Контрагенттермен құжаттарды қорғалған түрде алмастыру: не маңызды

Мәселе: файл жіберіп, бақылауды жоғалтпау

Контрагентке келісім-шарт, шот, акт немесе персоналды деректері бар файл жіберу қажет болғанда, әдеттегі тәсілдер (пошта, мессенджер, ортақ папкалар) қарапайым жіберуді қауіпке айналдырады. Файл оңай әрі қарай жіберілуі, жеке құрылғыларға сақталуы мүмкін, ал сізде «жібердік» деген ғана жауап қалады — нақты не болғанын түсіну жоқ.

Көп жағдайда қауіпсіздік «теорияда» емес, нақты жұмыстағы бақылауда бұзылады. Сілтеме чатқа түсе салады, тіркелім әріптеске «қарасын» деп жіберіледі, құжат үй ноутбугіне жүктеліп алынады, ал кейін бәрі соңғы нұсқанын кім және қайда көргенін анықтауға тырысады. Даулар, тексерулер немесе дерек жарамсыздығы болған жағдайда сіз: кім ашқанын, қашан жүктегенін және қатынасты қайтарып алған-жоғын нақты айта алмайсыз.

Бизнес үшін бұл жиі бірнеше зардаптарға әкеледі: коммерциялық ақпараттың төгілуі және келіссөздік позицияның жоғалуы, персоналды деректер немесе салалық талаптар бойынша айыппұлдар мен талаптар, беделге зиян және процестердің тоқтауы — қатынасты «тоқтату» қажет болғанда құралдар жоқ болады.

Сондықтан контрагенттермен құжаттарды қорғалған түрде алмастыру — бұл «архивке пароль қою» емес. Парольді оңай бөліседі, жүктелген файл үшін оны қайтару мүмкін емес және ол әрекеттер журналын бермейді. Қажет — қатынасты басқару: басқарылатын сілтемелер, пайдаланушылар мен құрылғылар бойынша шектеулер, жүктеу саясаты, аудит және тіпті жіберілгеннен кейін қатынасты жылдам жабу мүмкіндігі.

Қорғалған алмасудың бес міндетті функциясы

Құжаттарды контрагенттерге қорғалған түрде жіберу қажет болғанда, тек "файл жіберу" емес, жібергеннен кейін бақылауды сақтау маңызды. Әйтпесе келісім-шарт, шот немесе персоналды деректердің шығынынан тұратын выгрузка тез арада бақылаусыз көшірмеге айналады.

Шешімді тек егер оның ішінде бес негізгі функция болса ғана шынайы қарастыру керек.

• Файлға бақылаулы сілтемелер. Қатынас нақты адамдарға (мысалы, email бойынша) беріледі, сілтемені қайта жіберуді шектеуге, ашылым санын шектеуге және құрылғы немесе тіркелу талаптарын қоюға болады.
• Өмір сүру мерзімі және қатынасты қайтару. Сілтеме белгіленген уақыттан кейін автоматты түрде «өшіп», файл иесі қатынасты қолмен қайтарып ала алады, тіпті хат кеткен болса да.
• Әрекеттер аудиты. Тек «жүктеді/жүктемеді» емес, қараулар, қатынас талпыныстары, кіру қателіктері, құқық өзгерістері сияқты журналдар қажет.
• DLP-саясаттары. Ереже типтік төгілуге жол бермейді: басқарылмайтын құрылғыларға жүктеуді тыйу, сыртқа жіберуді блоктау, ашық сілтемелерге шектеу, файл түрлері бойынша бақылау.
• Берілгенде және сақтау кезінде шифрлау. Қорғаныс әрқашан жұмыс істеуі керек, пайдаланушының қалауы бойынша емес. Идеалда кім кілттерді басқаратыны мен қайда сақталатыны айқын болуы тиіс.

Басқа сөзбен: жеткізушіге келісім-шарт пен жабу құжаттарын жібергенде сіз кез келген сәтте кім файлды ашқанын көріп, қажет болса минут ішінде қатынасты жауып тастауыңыз керек — хатты «қайтарып алу» және бәріне жаңа нұсқаны қайта жіберу арқылы емес.

Бақыланатын сілтемелер: қатынасты «барлығына» айналдырмау

Файлға сілтеме ыңғайлы, бірақ бақылаусыз ол тез «кімге болса да қолжетімді» болады, әсіресе чатта қайта жіберілсе немесе кең шеңберге жіберілген поштаға түсіп қалса. Құжаттарды контрагенттермен қорғалған түрде алмастыруда маңыздысы — сілтеменің өзінен гөрі оның айналасындағы ережелер.

Айырмашылық қарапайым: ашық сілтеме URL-ді білетін кез келген адамға ашық; бақылаулы сілтеме тұлғаны тексеруді талап етеді. Идеалда қабылдаушы есептік жазба арқылы (тіпті қонақ) кіреді немесе бірреттік кодпен қатынасты растайды. Солай сіз нақты кім құжатты ашқанын білесіз.

Растау тәсілдері әдетте мыналар:

• SSO — ірі серіктестер үшін, егер келісім мен ИТ-процесстер болса жарайды.
• Бірреттік код (email немесе SMS арқылы) — бір реттік сыртқы қабылдаушылар үшін ыңғайлы.
• Құпиясөз — резерв ретінде қалдырған дұрыс, өйткені оны жиі бөліседі.

Кейде IP, география немесе құрылғылар бойынша қосымша шектеулер қажет болады. Бұл құжатты тек серіктес компанияның желісінен, тек Қазақстаннан немесе тек корпоративті ноутбуктан ашу керек болса пайдалы. Мұндай шаралар қаржылық есептер, тендер материалдары және персоналды деректер үшін әсіресе өзекті.

«Шерингті» толықтай тоқтату қиын, бірақ тәуекелді айтарлықтай азайтуға болады. Сілтеме нақты қабылдаушыға байланғанына және «сілтемесі бар барлыққа» емес екеніне, сондай-ақ саясат деңгейінде қайта жіберуді шектеу мүмкіндігі бар екеніне көз жеткізіңіз (мысалы, жаңа құрылғыдан ашқанда қайта растаманы талап ету).

DLP-саясаттары: қандай ережелер шынайы жұмыс істейді

DLP (Data Loss Prevention) — құжаттарды жіберу және сақтау кезінде деректердің төгілуін болдырмауға көмектесетін ережелер жиынтығы. Қорғалған алмасуда DLP бақылау ретінде емес, сақтандыру ретінде қажет: сіз алдын ала файлмен не жасауға болатынын жүйеге белгілейсіз.

Жұмыс істейтін саясаттар әдетте күрделі тыйымдардан емес, түсінікті құқық шектеулерінен басталады. Практикада жиі қолданылатын бірнеше базалық ереже:

• браузерде қарау мүмкіндігі (жүктеусіз) — келісім-шарттар, прайс-листтер, бастапқы кезеңдегі ТЗ үшін;
• басып шығару мен көшіруді тыйу — формулировка мен реквизиттер маңызды болғанда;
• қараушының аты/компания/уақыты бар водяные знаки;
• тек корпоративті құрылғылардан немесе 2FA-дан кейін қолжетімділік;
• үшінші тарап ашқан кезде авто-блоктау (қабылдаушы немесе құрылғы өзгерген кезде).

DLP-нің екінші бөлігі — мазмұнды тексеру. Жүйе құжаттардан ИИН/БИН, паспорт деректері, карталар нөмірі, мекенжайлар, медициналық ақпарат немесе «коммерциялық құпия» сияқты маркерлерді тауып, қатты режим қолдануы мүмкін. Мысалы, актте ИИН бар болса, ол контрагентке тек қарау режимінде және водяным белгілермен берілуі мүмкін.

Шектеулер жұмысқа кедергі келтірмес үшін ерекшеліктер де болуы керек: кімге жүктеуге рұқсат, қанша уақытқа және қандай себеппен. Жақсы тәжірибе — шығарылған жеңілдік келісімді талап етеді және автоматты түрде аудитке түседі.

DLP көмектесу үшін бірнеше принципті ұстаныңыз:

• құжат түрлері бойынша 3–5 саясаттан бастаңыз;
• блоктауларды қоспаған бұрын «бақылау» режимін қосыңыз;
• жеңілдіктерді рөлдер мен мерзім бойынша жасаңыз, «адамға мәңгі» емес;
• шектеулер мәмілені жабуға кедергі жасамайтынын тексеріңіз (басып шығару, қол қою, нұсқалармен алмастыру).

Осылайша DLP бақылаудың түсінікті құралына айналады, айналып өту жолдарының қайнар көзіне емес.

Жүктеу мен қатынас аудиті: не көрінуі керек

Құжаттарды қорғалған түрде алмасқанда «тек сілтемені жібердік» жеткіліксіз. Жібергеннен кейін із қалуы тиіс: кім, қашан және файлмен нақты не істеді. Олай болмаса қауіпсіздік оқиғаны тексере алмайды, ал комплаенс — қатынастың дұрыстығын растай алмайды.

Пилот кезеңінде минимум оқиғаларды тексеріп алыңыз. Журнал тек табысты әрекеттерді емес, талпыныстарды да жазуы маңызды.

Журналда әдетте болуы тиіс:

• пайдаланушының кіруі және растау әдісі (мысалы, код арқылы);
• файл немесе папканы қарау, уақыт пен IP/құрылғы көрсетілімі;
• жүктеу, басып шығару және ары қарай жіберу (рұқсат болса);
• қатынастан бас тарту (қате код, мерзімі өткен, құқық жоқ);
• құқық өзгерістері: кім берді, кім қайтарды, не өзгерді.

Қауіпсіздік пен комплаенс есептері әдетте мына сұрақтарға жауап береді: кім келісімге қол жеткізді, кім жүктеді және неше рет, «күтуге жатпайтын» жерлерден талпыныстар болды ма, қай қызметкер сыртқа рұқсат берді. Есепті контрагент, құжат немесе кезең бойынша сүзгілеу және ішкі тексеруге шығару мүмкін болса жақсы.

Журналдарды сақтау мен оларға құқық беру бөлек тақырып. Схема анық болуы керек: кім жүйені әкімшілейді, кім тек оқиды. Әйтпесе әкімші ізді жасыра алады.

Хабарландырулар қолмен тексеруді күтпей әрекет етуге көмектеседі. Массовый жүктеу, жұмыс уақытынан тыс кіру, кіру талпыныстарының өсуі және қайталанатын бас тартулар үшін триггерлер пайдалы. Мысалы, жабу құжаттарын жеткізгенде сілтеменің «қолданыларға таралуы» байқалса, қатынасты дереу қайтарып алу керек.

Өмір сүру мерзімі, қайтару және нұсқалар: жібергеннен кейінгі бақылау

Қатты қорғалса да, жібергеннен кейін бақылауды жоғалту оңай: сілтеме қайта жіберіледі, контрагенттің менеджері ауысады, ал сізде жаңа нұсқа пайда болады. Сондықтан қорғалған алмасу шешімінде үш нәрсе болуы керек: өмір сүру мерзімі, жылдам қайтару және түсінікті нұсқалар.

Сілтемелердің әрекет ету мерзімін әдетте әдепкі бойынша қою ыңғайлы. Бір реттік алмасулар үшін (шот, акт) бірнеше күн жеткілікті. Ұзақ жобаларға ұзақ мерзім беруге болады, бірақ міндетті тексерумен: сілтеме әлі қажет пе әлде уақытша жабылуы керек пе.

Қатынасты қайтару бір басумен жұмыс істеуі тиіс. Бұл контрагент ауысқанда, келісім бұзылғанда немесе қате адреске қатынас берілгенде маңызды. Жақсы тәжірибе — қол қою немесе есепке енгізу аяқталғаннан кейін ескі сілтемелерді бірден қайтарып тастау.

Нұсқаларды бақылау «қате файл жіберілді» мәселесін шешеді. Идеалында бір сілтеме бір адреске тиесілі, бірақ сіз мазмұнды жаңартасыз: контрагент әрдайым соңғы нұсқаны ашады және сіз өзгерістерді тарихтан көре аласыз.

Тексеру кезінде мынадайларды қараңыз:

• әдепкі өмір сүру мерзімін қою және жобаларға ерекшелік жасау мүмкіндігі;
• сілтемені бірден қайтару және берілген қатынасты бұғаттау;
• нұскалардың қалай ұйымдастырылатыны: тарих, комментарийлер, қалпына келтіру;
• retention: артық файлдарды N күннен кейін автоматты жою;
• маңызды құжаттарды ұстап тұру (мысалы, тексерістер мен даулар үшін) мүмкіндігі.

Мысал: жеткізушіге келісім мен жабу құжаттарын жібердіңіз. Қол қойғаннан кейін файлыңызды финалдық нұсқаға жаңартасыз, ал ескі сілтемелер жүйе арқылы 7 күннен кейін автоматты түрде жабылады, ал бухгалтерия үшін retention бойынша көшірме сақталады.

Шифрлау және кілттерді басқару қарапайым түрде

Шифрлау файлды беріліс кезінде де, сақтау кезінде де қорғайтын болуы керек. Контрагенттермен құжаттарды қорғалған түрде алмастыруда бұл негізгі гигиена: сілтеме ұрланса немесе инфрақұрылым шабуылға ұшыраса да, деректер ашық күйде оқылмауы тиіс.

Вендорға бірнеше тура сұрақ қойыңыз — жауаптар өнімнің жетілуін көрсетеді:

• беріліске қандай шифр қолданылады (әдетте TLS) және сақтауда қандай әдіс (мысалы AES-256), бұл әдепкі бойынша қосылған ба;
• кілттерді кім басқарады: вендор, сіз, әлде BYOK (өз кілтіңіз) құру мүмкіндігі бар ма;
• кілттердің ротациясы, қайтарылуы және құқықтардың бөлінуі (мысалы, әкімші деректерге да, кілттерге де бірдей қолжетімді болмауы) қалай ұйымдастырылған;
• кілттер мен журналдар физикалық және логикалық қайда сақталады және бұл аудитпен қалай расталады;
• қызметкерлер немесе мердігерлер ауысқанда не болады: қатынасты қалай тез шектеуге болады, деректер жоғалмай ма.

Клиент жағындағы шифрлау (файлды жүктемес бұрын шифрлау) — провайдерге тіпті метадеректерге сенімсіздік болғанда орынды. Бірақ кемшілігі бар: предпросмотр, іздеу, антивирус тексерісі, кейде DLP және заңды ұстау нашар жұмыс етуі мүмкін. Көбіне сервер жағындағы шифрлау мен кілттерді қатаң басқару практикалық әрі жеткілікті болады.

Резервтік көшіру және қалпына келтіруді бөлек тексеріңіз. Мысал сценарий: бухгалтерия жабу құжаттарын жіберді, айдан кейін тексеріс басталды, ал жауапты адамның ноутбугі өзгерді. Қалпына келтіру процедурасы анық болуы, резервтік кілттердің қауіпсіз сақталуы және кімнің қандай негізде қалпына келтіретіні реттелуі керек. Егер интеграторды тартсаңыз, мысалы GSE.kz, бұл талаптарды саясаттар мен рөлдерге бастапқыда енгізуді сұраңыз, кейін «қосамыз» деген орынға қалдырмаңыз.

Kiteworks, ShareFile, Tresorit: қалай нақты салыстыру керек

Бұл шешімдер жиі қысқа тізімге түседі, бірақ әрқайсысы біраз әртүрлі. Жиынтықпен айтқанда, Kiteworks — тәуекелдерді басқаруға және интеграцияларға басымдық беретін корпоративтік платформа. ShareFile — сыртқы алмасудың қарапайымдылығы мен контрагент үшін түсініктілігі үшін таңдалады. Tresorit — шифрлау мен құпиялылық бірінші орынға қойылғанда қарастырылады.

Контрагенттермен құжаттарды қорғалған түрде алмастыруды брендтер төңірегінде талқыламау үшін әр өнімді бірдей тапсырмалар жиынтығы бойынша тексеріңіз.

Әр өнімде не тексеру керек

Kiteworks-та әдетте саясаттарды қаншалықты терең баптауға болатынын (кім, қайдан, не істей алады), корпоративтік каталогтар мен поштаға интеграциялар бар-жоғын, іс-әрекеттер аудитінің толықтығын және әкімші интерфейсінің қаншалықты ыңғайлы екенін қарастырады.

ShareFile-те сыртқы қолжетімділіктің тіркелусіз қаншалықты реттелетіні, құқықтарды беру икемділігі (тек қарау, жүктеуді шектеу, водяные знаки), сілтемелердің өмір сүруі мен қатынасты қайтару қалай жұмыс істейтіні және іс-әрекеттер тарихының айқынышын тексеріңіз.

Tresorit-та шифрлау моделі (не және қайда шифрланатыны), сыртқы алмасу қалай ұйымдастырылғаны (сілтемелер, шақырулар, құпиясөздер) және қатал қауіпсіздіктің папкалармен және нұсқалармен жұмысты қиындатпайтыны маңызды.

Барлығына бір чек-лист

Демо кезінде бірдей тексерулерді қолданыңыз:

• бақылаулы сілтемелер: мерзім, құпиясөз, құрылғы/IP шектеулері, жүктеуді тыйу;
• DLP-саясаттары: файл түрлері, кілт сөздер, авто-блоктау және жеңілдіктер;
• аудит: кім ашты, кім жүктеді, қандай құрылғыдан, есептерді экспорттау;
• шифрлау мен кілттер: кім басқарады, қалай өзгереді, резервтермен не болады;
• интеграциялар мен әкімшілік: SSO/AD, пошта, SIEM, рөлдер және делегирование.

Тест сценарийі: серіктеске келісім және жабу құжаттарын жіберіп, 7 күн мерзім қойып, қайта жіберуді шектеу және жібергеннен кейін қатынасты қайтарып көріңіз. Бұл 2–3 қадамда жасалса және бәрі аудитте көрінсе — өнім негізгі талаптарға сай.

Үлкен ұйымға енгізу барысында интеграциялар мен регламенттерді жүйелік интегратормен, мысалы GSE.kz-пен алдын ала талқылаңыз: нақты талаптар саясаттарда, қолжетімділік пен есеп беруде дәл осы кезеңде көрінеді.

Қалай енгізу керек: кезең-кезеңімен

Қорғалған алмасу жұмыс істеуі үшін нақты ағымдарды сипаттаудан бастаңыз. Қандай файлдарды жібересіз (келісім-шарттар, шоттар, жабу құжаттары), кімге және қаншалықты жиі — бұл қай жерде қатты бақылау қажет екенін көрсетеді.

1) Алдымен талаптарды бекітіңіз

Минималды ережелер тізімін жинап, қауіпсіздік пен процестер иелерімен келісіңіз:

• құжаттарды сезімталдық бойынша бөлейік: ашық, ішкі, конфиденциалды;
• контрагент қалай кіреді: сілтеме арқылы, қонақ ретінде немесе бөлек аккаунт арқылы;
• не рұқсат етіледі: тек қарау, қарау және жүктеу, бірлесіп редакциялау.

Содан кейін рөлдер мен құқықтарды әдепкі түрде қауіпсіз болатындай етіп баптаңыз. Мысалы, келісім-шарттар үшін жүктеусіз қарауды қосып, сілтемені қайта жіберуді шектеңіз; жүктеуді тек контрагенттің бухгалтериясына рұқсат етіңіз.

2) Бақылау мен ережелерді іске қосыңыз

Одан әрі — жіберілгеннен кейін тыныштық беретін бақылауды қосыңыз:

• іс-әрекеттер аудитін қосыңыз: кім ашты, кім жүктеді, қандай құрылғыдан және қанша рет;
• күдікті кіру талпыныстары туралы хабарламаларды баптаңыз;
• DLP-саясаттарын қойыңыз: ИИН, реквизиттер, персоналды деректерді жіберуді шектеу және жеңілдіктер тізімі.

Содан кейін 1–2 процестен пилот өткізіңіз. Мысалы: бір жеткізушімен келісім және жабу құжаттарын алмасу — сілтеме 7 күнге өмір сүрсін, қатынасты кез келген сәтте қайтаруға болады және жүктеу оқиғалары жауапты адамдарға көріне ме.

Пилотнан кейін регламентті бекітіңіз: кім папкаларды құрады, кім қатынасты береді, аудит қаншалықты жиі тексеріледі, утечка жағдайында не істеу керек. Егер баптау мен интеграция қажет болса, жүйелік интеграторлар (мысалы, GSE.kz) пилот кезеңінде қосылып, саясаттарды жұмыс күйіне келтіруге көмектеседі.

Жиі кездесетін қателіктер және оларды қалай болдырмау

Контрагенттермен қорғалған алмасудағы ең көп себепші утечкалардың бірі — "әдепкі баптаулар". Файл жіберілді, тапсырма жабылды, ал қатынас айлар бойы өмір сүреді.

Бірінші тұзақ — мерзімі жоқ және жылдам қайтару жоқ сілтемелер. Осындай сілтеме хатқа түсіп кетсе, әріптеске жіберілсе немесе ортақ компьютердің шолғыш тарихында қалса, таралуды тоқтату қиын.

Екінші — бәріне бірдей құқықтар. Келісім, шот және персоналды деректері бар файлдар бір папкаға салынып, барлық контрагенттерге бірдей «қарау және жүктеу» құқықтары беріледі. Қарапайым классификация және құқық шаблондары болмаса бұл міндетті түрде мәселе.

Үшінші — адекватты аудиттің болмауы немесе журналдардың тым қысқа сақталуы. "Кім және қашан жүктеді" деген сұрақ пайда болса, оқиғалар жазылмаған немесе логтар жойылған болуы мүмкін. Комплаенс талаптары бар ұйымдар үшін бұл аса маңызды.

Төртінші — DLP-мен асыра қатаңдық. Ережелер жұмыс әрекеттерінің жартысын блоктайтын болса, қызметкерлер жүйені айналып өтуге көшеді: жеке поштаға, мессенджерлерге немесе скриншоттарға сүйенеді. "Рұқсат етілген жолды" ыңғайлы қылыңыз.

Бесінші — процеске иесінің жоқтығы. Қатынастар "ИБ, ИТ және бизнестің арасында ілініп" қалады, және в итоге ешкім қатынасты беру, қайтару және инциденттерді талдау үшін жауап бермейді.

Не көмектеседі:

• сілтеменің өмір сүру мерзімі мен қайтаруды міндетті баптаулары етіп қойыңыз;
• құжаттарды кемінде 2–3 категорияға бөлу және әрқайсысына шаблон құқықтар тағайындаңыз;
• қолжетімділік пен жүктеу аудитін регламент талап ететін уақытқа дейін сақтаңыз және оның шын мәнінде жинақталатынын тексеріңіз;
• DLP-ны кезең-кезеңімен енгізіңіз: алдымен ескертулер және оқыту, содан кейін блоктаулар;
• процеске иені тағайындаңыз: кім қатынасты бекітеді, кім оны жабады, инциденттерді кім қарайды (мысалы, жабдық жеткізу жобаларында, GSE.kz сияқты интеграторлар жиі араласады).

Шешімді таңдаудан бұрын жылдам чек-лист

Контрагенттермен қорғалған алмасуда ыңғайлы интерфейс жиі басты қауіптерді жасырады. Тірі демо-сессияда әр пунктті көргізуді сұраңыз, презентация емес.

• Сыртқы пайдаланушылар: шақырулар, бірреттік кодтар, MFA сияқты қалыпты авторизация бар ма және сілтеме бойынша анонимді қолжетімділікті толықтай өшіруге бола ма.
• Әрекеттерді бақылау: жүктеуді өшіруге және тек қарауды қалдыруға бола ма, қайта жіберуді немесе сілтемені қайта пайдалануды шектеуге бола ма.
• Өмір сүру мерзімі: әдепкі мерзім, авто-қайтару және файлды жоймай-ақ сілтемені қолмен қайтару мүмкіндігі бар ма.
• Журнал және тергеу: кім және қашан құжатты ашқанын, қай құрылғы мен IP арқылы жүктегенін көруге және оқиғаларды ішкі аудит үшін шығарып алуға бола ма.
• Деректерді қорғау: файлдарға арналған DLP (ИИН, карталар, медицина деректері), келісім бойынша жеңілдіктер және жіберу мен сақтау кезінде шифрлау бар ма.

Осыны нақты жағдайда тексеріңіз: тест контрагентке келісім жобасы мен реквизиттері бар қосымшаны жіберіңіз. Кейін қатынасты қайтарып, жүктеуді шектеп, журналдан жүктеу оқиғасы бар-жоғын тексеріңіз.

Егер сізде қауіпсіздік пен комплаенс талаптары бар болса (мемлекеттік орган, қаржы секторы, медицина), алдын ала қауіпсіздікпен журналдар форматын, DLP ережелерін және тіркелетін минимум оқиғаларды талқылаңыз. Бұл таңдау мен пилотты жылдам және күтпеген жағдайларсыз өткізеді.

Мысал сценарий: жеткізушімен келісім және жабу құжаттары

Жаңа жеткізуші келісім жобасын жіберді, кейін шоттар, актілер және жабу құжаттары келеді. Процесте сатып алулар, заң бөлімдері және бухгалтерия қатысады. Негізгі қауіп — файл пошта немесе мессенджер арқылы әрі қарай жіберіліп кетіп, кім және қашан алғанын анықтай алмай қалу.

Практикалық тәсіл — осы жеткізушіге арнап бөлек папка жасап, қатынасты адамға емес тапсырмаға байланысты беру: қарау, келісу, қол қою. Бастапқы тексеру үшін көбінесе тек қарау құқығы жеткілікті, жүктеуге және қайта жіберуге тыйым салынсын. Сілтемеге 7 күн мерзім қою — қатынастың айлар бойы өмір сүруінен сақтайды.

Баптауда әдетте мыналар болады:

• папка: «Поставщик N - договор и акты», тек таңдалған адресстерге қолжетімді;
• құқықтар: тек қарау (қажет болса комментарий), жүктеуді тыйу;
• мерзім: 7 күн, кез келген сәтте қайтаруға мүмкіндік;
• қорғау: құжат сезімтал болса сілтемеге пароль және тұлғаны растау (мысалы, код арқылы).

Жібергеннен кейін нәтиже күтпей тексеріңіз. Мінімум көрінетін деректер: кім сілтемені ашты, қашан, қай құрылғы/ IP арқылы, жүктеу талпыныстары болды ма және сәтті болды ма. Қарау және жүктеу туралы хабарламалар келсе, бухгалтерия үшін қатынастар есептерін шығарып алуға ыңғайлы.

Қауіп пайда болса (хат қате адамға кеткен, адрес бұзылған, жеткізуші контактіні өзгертті), әрекеттер қарапайым: сілтемені дереу қайтарып, жаңа сілтемені тек қажетті адамға беріп, оқиға журналда тіркелсін. Бұл жазалау үшін емес, кейін оқиға қандай жерде бұзылғанын қалпына келтіру үшін қажет.

Келесі қадамдар: талаптан пилотқа және жұмыс регламентіне

Конкретикадан бастаңыз: шын мәнінде қандай құжаттарды контрагенттерге жібересіз және сіз үшін не маңызды. Біреулер үшін қайта жіберуді тыйу мен DLP басты, басқалар үшін — бақылаулы сілтемелер мен тез қайтару маңызды.

Талаптарды 1–2 бетке құжаттаңыз:

• деректер түрлері: келісімдер, шоттар, персоналды деректер, медициналық деректер, бастапқы кодтар;
• рөлдер мен құқықтар: кім жібереді, кім бекітеді, кім жүктей алады;
• мерзімдер: сілтеменің қанша өмір сүруі, қашан қайтару міндетті;
• интеграциялар: пошта, пайдаланушылар каталогы (мысалы, AD), журналдандыру;
• қауіпсіздік ережелері: DLP, водяные знаки, MFA, құрылғы шектеулері.

Содан кейін 2–3 кандидат таңдап (мысалы, Kiteworks, ShareFile, Tresorit) бірдей сценарий бойынша пилот өткізіңіз. Нақты процесс алыңыз: жеткізушіге келісім жіберу, келісу, нұсқаны қайта жіберу және аудитте кім ашты және жүктеді ме — бәрін көріңіз.

Пилоттан соң қызметкерлерге қысқа регламент жазыңыз: қорғалған жіберуді қашан қолдану, сілтеменің мерзімін қалай қою, қате жібергенде не істеу, инциденттер туралы кімге хабарлау. Типтік жағдайларға 2–3 шаблон баптаулар жасаңыз.

Алдын ала қолдау тағайындаңыз: әкімшілік кім жүргізеді, инциденттерді кім тексереді және есептерді кім дайындайды. Егер енгізуде көмек керек болса, GSE.kz (gse.kz) интегратор ретінде: шешімді жобалап, интеграцияларды және рөлдерді орнатып, әрі қарайғы қолдауды ұйымдастыра алады.