Ответ на анкету банка или партнёра по информационной безопасности

Формы бывают от двух страниц до таблицы на сотни строк, семейства вопросов одни и те же.

• Управление. Кто отвечает за безопасность, есть ли утверждённые политики и оценка рисков.
• Доступы. Включена ли многофакторная аутентификация, как выдаются и отзываются права, кто имеет административный доступ.
• Данные. Где хранятся данные клиентов, шифруются ли они, как удаляются.
• Инциденты. Есть ли порядок реагирования, кто и в какой срок уведомляет партнёра, ведётся ли журнал событий.
• Подрядчики. Какие облачные сервисы и поставщики обрабатывают данные, как вы их проверяете.
• Непрерывность. Есть ли резервные копии и проверялось ли восстановление.

Форматы анкет

Часть банков присылает собственную форму. Облачным и SaaS-компаниям часто приходит CAIQ от Cloud Security Alliance: набор вопросов «да/нет», привязанных к Cloud Controls Matrix; версия CAIQ v4.1 опубликована 27.01.2026. Вопросы многих форм совпадают с мерами ISO/IEC 27001 и функциями NIST CSF 2.0, поэтому одна выверенная база ответов служит нескольким анкетам.

ISO прямо пишет, что компания, внедряющая ISO/IEC 27001, сама решает, проходить ли сертификацию; сертификат выдаёт аккредитованный орган по оценке соответствия. Отчёт SOC 2 по правилам AICPA готовит только CPA-фирма по итогам проверки. Без них опорой анкеты становятся ваши фактические меры.

Как выглядит честный ответ

У каждого вопроса три допустимых состояния: «да» с доказательством, «частично» с описанием того, что сделано, и «нет» с датой, к которой мера появится. Так банк видит, где вы стоите, и может согласовать сроки, и под анкетой нет обещаний, которые нечем подтвердить.

Чем опасен оптимистичный ответ

Ответы из анкеты могут перейти в договор как заверения, и банк вправе проверить их позже. Для финансовых организаций ЕС это закреплено в регламенте DORA: если ваша услуга поддерживает критичную или важную функцию, договор даёт банку права доступа, проверки и аудита (ст. 30(3)(e)), а частоту проверок банк определяет по риску (ст. 28(6)). Неподтверждённое «да» в анкете превращается в нарушение договора в день первой проверки.

Регламент (ЕС) 2022/2554 (DORA) требует от финансовой организации до заключения договора на ИКТ-услуги оценить риски договора и провести due diligence поставщика (ст. 28(4)). Работать разрешено только с поставщиками, которые соблюдают надлежащие стандарты информационной безопасности (ст. 28(5)). Каждый такой договор организация вносит в реестр информации и по запросу показывает его надзорному органу (ст. 28(3)).

Что попадает в договор после анкеты

Статья 30(2) DORA перечисляет обязательные условия договора, и часть из них повторяет вопросы анкеты: защита доступности, целостности и конфиденциальности данных; помощь поставщика при ИКТ-инциденте без доплаты или по цене, согласованной заранее; места обработки данных. Ваши ответы становятся основой этих пунктов.

Если вы вне ЕС

DORA обращена к финансовым организациям ЕС, и её требования доходят до поставщика через договор и анкету. Компания из Канады, ОАЭ или Великобритании с клиентом-банком из ЕС получает те же вопросы. Требования к лицензии самого финтеха ведёт наша практика комплаенса.

1. Разбор анкеты. Группируем вопросы по семействам и отмечаем, где банк ждёт приложение.
2. Письмо о рамках (scope letter). Фиксируем, какие системы смотрим, какие документы готовим, сроки и фиксированную цену. Без подписи ничего не проверяем.
3. Сверка с фактами. Смотрим доступы, MFA, резервные копии, почту и облачные сервисы, говорим с теми, кто ими управляет. Каждую находку проверяет человек.
4. Ответы и доказательства. Заполняем анкету в формате банка, к каждому «да» прикладываем документ или снимок настройки, к каждому «частично» и «нет» пишем план.
5. Закрытие пробелов. То, что можно исправить быстро, исправляем сами или вместе с вашим ИТ-подрядчиком, затем перепроверяем и обновляем ответ.
6. Уточняющие вопросы. Вопросы банка по ответам закрываем в рамках того же scope.

Ответы и материалы принадлежат вам. Если анкета идёт вместе с KYC-пакетом на открытие счёта, работу координирует банковская практика.