1. Определение целей и стратегии информационной безопасности
Первым и самым важным этапом в построении СУИБ является определение целей. Без чётко обозначенных направлений усилия могут оказаться разрозненными, а риски — недооценёнными.
Цели ИБ должны:
- Соответствовать стратегическим задачам компании;
- Учитывать законодательные и регуляторные требования;
- Опираться на результаты анализа внутренней и внешней среды.
Руководству компании важно понимать, какие угрозы актуальны, какие ресурсы необходимы, и каким образом ИБ будет способствовать достижению ключевых показателей эффективности (KPI) всей организации.
Пример: Банк, стремящийся защитить данные клиентов, может сформулировать такие цели, как «обеспечить конфиденциальность персональных данных» или «гарантировать бесперебойное функционирование онлайн-сервисов». Такие формулировки помогут сотрудникам понять, какие действия приоритетны, а также позволят избежать ошибок при планировании защиты информации.
Стратегия ИБ — это документ, описывающий методологию внедрения непрерывного процесса управления ИБ. Она реализуется через концепцию ИБ и организационную структуру.
2. Определение границ (рамок)
Перед тем как внедрять СУИБ, необходимо определить, где и в какой степени она будет применяться. Это помогает избежать распыления ресурсов, а сосредоточиться на действительно необходимом.
Что нужно учесть при определении рамок:
- Охват: вся организация, отдельные подразделения, бизнес-процессы или информационные системы;
- Целостность: все значимые компоненты должны находиться внутри выбранной области (границах);
- Критические активы: для наиболее важных объектов (критических, центральных) уровень обеспечения ИБ должен быть выше, чем для основных границ.
Процесс определения нормативных границ включает углублённый анализ внешней и внутренней среды компании, выявление и оценку требований всех заинтересованных сторон — как внутренних, так и внешних.
Пример: В крупной торговой сети областью применения может быть система электронных платежей. Для неё устанавливается повышенный уровень обеспечения ИБ, так как сбой здесь приведёт к прямым финансовым потерям и утрате доверия клиентов. Для других систем достаточен базовый уровень, так как ресурсы у компании ограничены.
3. Формулирование Политики информационной безопасности
Политика ИБ — это основополагающий документ, который задаёт общий вектор и обязательства руководства. Он должен быть понятен всем сотрудникам и соответствовать реальным задачам компании.
Что должна содержать Политика:
- Значимость информации и её роль в выполнении задач организации;
- Цели, принципы и задачи ИБ в контексте бизнес-приоритетов;
- Ответственность руководства и структурных подразделений;
- Общие принципы контроля и оценки эффективности;
- Организационная структура обеспечения безопасности.
Пример: В Политике может быть указано, что все сотрудники обязаны использовать двухфакторную аутентификацию при доступе к корпоративным системам, а также проходить ежегодное обучение по вопросам ИБ.
Дополнительно в политике можно указать:
- Анализ наиболее значимых угроз для критических бизнес-процессов;
- Детальное описание ролей и зон ответственности;
- Программу повышения осведомлённости и обучения персонала.
4. Определение уровня обеспечения информационной безопасности в выбранной области применения (ОИБВОП)
Для того чтобы система работала эффективно, необходимо установить конкретные уровни обеспечения ИБ, которые компания планирует достичь в течение ближайших трёх лет. Этот срок может быть уменьшен.
Что учитывается:
- Конфиденциальность (доступ только у разрешённых лиц);
- Целостность (данные не должны искажаться, изменение данных только при наличии разрешения);
- Доступность (информация должна быть доступна в нужный момент);
- Наличие ресурсов позволяющих выполнить требования в этой области применения (границ).
Уровень ОИБВОП может быть установлен как для всей организации, так и для отдельных информационных комплексов (информационных систем) — например, системы управления персоналом или платёжного шлюза.
Пример: Для базового уровня достаточно реализации стандартных политик и обучения сотрудников. А вот для третьего уровня потребуется внедрение автоматизированных систем мониторинга, детального аудита.
Согласно рекомендациям, для соответствия требованиям законодательства в области ИБ, рекомендуется выбирать не менее третьего уровня ОИБВОП, но всегда нужно начинать с нулевого.
До третьего уровня ОИБВОП СУИБ строится, а после третьего — совершенствуется и развивается.
5. Создание организационной структуры
Эффективная система невозможна без чёткого распределения ролей и ответственности. От этого зависит не только исполнение задач, но и оперативное реагирование на инциденты.
Основные роли в СУИБ:
- Высшее руководство — несёт общую ответственность за состояние ИБ;
- Уполномоченный по информационной безопасности (УИБ или CISO) — координирует процессы, контролирует выполнение требований от лица высшего руководства;
- Ответственные лица по направлениям — отвечают за реализацию конкретных требований (например, защита данных, управление доступом);
- Руководители подразделений – отвечают за контроль и исполнение требований ИБ в своих подразделениях;
- Все сотрудники — несут индивидуальную ответственность за соблюдение правил ИБ на своих рабочих местах.
Пример: В небольшой компании УИБ может совмещать обязанности с другими ИТ-функциями, тогда как в средней и крупной организации создаётся отдельное подразделение по ИБ с выделенным бюджетом и штатом.
До второго уровня ОИБВОП допускается УИБ совмещать должность с ИТ, однако на втором и последующем уровнях это недопустимо – требуется выделять отдельную должность УИБ в компании.
Важно, чтобы УИБ имел прямой доступ к высшему руководству и мог оперативно принимать решения в кризисных ситуациях. Он должен иметь на это официальные полномочия.
6. Планирование и распределение ресурсов
После определения целей, области и структуры необходимо спланировать ресурсы — финансовые, технические и человеческие. Неважно, насколько хороша политика, если нет средств на её реализацию.
Что нужно учитывать:
- Масштаб организации;
- Уровень ОИБВОП;
- Существующую ИТ-инфраструктуру;
- Требования законодательства и договоров с партнёрами.
Пример: Компания, которая собирается перейти на третий уровень ОИБВОП, должна предусмотреть расходы на внедрение систем мониторинга, обучение специалистов и проведение регулярных аудитов.
7. Обучение и повышение осведомлённости
Часто самой слабой точкой в системе безопасности являются люди. Поэтому важно регулярно проводить обучение сотрудников, чтобы они понимали свои обязанности и могли распознавать угрозы.
Рекомендации:
- Проводите вводное обучение при приёме на работу;
- Организуйте ежеквартальные тренинги по типичным атакам и угрозам;
- Размещайте наглядные и простые материалы (плакаты, рассылки, видео).
Пример: После серии фишинговых атак один банк запустил интерактивный курс по распознаванию подозрительных писем. Через три месяца количество успешных атак снизилось на 60%.
Заключение
Построение СУИБ — это не разовый проект, а долгосрочный и непрерывный процесс. Он требует внимания к деталям, стратегического подхода и участия всех уровней управления. Но результат стоит затраченных усилий: защищённая информация, уверенность клиентов и партнёров, соответствие законодательству и устойчивость к внешним угрозам.
Если ваша организация только начинает путь к надёжной СУИБ, начните с формулирования целей, анализа рисков и создания простой, но понятной Политики. А уже затем двигайтесь к более сложным уровням защиты и автоматизации.
Продолжение следует…
Свои комментарии вы можете оставлять в наших социальных сетях. Для соблюдения федерального закона о персональных данных, на данном сайте комментирование закрыто.
Внимание! Материал охраняется авторским правом на основании статьи 1259 ГК РФ.
Третьи лица не вправе использовать с целью создания каких-либо средств обработки представленной информации и размещённых на данной странице результатов интеллектуальной деятельности каким-либо образом без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187). Распространение настоящей информации возможно только при указании ссылки на данную страницу.
Использование результатов интеллектуальной деятельности, если такое использование осуществляется без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187), является незаконным и влечёт ответственность, установленную действующим законодательством РФ.
Платная поддержка оказывается через платформу “Спонсор” (https://sponsr.ru/vk_ib_cibez/about/).