متناسب با کار تعیین شوند.

همچنین لازم است تکلیف داده‌ها و نسخه‌های باقی‌مانده پس از تحویل یا خاتمه همکاری روشن باشد. طرفین می‌توانند درباره بازگرداندن داده‌ها، حذف امن نسخه‌های در اختیار پیمانکار، ارائه تأییدیه انجام حذف و نگهداری سوابق لازم توافق کنند. اگر پیمانکار برای بخشی از خدمات از شخص ثالث یا زیرپیمانکار استفاده می‌کند، قرارداد باید روشن کند که این کار به چه مجوزی نیاز دارد و چه تعهداتی درباره محرمانگی و حفاظت از اطلاعات باید به آن اشخاص منتقل شود. درج نام یا نقش زیرپیمانکاران، در صورت اهمیت برای کارفرما، می‌تواند به شفافیت بیشتر کمک کند.

پاسخ به رخداد و سطح خدمت

قرارداد می‌تواند روش اطلاع‌رسانی و هماهنگی در زمان مشاهده رخداد امنیتی را مشخص کند: گزارش به چه شخصی ارسال می‌شود، از چه راهی، با چه اطلاعات اولیه‌ای و در چه بازه‌ای از زمان. همچنین بهتر است حدود نقش پیمانکار در تحلیل اولیه، محدودسازی اثر، حفظ شواهد، مستندسازی اقدامات و ارائه پیشنهاد برای بازیابی تعریف شود. تصمیم‌هایی مانند قطع سامانه، تغییر مسیر ترافیک یا دسترسی به داده‌های خاص ممکن است نیازمند تأیید کارفرما باشند؛ بنابراین تفکیک اقداماتی که پیمانکار مجاز به انجام فوری آن‌هاست از اقداماتی که به موافقت قبلی نیاز دارند، کاربردی است.

اگر طرفین سطح خدمت یا زمان پاسخ‌گویی تعیین می‌کنند، باید تعریف کنند که زمان از چه لحظه‌ای محاسبه می‌شود، چه کانال‌هایی برای ثبت درخواست معتبر است، ساعات پشتیبانی کدام‌اند و تفاوت میان پاسخ اولیه و رفع کامل مشکل چیست. قرارداد می‌تواند نحوه طبقه‌بندی شدت رخدادها، اولویت‌بندی درخواست‌ها و گزارش دوره‌ای وضعیت را نیز بیان کند. تعهد به رعایت یک زمان پاسخ یا اجرای فرایند مشخص، با تضمین جلوگیری از همه حملات یا رخدادها یکسان نیست؛ حدود خدمت باید واقعی و متناسب با امکانات، دسترسی‌ها و دامنه قرارداد باشد.

خروجی‌ها، پذیرش و تغییرات

برای کاهش اختلاف درباره انجام کار، نوع خروجی‌ها و شیوه پذیرش آن‌ها را مشخص کنید. خروجی می‌تواند گزارش ارزیابی، فهرست اقدامات اصلاحی، مستند پیکربندی، گزارش رخداد، صورت‌جلسه تحویل یا برنامه پیشنهادی باشد. قرارداد بهتر است قالب یا حداقل اطلاعات موردنیاز در گزارش، مهلت بررسی توسط کارفرما و روش اعلام ایراد را توضیح دهد. همچنین باید معلوم باشد اصلاح ایرادهای مربوط به خروجی اولیه در چه چارچوبی انجام می‌شود و درخواست تازه‌ای که خارج از شرح خدمات است چگونه بررسی و تأیید خواهد شد.

پروژه‌های امنیت شبکه ممکن است با تغییر زیرساخت، کشف آسیب‌پذیری تازه یا نیاز عملیاتی جدید روبه‌رو شوند. بند مدیریت تغییر می‌تواند شیوه ثبت درخواست، ارزیابی اثر آن بر دامنه، زمان‌بندی و هزینه‌های مورد توافق را تعیین کند. بهتر است پیمانکار پیش از اجرای کار خارج از محدوده، تأیید کتبی دریافت کند. این روش از آن جلوگیری می‌کند که یکی از طرفین بعداً درباره انجام یا عدم انجام خدمت، زمان صرف‌شده یا تعهدات اضافی برداشت متفاوتی داشته باشد.

مدت، خاتمه و تحویل امن

مدت قرارداد، زمان آغاز خدمات، تمدید احتمالی و شرایط خاتمه باید روشن باشند. طرفین می‌توانند برای نقض تعهد، تأخیر مؤثر، عدم همکاری یا شرایط دیگری که ادامه رابطه را دشوار می‌کند، فرایند اعلام و فرصت رفع مشکل در نظر بگیرند. وضعیت توقف موقت خدمات، تحویل مستندات و تسویه تعهدات انجام‌شده نیز بهتر است پیش‌بینی شود. هنگام پایان همکاری، لغو حساب‌ها و کلیدهای دسترسی، تحویل گزارش‌ها و اطلاعات مورد توافق و حذف یا بازگرداندن داده‌ها اهمیت دارد. تعیین مسئول انجام هر اقدام و مهلت آن، فرایند خروج را قابل مدیریت‌تر می‌کند.

تنظیم و بررسی قرارداد در سندآرا

سندآرا خدمات تنظیم، تدوین، بررسی، بازبینی، اصلاح و شخصی‌سازی قراردادهای تجاری و پیمانکاری را ارائه می‌کند. قرارداد اختصاصی بر مبنای نیازها، شرایط طرفین، موضوع همکاری و الزامات سفارش تدوین می‌شود؛ بنابراین می‌توان آن را با نوع خدمات امنیت شبکه و وضعیت کارفرما هماهنگ کرد. قرارداد اختصاصی تخصصی، علاوه بر خواسته‌های طرفین، ریسک‌ها و الزامات تخصصی صنعت، حوزه فعالیت یا نوع قرارداد را نیز در نظر می‌گیرد و برای همکاری‌هایی مناسب است که دسترسی فنی، داده حساس یا تعهدات عملیاتی مهمی دارند.

اگر کسب‌وکار برای پروژه‌ها یا همکاری‌های مشابه به چارچوبی قابل تکرار نیاز دارد، نمونه قرارداد اختصاصی می‌تواند با ساختاری متناسب با الگوی همکاری موردنظر تدوین شود تا مبنای استفاده مجدد و تطبیق در پروژه‌های بعدی باشد. منظور از این خدمت، نمونه عمومی آماده یا فایل دانلودی نیست. انتخاب نوع خدمت به میزان تفاوت پروژه‌ها، حساسیت اطلاعات، سطح دسترسی پیمانکار و نیاز به تکرار قرارداد بستگی دارد. بررسی متن موجود نیز می‌تواند به شناسایی ابهام‌ها و اصلاح بندهایی کمک کند که با دامنه واقعی خدمات یا فرایندهای امنیتی طرفین سازگار نیستند.

سؤالات متداول

سؤال: آیا قرارداد امنیت شبکه باید محدوده آزمون‌های فنی را مشخص کند؟

پاسخ: بله. دارایی‌ها و سامانه‌های مجاز، نوع آزمون، محدودیت‌ها و زمان اجرای آن بهتر است روشن و قابل استناد تعیین شوند تا مجوز پیمانکار از حدود توافق فراتر نرود.

سؤال: آیا قرارداد می‌تواند جلوگیری کامل از حمله یا رخداد امنیتی را تضمین کند؟

پاسخ: تعهدات باید متناسب با خدمات قابل کنترل و محدوده همکاری نوشته شوند. قرارداد می‌تواند وظایف، سطح خدمت، گزارش‌دهی و فرایند پاسخ به رخداد را معین کند، اما نباید بدون مبنای روشن وعده جلوگیری از همه رخدادها تلقی شود.

سؤال: پس از پایان همکاری چه مواردی باید تعیین تکلیف شوند؟

پاسخ: لغو دسترسی‌های فنی، تحویل مستندات و داده‌های مورد توافق، بازگرداندن یا حذف اطلاعات در اختیار پیمانکار و وضعیت خدمات یا درخواست‌های ناتمام از مواردی هستند که بهتر است در قرارداد مشخص شوند.

سؤال: نمونه قرارداد اختصاصی سندآرا چه تفاوتی با نمونه عمومی دارد؟

پاسخ: نمونه قرارداد اختصاصی برای ساختاری متناسب با پروژه‌ها یا همکاری‌های مشابه تدوین می‌شود تا قابلیت استفاده مجدد و تطبیق داشته باشد؛ این خدمت فایل عمومی آماده یا دانلودی نیست.