Сторонняя организация и ПДн - Форум по вопросам информационной безопасности

Есть сторонняя компания внедряющая ПО, для выполнения задач имеет удаленный доступ к программе и информации, частью конфиденциального характера. Заключим мы с ними Соглашение о конфиденциальности, но как проконтролируешь как они используют информацию. Какие еще нужны действия по отношению к ним? Как в целом решаются подобные вопросы при привлечении сторонних организаций и допуске их к информации конфиденциального характера?

Можно на тех же договорных основаниях обязать их соблюдению конфиденциальности и выполнения таких-то требований по защите доступных им ресурсов (каналов доступа, АРМов обработки и т.п.) или дополнений к договору... Но основываясь на новый закон при разглашении ПДн, карать регуляторы или суд будут Вас (как оператора ПДн) (даже если утечка не у Вас). А Вы анально караете стороннюю организацию (если это прописано в договоре! или конф-ых соглашениях, при не соблюдении обозначенных требований по безопасности).

Что по части контроля, то если у них фактически есть доступ к "машине с БД, потоками", но не разрешено к ним обращаться, то при использовании СЗИ от НСД или может стандартными средствами win,lin.. определить факт доступа, копирования, прочтения.. их стороной информации конфиденциального характера, то можете обратиться либо в суд и разрывать отношения, либо аргументируя на факты решать вопрос полюбовно с их начальством, возможно оно само анально покарает своих сотрудников.

Если же они имеют право доступа и право работать с Вашей КИ, то в случае разглашения охраняемой инфы, Вы сможете обратиться в суд на невыполнение требований по безопасности сторонней организации, и то если сможете доказать, что именно с их стороны произошла утечка, в следствии не выполнения требований конфиденциальности, прописанных в договоре или соглашениях о конфиденциальности и т.п.