Чек-лист аудита соответствия для систем передачи файлов

Аудит соответствия системы передачи файлов в 2026 году проверяет, действительно ли применяемые контроли соответствуют задекларированным политикам. Рабочий чек-лист охватывает восемь областей: криптография (AES-256-GCM в состоянии покоя, TLS 1.3 при передаче, жизненный цикл ключей), контроль доступа (MFA, минимальные привилегии, таймауты сессий), резидентность данных (расположение серверов, субпроцессоры), журналирование и мониторинг (журнал действий, загрузка в SIEM), хранение и удаление (соответствие политике, криптографическое стирание), должная осмотрительность в отношении третьих сторон (SOC 2 вендора, ISO 27001), реагирование на инциденты (проверенный план, возможность уведомления за 24–72 часа) и обучение пользователей (ежегодное повторение, ролевой контент). При работе с персональными данными российских граждан аудит дополнительно проверяет соответствие 152-ФЗ и 242-ФЗ — для подтверждения того, что первичная обработка осуществляется на российских серверах.

Почему этот аудит отличается от общего ИТ-аудита

Системы передачи файлов находятся на границе: внутри контроля при загрузке сотрудниками, снаружи при скачивании получателями. Общий ИТ-аудит может проверить шифрование диска и правила брандмауэра. Аудит передачи файлов должен следовать за файлом через эту границу. Аутентифицируется ли получатель? Контролируется ли место загрузки? Можно ли переслать ссылку? Что происходит после истечения срока действия?

Аудит также сопоставляется с регуляциями, конкретно затрагивающими передачу файлов: GDPR Статьи 32 и 28, HIPAA 45 CFR 164.312(e) о безопасности передачи, PCI DSS Требование 4 и требования SOX Раздел 404 о следе аудита. Привязка аудита к этим конкретным пунктам обостряет выводы.

Раздел криптографии в чек-листе

Убедитесь, что файлы в состоянии покоя зашифрованы с AES-256 в режиме GCM или CBC-HMAC с аутентификацией. Убедитесь, что транспорт использует TLS 1.3 или TLS 1.2 со стойкими шифрами (без RC4, 3DES или экспортных). Для сервисов со сквозным шифрованием проверьте деривацию ключей (PBKDF2 с не менее 600 000 итерациями или Argon2id с откалиброванными параметрами) и подтвердите, что ключи никогда не попадают на сервер в открытом виде.

Проверьте периодичность ротации долгоживущих ключей (90 дней для сессионных ключей, ежегодно для мастер-ключей на системах с поддержкой KMS). Подтвердите использование HSM или KMS для мастер-ключей через журнал аудита или аттестацию вендора.

Контроль доступа и аутентификация

Изучите доступные методы аутентификации. MFA должна требоваться для административных учётных записей и учётных записей отправителей, с поддержкой TOTP, WebAuthn или push-уведомлений. SSO через SAML 2.0 или OIDC должен интегрироваться с IdP организации (Okta, Azure AD, Google Workspace). Таймауты сессий 15–30 минут для неактивных пользователей соответствуют стандартной практике. Для получателей: защищённые паролем ссылки, верификация по электронной почте для каждого получателя или доступ через SSO.

Общие ссылки без контроля доступа — это находка. Проверьте модель административных ролей: разделение между системным администратором и специалистом по проверке аудита не позволяет лицу, управляющему журналами, также их фальсифицировать.

Резидентность данных и субпроцессоры

Подтвердите задокументированный список центров обработки данных, их сертификаты (ISO 27001, SOC 2 Type II, SecNumCloud при необходимости) и страны их работы. Убедитесь, что резервные копии остаются в требуемом регионе. Получите список субпроцессоров и проверьте позицию по соответствию каждого из них. Вендор, размещённый на AWS Ireland с CDN-провайдером из США, имеет субпроцессора CDN для изучения.

Протестируйте контроли локализации: загрузите файл и осмотрите сетевые трассы с помощью инструментов вроде Wireshark или инструментов разработчика браузера, чтобы проследить фактический маршрут байтов. Расхождения между маркетинговыми заявлениями и наблюдаемым поведением — это находки.

Журналирование, мониторинг и оповещение

Выберите 30-дневную выборку журналов аудита. Убедитесь, что каждая загрузка, скачивание, создание ссылки, истечение ссылки, административное действие и неудачная аутентификация присутствуют в журнале. Проверьте целостность записей журнала с хэш-цепочкой. Подтвердите потоковую передачу журналов в SIEM (Splunk, Sentinel, Elastic, Datadog) или их экспортируемость через API.

Протестируйте поиск: попросите администратора предоставить журналы за конкретный диапазон дат и измерьте время ответа. Проверьте правила оповещения: необычные объёмы скачиваний, доступ из новых географических регионов, изменения административных привилегий и всплески неудачных MFA должны вызывать оповещения. Тишина по любой из этих категорий — находка. Проверьте хранение журналов на соответствие наиболее длительному применимому правилу (6 лет HIPAA, 7 лет SOX).

Контроль хранения и удаления

Политика и практика часто расходятся. Если политика устанавливает 7-дневное хранение для обычных передач и 30-дневное для комнат проектов, убедитесь, что инструмент соблюдает эти значения по умолчанию и их нельзя переопределить без административных действий. Протестируйте удаление: загрузите файл, дождитесь истечения срока, затем попытайтесь его получить. Файл должен возвращать 404 или страницу об истёкшей ссылке.

Уточните механику удаления: удаление на уровне файла сохраняет резервные копии, тогда как криптографическое стирание через уничтожение ключей удовлетворяет требованиям NIST SP 800-88 немедленно. Подтвердите функциональность юридической блокировки, симулировав запрос на блокировку и проверив приостановку удаления.

Должная осмотрительность в отношении третьих сторон

Соберите последний отчёт SOC 2 Type II вендора, сертификат ISO 27001, соответствующие отраслевые сертификаты, резюме пентеста и Соглашение об обработке данных. Отчёт SOC 2 должен охватывать как минимум Критерии доверительных услуг «Безопасность» и «Конфиденциальность», а для активного использования в контексте конфиденциальности — также раздел «Приватность».

Проверьте имя аудитора (PwC, Deloitte, EY, KPMG, Schellman, BDO и аналогичные авторитетные компании). Убедитесь, что объём включает продукт передачи файлов, а не только корпоративный ИТ. Изучите исключения и ответы руководства. SOC 2 с несколькими неурегулированными исключениями за период аудита вызывает озабоченность.

Реагирование на инциденты и непрерывность бизнеса

Запросите план реагирования на инциденты. Он должен называть роли, способы связи, уровни эскалации и шаблоны уведомлений. Убедитесь, что настольное или реальное учение проводилось в течение последних 12 месяцев, и изучите отчёт по итогам. Подтвердите SLA вендора по уведомлению о нарушениях в DPA: 24–72 часа типично для регулируемых клиентов.

Протестируйте, отправив вопрос безопасности через опубликованный канал и измерив время ответа. Проверьте непрерывность бизнеса: частоту резервного копирования, обязательства RPO/RTO и проверенное переключение при отказе. Выясните, когда проводилось последнее учение по аварийному восстановлению и каковы его результаты.

Завершение аудита

Превратите находки в ранжированные по приоритету меры по устранению. Критические находки (отсутствие шифрования, нет DPA, нет плана реагирования на инциденты) блокируют дальнейшее использование до устранения. Высокоприоритетные находки (слабый контроль хранения, неполное журналирование) требуют устранения в течение 30–60 дней с промежуточными компенсирующими мерами. Средне- и низкоприоритетные находки подпитывают следующий цикл аудита. Переоценивайте ежегодно как минимум, чаще — для сред с высоким уровнем изменений. Архивируйте отчёт аудита с подтверждающими доказательствами в хранилище с защитой от фальсификации не менее срока наиболее длительного применимого требования хранения.

HexaTransfer публикует подход к шифрованию, хостинг в ЕС и поведение при хранении для покупателей, желающих провести аудит перед использованием. Попробуйте на hexatransfer.com — бесплатно, без регистрации, максимум 10 ГБ.

Аудит соответствия — не о создании стопки бумаг. Он проверяет, выдержит ли система передачи файлов проверку регулятором или контроль клиента. Пройдите каждый контроль, протестируйте его относительно регуляции и зафиксируйте доказательства. Результат — либо уверенность, либо план устранения. Оба полезны. Ни один не является необязательным для регулируемых покупателей в 2026 году.