Методология “Волга-27001”. Рекомендации по применению. Система управления информационной безопасностью. Общие положения (часть 16)

1. Непрерывное совершенствование концепции информационной безопасности

Концепция информационной безопасности (далее – ИБ) представляет собой пакет нормативно-методических документов, определяющих цели, принципы, подходы и основные направления обеспечения защиты информации в организации. Она служит основой для разработки политик, регламентов и конкретных мер по защите данных.

Однако в условиях динамично изменяющейся ИТ-среды, появления новых угроз и модернизации бизнес-процессов концепция должна подвергаться регулярному пересмотру и актуализации. Отсутствие такого процесса может привести к снижению эффективности системы защиты и возникновению несоответствий с требованиями законодательства и регламентирующих документов.

1.1. Устранение выявленных несоответствий

В ходе регулярных внутренних аудитов, внешних проверок, тестирования на проникновение (пентестов) или анализа инцидентов безопасности могут быть обнаружены несоответствия установленным требованиям ИБ, а также технические уязвимости в информационных системах. Своевременное и системное устранение этих выявленных недостатков играет ключевую роль в поддержании устойчивой защиты информационных активов организации.

Выявление несоответствий и уязвимостей

Несоответствия могут касаться как организационных, так и технических сторон ИБ. К примеру, в ходе внутреннего аудита может быть установлено, что на некоторых рабочих станциях отсутствует актуальное антивирусное программное обеспечение, либо базы сигнатур не обновлялись более 30 дней. Такая ситуация является прямым нарушением политики ИБ и создаёт реальную угрозу заражения вредоносным программным обеспечением. Другой пример — обнаружение устаревших версий программного обеспечения на серверах, подверженных известным уязвимостям, которые уже эксплуатируются злоумышленниками.

Подобные выявления фиксируются в реестре несоответствий и уязвимостей — централизованном документе, который ведёт служба ИБ или ответственный за ИБ сотрудник. В реестр вносятся: дата выявления, описание проблемы, степень риска, источник (аудит, пентест, инцидент и т.д.), а также рекомендации по устранению.

Назначение ответственных и планирование корректирующих действий

После фиксации каждого несоответствия назначается ответственный исполнитель — сотрудник или подразделение, которому поручается устранение выявленного недостатка. Ответственность может быть возложена, например, на системного администратора, руководителя отдела ИТ или владельца информационной системы.

На основе анализа риска разрабатывается план корректирующих действий (ПКД) включаемый в план по защите информации (обеспечения ИБ) в организации, при необходимости. Он включает конкретные шаги, сроки выполнения, необходимые ресурсы и критерии успешного завершения. Например, в случае с устаревшим антивирусным программным обеспечением план может включать следующие действия:

• Провести инвентаризацию всех рабочих станций и серверов;
• Обновить антивирусные базы сигнатур через централизованный сервер управления (например, Kaspersky Security Center, Microsoft Defender for Endpoint);
• Установить отсутствующее антивирусное программное обеспечение на станции, где оно не было развернуто;
• Настроить автоматическое обновление баз сигнатур и регулярное сканирование;
• Подготовить отчёт о выполненных работах.

Важно, чтобы план учитывал не только техническое устранение проблемы, но и меры по предотвращению её повторного возникновения — например, внедрение политик автоматического обновления или обучение сотрудников.

Контроль выполнения и повторная проверка

После реализации корректирующих действий проводится контроль выполнения. Ответственный за ИБ или аудитор проверяет, были ли выполнены все пункты плана, соответствует ли текущее состояние системы требованиям политики безопасности. В некоторых случаях проводится повторное тестирование — например, повторный пентест или сканирование уязвимостей.

Если проверка подтверждает устранение несоответствия, запись в реестре переводится в статус «закрыто» с указанием даты и результатов. В случае, если проблема не устранена полностью, процесс корректирующих действий продолжается.

Пример: В одной из организаций в ходе внешнего пентеста было выявлено, что веб-приложение, используемое для приёма заявок от клиентов, подвержено уязвимости типа SQL-инъекция. Это означало, что злоумышленник мог получить доступ к базе данных клиентов, включая персональные данные. Была немедленно зафиксирована уязвимость в реестре, назначена ответственная команда разработчиков и ИТ-специалистов. Был разработан план: временная блокировка уязвимого функционала, исправление кода приложения, тестирование исправлений в тестовой среде, последующее развёртывание на тестовом сервере и повторное сканирование, затем развёртывание на работающем сервере и также повторное сканирование. Через 5 дней уязвимость была устранена, и независимый аудитор подтвердил безопасность системы.

1.2. Оптимизация эффективности мер защиты

Эффективная система ИБ предполагает не просто наличие множества защитных механизмов, а их разумное и целесообразное применение. Часто организации, стремясь обеспечить максимальную защиту, внедряют одинаковые меры безопасности для всех информационных систем, не учитывая различия в уровне рисков и критичности данных. Такой подход может привести к двум нежелательным последствиям: с одной стороны — к избыточной защите, создающей неоправданные трудности для пользователей и увеличивающей операционные издержки, с другой — к недостаточной защите наиболее важных активов из-за перераспределения ресурсов, которых всегда не хватает.

Цель оптимизации мер ИБ — найти баланс между степенью защиты и операционной эффективностью. Это означает, что каждая мера должна быть соразмерна риску, которому подвергается тот или иной информационный актив. Такой подход позволяет сократить ненужные затраты, повысить удобство работы сотрудников и при этом обеспечить надёжную защиту критически важных данных и систем.

Пример. Рассмотрим типичную ситуацию. В одной из организаций было принято решение внедрить двухфакторную аутентификацию (2FA) для доступа ко всем информационным системам — от корпоративной электронной почты до внутреннего справочника сотрудников, содержащего только ФИО и номера телефонов. На первый взгляд, это выглядит как проявление высокой бдительности. Однако на практике такая мера вызвала ряд проблем:

• Сотрудники вынуждены каждый раз при входе вспоминать пароль и ждать код из SMS или приложения, даже если просто хотят узнать, кто работает в другом отделе;
• Увеличилось количество обращений в службу поддержки по вопросам восстановления доступа;
• Повысился уровень раздражения пользователей, что в долгосрочной перспективе снижает культуру безопасности — сотрудники начинают искать обходные пути.

При этом с точки зрения ИБ риск утечки данных из внутреннего справочника крайне низок. Даже при несанкционированном доступе к нему злоумышленник не получает доступа к финансовым данным, персональной информации клиентов или коммерческим секретам. Таким образом, использование двухфакторной аутентификации в данном случае является избыточной мерой, не оправданной с точки зрения соотношения «затраты — выгода».

Дифференцированный подход к защите

Для устранения подобных несоответствий необходимо провести оценку критичности информационных активов. Это означает, что каждая система, база данных или приложение оценивается по таким критериям, как:

• чувствительность обрабатываемых данных (например, персональные данные, финансовая информация, коммерческая тайна);
• последствия возможной утечки или нарушения доступности;
• уровень внешнего и внутреннего доступа;
• регуляторные и договорные требования.

На основании этой оценки системы классифицируются по уровням риска: критический, высокий, средний, низкий.

Пример дифференциации мер защиты:

• Системы с критическим уровнем риска — корпоративная почта, базы данных клиентов, ERP-системы, облачные платформы с финансовой информацией. Для них сохраняется двухфакторная аутентификация, а также применяются дополнительные меры: мониторинг аномалий, шифрование данных, регулярный аудит доступов;
• Системы с высоким уровнем риска — внутренние порталы, системы управления проектами, CRM. Здесь может использоваться однофакторная аутентификация с повышенными требованиями к паролям (длина, сложность, срок действия), а также опциональная 2FA при доступе пользователя с другого диапазона IP-адресов;
• Системы со средним уровнем риска — внутренние справочники, расписания совещаний, библиотеки шаблонов документов для служебного пользования. Используется однофакторная аутентификация с повышенными требованиями к паролям (длина, сложность, срок действия);
• Системы с низким уровнем риска — внутренние справочники, библиотеки шаблонов документов для общего пользования. Достаточно стандартной аутентификации по логину и паролю, при этом доступ ограничивается корпоративной сетью или VPN либо выделенным диапазоном IP-адресов.

Результат оптимизации

После внедрения дифференцированного подхода организация достигает нескольких важных результатов:

1. Повышение эффективности защиты — ресурсы ИБ сосредоточены на действительно критичных системах.
2. Снижение операционных издержек — меньше нагрузка на ИТ-поддержку, меньше времени тратится на администрирование избыточных мер.
3. Улучшение пользовательского опыта — сотрудники работают быстрее и с меньшим количеством препятствий, что повышает лояльность к политикам безопасности.
4. Соответствие принципам информационной гигиены — защита становится прозрачной, понятной и адекватной.

1.3. Повышение уровня обеспечения информационной безопасности

Эффективность системы ИБ в организации во многом определяется не просто наличием тех или иных защитных мер (выполнение требований), а степенью их системности, управляемости и устойчивости. Ключевым индикатором зрелости подхода к ИБ выступает уровень обеспечения ИБ — показатель, отражающий, насколько процессы защиты информации формализованы, контролируются и способны к постоянному совершенствованию. Это ключевой показатель в методологии “Волга-27001”. Она предлагает детализированные шкалы оценки зрелости. В частности, в ней выделяется семь уровней обеспечения ИБ, но для практического понимания и применения можно использовать упрощённую, но содержательную пятиуровневую модель, охватывающую основные этапы развития, чтобы показать что такое уровни обеспечения ИБ:

1. Начальный уровень — процессы ИБ отсутствуют или реализуются стихийно, без чётких правил, ответственности и контроля.
2. Повторяемый уровень — существуют базовые правила и инструкции, но их применение носит разовый или ситуативный характер, отсутствует системный контроль.
3. Определённый уровень — процессы документированы, регулярно выполняются и закреплены за конкретными сотрудниками или подразделениями.
4. Управляемый уровень — процессы измеряются с помощью показателей эффективности (KPI), контролируются, анализируются и корректируются при необходимости.
5. Оптимизированный уровень — система ИБ функционирует в режиме непрерывного улучшения: на основе анализа данных, инцидентов и внешних угроз внедряются превентивные меры, автоматизация и инновации.

Для наглядного понимания рассмотрим, как может развиваться один из ключевых элементов системы ИБ — обучение сотрудников по ИБ, — проходя все стадии повышения уровня обеспечения ИБ.

На начальном уровне обучение по ИБ не проводится вовсе. Сотрудники не получают никаких инструкций по безопасному обращению с информацией, не знают, как распознать фишинг, что делать при утечке данных или как защитить рабочее устройство. Организация не контролирует уровень осведомлённости персонала, что создаёт высокий риск инцидентов, вызванных человеческим фактором.

На повторяемом уровне организация предпринимает первые шаги: сотрудники раз в год получают доступ к презентации по ИБ, которую необходимо просмотреть. Это уже формальный шаг к систематизации, однако отсутствует подтверждение усвоения материала, контроль прохождения и адаптация контента под различные категории пользователей.

На определённом уровне обучение становится регулярным и структурированным. Проводятся очные лекции или вебинары с участием специалиста по ИБ. Фиксируется факт участия сотрудников, составляются списки, назначаются ответственные. Процесс приобретает устойчивость, но пока не оценивается его реальная эффективность.

На управляемом уровне внедряется система онлайн-обучения с автоматизированным тестированием. Каждый сотрудник проходит курс в установленные сроки, сдаёт тесты, получает сертификат, а система автоматически направляет напоминания о необходимости повторного обучения. Появляются метрики: процент прошедших обучение, средний балл по тестам, количество пересдач. Это позволяет контролировать выполнение требований и выявлять слабые зоны.

На оптимизированном уровне обучение становится непрерывным и проактивным. Проводятся регулярные симуляции фишинговых атак — сотрудникам рассылаются тестовые письма, имитирующие реальные угрозы. На основе их реакций формируется аналитика: кто открывает письма, кто вводит логин и пароль, кто сообщает о подозрительном письме. Эти данные используются для персонализации обучающих программ и повышения общей устойчивости персонала. Дополнительно в каждом структурном подразделении назначаются ответственные за ИБ — сотрудники, прошедшие централизованную подготовку в службе ИБ. Они регулярно проводят внутренние брифинги, разбирают новые типы атак, разъясняют изменения в политике ИБ. Все вопросы и обращения сотрудников фиксируются, анализируются и ложатся в основу улучшения обучающих материалов и внутренних регламентов.

Такой подход демонстрирует, что повышение уровня обеспечения ИБ — это не разовое мероприятие, а последовательный путь развития. Каждый следующий уровень требует от организации больше внимания, ресурсов и вовлечённости, но при этом приносит значительный прирост в области защищённости, соответствия нормативным требованиям и формирования культуры безопасности.

1.4. Повышение практической применимости и приемлемости мер защиты информации

Эффективность системы ИБ определяется не столько количеством разработанных политик и технических решений, сколько фактическим выполнением установленных требований. Ведь именно выполнение требований и формирует реальные меры защиты. Без этого даже самые строгие регламенты и передовые технологии остаются декорацией, не оказывающей влияния на уровень обеспечения ИБ.

Требования — основа мер защиты

Требования по ИБ — это не просто нормативные формулировки в документах. Это конкретные действия, которые должны быть выполнены сотрудниками, системами и процессами для предотвращения угроз. Каждое требование, если оно выполнено, становится элементом защитного механизма. Например:

• Требование «установить антивирусное ПО на все рабочие станции» – формирует меру защиты от вредоносного ПО;
• Требование «менять пароль каждые 90 дней» – реализует контроль доступа;
• Требование «зашифровывать конфиденциальные данные при передаче» – обеспечивает защиту целостности и конфиденциальности передаваемой информации.

Однако, если требование не выполнено в полной мере — мера защиты не действует, независимо от того, насколько хорошо оно прописано в документах. Реальной защиты – нет!

Почему требования не выполняются?

Часто несоответствие требованиям связано не с нежеланием сотрудников соблюдать правила, а с тем, что сами требования недостаточно понятны, трудновыполнимы или не встроены в рабочие процессы. Примеры таких требований:

• Неясность формулировок: «Не передавать конфиденциальную информацию по незащищённым каналам связи» — что такое «незащищённый канал связи»? Является ли таковым корпоративная почта? А Whats App или Telegram в режиме личного чата?
• Отсутствие инструментов: Сотруднику запрещено использовать мессенджеры, но при этом не предоставлен альтернативный способ быстрой коммуникации. В результате — правила нарушаются «по производственной необходимости», так как другой альтернативы нет.
• Недостаток поддержки: Требуется шифрование электронной почты, но никто не объяснил, как это сделать. Сотрудник не знает, где взять сертификат, как его установить и как проверить, что письмо действительно зашифровано.

В таких условиях требование существует формально, но не реализуется на практике, а значит, и мера защиты не действует.

Как добиться выполнения требований?

Для того чтобы требования стали реальными мерами защиты, необходимо обеспечить их практическую применимость и приемлемость. Это достигается через три ключевых направления:

1. Конкретизация требований

Каждое требование должно быть сформулировано так, чтобы исключать двусмысленность и оставлять минимальное пространство для интерпретации.

Пример: Неправильно – «Запрещается передача конфиденциальной информации по незащищённым каналам связи».
Правильно – «Передача персональных данных (ФИО, паспортные данные, ИНН, СНИЛС и т.п.) разрешается только:
— через зашифрованную корпоративную почту с использованием S/MIME;
— через внутренний документооборот с установленным статусом “конфиденциально”;
— с использованием утверждённого защищённого корпоративного мессенджера (например, Microsoft Teams в режиме чата с включённым шифрованием).
Запрещается передавать такие данные через сторонние мессенджеры (WhatsApp, Telegram, Viber), обычную электронную почту (Gmail, Яндекс.Почта) и облачные хранилища без шифрования (Google Drive, Dropbox и т.п.).»

Такое требование не только запрещает, но и указывает, что делать вместо запрещённого действия, что напрямую способствует его выполнению.

2. Обеспечение поддержки выполнения

Требование должно сопровождаться ресурсами для его реализации:

• Пошаговые инструкции (например, «Как зашифровать письмо в Outlook»);
• Доступ к необходимым инструментам (сертификаты, ПО, учётные записи);
• Поддержка ИТ- и ИБ-служб (горячая линия, FAQ, обучающие вебинары);
• Интеграция в процессы (например, автоматическое предупреждение при попытке отправить файл с персональными данными по обычной почте при настроенной DLP-системе).

Пример: После введения требования о шифровании email компания:

• Разместила инструкцию на внутреннем портале;
• Настроила автоматическое напоминание в почтовом клиенте;
• Обучила 300 сотрудников в рамках серии вебинаров;
• Организовала точку поддержки в чате для оперативных вопросов.

Через три месяца выполнение требования выросло с 40% до 92%.

3. Контроль и обратная связь

Выполнение требований должно контролироваться и оцениваться. Без этого невозможно понять, работает ли мера защиты.

• Регулярные аудиты соблюдения регламентов;
• Мониторинг активности (например, анализ логов почтовых серверов на предмет отсутствия шифрования);
• Обратная связь от сотрудников: что мешает выполнению, какие шаги вызывают сложности.

Такой подход позволяет не просто фиксировать нарушения, но и улучшать требования, делая их более реалистичными и эффективными.

Выполнение требований — признак зрелой системы ИБ

Система ИБ считается зрелой не тогда, когда у неё есть много документов, а когда требования системно выполняются, и на их основе формируются устойчивые и реализуемые меры защиты.

На начальных уровнях зрелости требования могут существовать только на бумаге. На более высоких уровнях они:

• Чётко сформулированы;
• Поддержаны инструментами и обучением;
• Интегрированы в бизнес-процессы;
• Регулярно проверяются и улучшаются.

Методология “Волга-27001” даёт общие требования для всех. Однако, компании могут самостоятельно конкретизировать общие требования под свои непосредственные нужды.

Продолжение следует…

Свои комментарии вы можете оставлять в наших социальных сетях. Для соблюдения федерального закона о персональных данных, на данном сайте комментирование закрыто.

Внимание! Материал охраняется авторским правом на основании статьи 1259 ГК РФ.

Третьи лица не вправе использовать с целью создания каких-либо средств обработки представленной информации и размещённых на данной странице результатов интеллектуальной деятельности каким-либо образом без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187). Распространение настоящей информации возможно только при указании ссылки на данную страницу.

Использование результатов интеллектуальной деятельности, если такое использование осуществляется без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187), является незаконным и влечёт ответственность, установленную действующим законодательством РФ.

Платная поддержка оказывается через платформу “Спонсор” (https://sponsr.ru/vk_ib_cibez/about/).