Методология «Волга-27001». Система управления информационной безопасностью. Методология и требования (часть 8) (платный доступ)

Разработка политики информационной безопасности: пошаговое построение надёжной системы защиты

В условиях стремительной цифровизации бизнеса и роста киберугроз информационная безопасность (далее – ИБ) перестала быть узкоспециализированной задачей и превратилась в стратегическое направление, определяющее устойчивость и конкурентоспособность современных организаций. Утечка данных, сбои в работе систем, фишинг, атаки на инфраструктуру — всё это не только влечёт финансовые потери, но и подрывает доверие клиентов, нарушает законодательные требования и может привести к судебным искам.

На этом фоне разработка политики ИБ становится не просто формальным требованием, а ключевым элементом управления рисками и обеспечения устойчивости бизнеса. Политика ИБ — это не просто документ, а основа всей системы ИБ организации, определяющая цели, принципы, обязанности и подходы к защите информации.

В данной статье мы рассмотрим поэтапный процесс разработки политики информационной безопасности, включая оценку рисков, формирование стратегии, выбор мер защиты, распределение ответственности и создание механизмов реагирования на инциденты.

1. Оценка рисков: основа для построения политики ИБ

Оценка рисков — это систематический процесс анализа того, какие информационные активы есть у организации, какие угрозы могут им повредить, насколько велика вероятность этих угроз и к каким последствиям они могут привести. На основе этого анализа формируется понимание, где и какие меры безопасности нужно внедрять в первую очередь.

Представьте, что вы строите дом. Вы не начнёте класть кирпич для стен, не зная, из каких материалов она должна быть сделана, какая почва под фундаментом и насколько часто в этом районе бывают дожди. Точно так же и в ИБ: прежде чем устанавливать пароли, шифрование или системы мониторинга, нужно понять, что именно вы защищаете и от кого.

Этап 1: Инвентаризация информационных активов

Первый шаг — составить полный перечень всего, что имеет ценность для вашей организации. Это называется инвентаризацией информационных активов.

К таким активам относятся:

• Базы данных (например, с информацией о клиентах, заказах, сотрудниках);
• Программное обеспечение , без которого невозможно работать (CRM-системы, бухгалтерские программы, офисные приложения и т.д.);
• Оборудование (техника) — серверы, компьютеры, ноутбуки, смартфоны;
• Облачные сервисы, где хранятся документы или обрабатываются ваши данные;
• Документы — как электронные (договоры, инструкции), так и бумажные (например, личные дела сотрудников);
• Интеллектуальная собственность — формулы, патенты, дизайн-проекты и т.д;
• Персональные данные, которые вы обрабатываете (ФИО, телефоны, паспортные данные клиентов и сотрудников).

Не все активы одинаково важны и ценны для организации. Например, база данных клиентов, без которой невозможно выполнять заказы, — критически важный актив. А вот внутренний отчёт за прошлый год — менее значимый, особенно если у него есть копия, которая позволяет его восстановить. Поэтому каждый актив оценивается по уровню критичности для организации: критический, высокий, средний или низкий. Это помогает понять, на что стоит обращать особое внимание и что нуждается в защите в первую очередь.

Пример: В медицинской клинике электронная карта пациента — актив высокой важности. Если доступ к ней будет потерян или украден, это может привести к нарушению закона, утечке конфиденциальной информации. А вот расписание уборки кабинетов — актив низкой важности. Актив расписание приёма пациентов важный, а расписание кварцевания кабинетов – нет.

Этап 2: Определение угроз, уязвимостей и негативных последствий

После того как определены ключевые информационные активы, необходимо понять, что может им угрожать и к каким последствиям это приведёт. Этот этап включает три взаимосвязанных шага: определение негативных последствий, идентификацию угроз, вызывающих эти последствия, и выявление уязвимостей, которые могут быть использованы для реализации угроз.

Шаг 1: Определение возможных негативных последствий

Перед тем как искать угрозы, важно чётко понять, какие негативные события могут произойти с информационными активами. Это помогает структурировать анализ и не упустить важные сценарии.

Основные типы негативных последствий:

• Утрата конфиденциальности — несанкционированный доступ к данным (например, утечка персональных данных клиентов);
• Нарушение целостности — изменение или повреждение данных (например, хакер исправил сумму в счёте);
• Потеря доступности — невозможность использовать данные или систему (например, сервер вышел из строя или заблокирован вирусом-шифровальщиком);
• Юридические и репутационные последствия — штрафы, судебные иски, потеря доверия клиентов, административная либо уголовная ответственность;
• Финансовые потери — прямые убытки из-за атаки, восстановления системы или остановки бизнеса.

Пример: Если база данных клиентов будет скомпрометирована, возможны: утечка персональных данных → нарушение конфиденциальности; изменение контактных данных → нарушение целостности; блокировка базы из-за атаки → потеря доступности; штрафы по закону и публичный скандал → репутационный и юридический ущерб.

Методология “Волга-27001” использует негативные последствия заимствованные на сайте БДУ ФСТЭК России.

Шаг 2: Идентификация угроз

Теперь, зная, какие последствия возможны, можно определить, какие угрозы могут их вызвать.

Угрозы делятся на несколько категорий:

• Внешние угрозы:
  • Кибератаки (взлом, фишинг, DDoS, вредоносное ПО);
  • Социальная инженерия (мошенничество, поддельные письма от имени руководства);
  • Атаки через уязвимости в программном обеспечении.
• Внутренние угрозы:
  • Несанкционированный доступ со стороны сотрудников;
  • Ошибки персонала (удаление важных файлов, отправка данных не тому адресату);
  • Злонамеренные действия (утечка данных, шпионаж).
• Технические угрозы:
  • Сбои оборудования (выход из строя сервера, диска);
  • Устаревшее ПО без обновлений;
  • Отсутствие резервного копирования.
• Природные и техногенные угрозы:
  • Пожар, затопление, авария на электросети;
  • Отключение интернета или электропитания;
• Человеческого фактора:
  • Например, отказ от действий;
  • Или неправильное использование устройств.

Шаг 3: Анализ дополнительных угроз

После первичного анализа важно провести дополнительную проверку на наличие угроз, которые могли быть упущены. Не все негативные последствия могут определить угрозы. Поэтому после определения негативных последствий и угроз следует ещё раз пересмотреть угрозы. Существует высокая вероятность упущения тех или иных угроз. Это особенно важно, потому что некоторые сценарии неочевидны при первом рассмотрении.

Например:

• Цепная уязвимость: атака начинается с компрометации малозначимого устройства (например, принтера), которое подключено к той же сети, что и сервер с данными;
• Подмена поставщика: злоумышленник взламывает ИТ-подрядчика и через него проникает в систему компании.
• Изменение законодательства: новые требования к хранению данных могут превратить ранее допустимые практики в нарушения;
• Отсутствие физической безопасности: неограниченный доступ к серверной комнате может позволить злоумышленнику подключить устройство для кражи данных.

Такой анализ помогает выявить «скрытые» риски и избежать ложного ощущения защищённости.

Методология “Волга-27001” использует угрозы стандарта ISO/IEC 27005, а также угрозы определяемые сайтом БДУ ФСТЭК России с их привязкой к угрозам стандарта.

Шаг 4: Выявление уязвимостей

Уязвимости — это слабые места в системе, которые могут быть использованы для реализации угроз. Они могут быть:

• Техническими (отсутствие шифрования, устаревшие ОС, слабые пароли и т.д.);
• Организационными (нет политики ИБ, отсутствие обучения сотрудников и т.д.);
• Физическими (незапертые серверные, доступ посторонних в офис и т.д.);
• Процессными (не настроены резервные копии, нет плана реагирования на инциденты и т.д.).

Пример:
Угроза: Социальная инженерия.
Уязвимость: Сотрудники не проходят обучение по ИБ и не умеют распознавать подозрительные письма.

В методологии “Волга-27001” уязвимости привязаны к типу активов и к угрозам, что позволяет чётко определять возможную применимость для конкретного актива к уязвимости. Каталог уязвимостей в методологии взят из стандарта ISO/IEC 27005.

Этап 3: Оценка рисков

На основе собранной информации проводится оценка рисков — количественная или качественная, или сценарная. Для этого используются признанные методики, такие как ISO/IEC 27005, NIST SP 800-30 или методика ОКРБ (оценка критичности рисков бизнеса), или ОВБ (оценка влияния на бизнес, BIA).

Оценка учитывает три ключевых параметра:

1. Вероятность реализации угрозы (низкая, средняя, высокая, критическая);
2. Потенциальный ущерб (финансовый, репутационный, юридический);
3. Эффективность текущих мер защиты (насколько хорошо система сопротивляется угрозе).

На основе этих данных каждому риску присваивается уровень — низкий, средний, высокий, критический. Все риски фиксируются в реестре рисков, который становится основой для принятия решений и должен быть официально утверждён в организации.

Пример:

• Актив: база персональных данных клиентов.
• Угроза: утечка данных через фишинг.
• Уязвимость: нет регулярного обучения сотрудников.
• Вероятность: высокая (много атак на аналогичные компании).
• Ущерб: критический (штрафы, судебные иски, потеря клиентов).
  → Итог: критический уровень риска. Требуются срочные меры.

Почему оценка рисков — основа безопасности?

Оценка рисков — это не формальность, а стратегический инструмент управления. Она позволяет:

• Рационально распределять ресурсы : не тратить деньги на защиту малозначимых активов, а сосредоточиться на критически важных;
• Обосновывать решения для бизнеса: показывать руководству, почему нужно, например, внедрять двухфакторную аутентификацию или обновлять программное обеспечение;
• Соответствовать законодательству: многие нормы (например, GDPR, 152-ФЗ) требуют проведения моделирования угроз (анализа рисков) при обработке персональных данных;
• Повышать доверие клиентов и партнёров: демонстрируя, что вы серьёзно относитесь к защите информации.

2. Формулирование целей и стратегических задач политики ИБ

Цели ИБ не придумываются в отрыве от реальности. Они основываются на результатах оценки рисков — анализа, который позволяет понять, какие информационные активы (данные, системы, оборудование) наиболее важны для бизнеса, какие угрозы им угрожают и какие негативные последствия могут возникнуть в случае инцидента. На основе этого анализа определяется, что именно нужно защитить и с какой степенью надёжности.

При этом формулировка целей должна соответствовать так называемым SMART-критериям — это проверенный подход, позволяющий сделать цели не просто красивыми словами, а конкретными, измеримыми и достижимыми задачами. Разберём каждый из них:

• Конкретные (Specific) — цель должна быть ясной и понятной. Например, не «улучшить безопасность», а «обеспечить шифрование всех персональных данных при хранении»;
• Измеримые (Measurable) — должно быть понятно, как определить, достигнута ли цель. Например, «снизить количество инцидентов на 30%» — это можно измерить по статистике;
• Достижимые (Achievable) — цель должна быть реалистичной с учётом имеющихся ресурсов, времени и возможностей;
• Релевантные (Relevant) — цель должна быть связана с бизнес-задачами. Например, защита клиентских данных напрямую влияет на репутацию и юридическую безопасность компании;
• Ограниченные по времени (Time-bound) — у цели должен быть срок. Например, «в течение 12 месяцев» или «к концу текущего квартала».

Примеры стратегических целей ИБ

Чтобы было понятнее, приведём несколько примеров целей, которые могут быть поставлены в организации:

1. Обеспечить соответствие требованиям законодательства.
   Например: «Обеспечить конфиденциальность и защиту персональных данных сотрудников и клиентов в соответствии с требованиями Федерального закона №152-ФЗ (Россия) или GDPR (Европейский союз) к концу 2026 года» . Такая цель помогает избежать штрафов, судебных исков и репутационных потерь.
2. Снизить количество инцидентов ИБ.
   Например: «Сократить число подтверждённых инцидентов ИБ на 30% в течение 12 месяцев за счёт внедрения систем обнаружения вторжений и обучения персонала». Это позволяет оценить эффективность мер защиты и повысить общий уровень защищённости всей организации.
3. Обеспечить устойчивость бизнеса при сбоях.
   Например: «Гарантировать восстановление критически важных бизнес-процессов не позднее чем через 4 часа, после сбоя (RTO ≤ 4 часа)» . Это особенно важно для организаций, зависящих от ИТ-систем: банков, интернет-магазинов, производственных предприятий.

Целевые уровни защиты: что и как защищать?

Помимо общих целей, важно определить целевые уровни обеспечения ИБ и зрелости по реализации требований — конкретные требования к защищённости отдельных информационных активов. Эти уровни становятся ориентиром для выбора технических и организационных мер.

Именно такой подход реализуется в методологии “Волга-27001”, где для каждого актива определяется набор требований исходя из выбранных организацией уровня обеспечения ИБ в выбранной области применения и уровня зрелости по реализации требований.

Такой подход помогает не только повысить безопасность, но и упрощают контроль и аудит: становится понятно, что считать соответствием, а что — нарушением, а также спуститься на уровень каждого актива.

Почему это важно?

Чётко сформулированные цели и задачи ИБ — это не формальность, а основа всей системы защиты. Они позволяют:

• Направить ресурсы (время, деньги, персонал) на решение действительно важных задач;
• Объяснить руководству и сотрудникам, зачем нужны те или иные меры;
• Оценить эффективность работы службы ИБ;
• Подготовиться к внешним проверкам, сертификациям (например, ISO 27001) и аудитам.

Без чётких целей политика ИБ рискует превратиться в набор абстрактных рекомендаций, которые никто не выполняет и не контролирует. А с ними — становится живым, гибким и эффективным инструментом защиты бизнеса в эпоху информационных технологий.

3. Разработка комплекса мер защиты

Хотя политика ИБ задаёт общие принципы и цели, она не описывает, как именно эти цели достигаются. Для этого разрабатываются более детальные документы: положения, правила, методики, инструкции, стандарты. Именно они определяют, какие меры защиты будут применяться, кто за них отвечает и как они внедряются в повседневную деятельность.

Все меры по защите информации можно условно разделить на три основные группы: технические, административные, организационные (режимные) и физические. Рассмотрим каждую из них подробно.

3.1. Технические меры: защита на уровне систем и данных

Технические меры — это инструменты и решения, которые непосредственно защищают информационные системы от внешних и внутренних угроз.

Установка и настройка средств защиты
Компании используют специализированное программное и аппаратное обеспечение, чтобы предотвратить несанкционированный доступ и атаки. Например:

• Межсетевые экраны (firewall) — как «сторожевые посты» на границе сети, они фильтруют входящий и исходящий трафик, блокируя подозрительные соединения;
• Системы обнаружения и предотвращения вторжений (IDS/IPS) — отслеживают аномалии в работе сети и могут автоматически блокировать попытки взлома;
• Антивирусные решения — защищают компьютеры от вредоносных программ, таких как вирусы, трояны и шпионское ПО;
• DLP-системы (Data Loss Prevention) — следят за тем, чтобы конфиденциальная информация (например, персональные данные клиентов или коммерческая тайна) не покидала корпоративную сеть без разрешения. Например, DLP может заблокировать отправку файла с данными через электронную почту или на флешку.

Шифрование данных
Даже если злоумышленник получит доступ к данным, он не сможет ими воспользоваться, если они зашифрованы. Шифрование применяется как к данным на «хранении» (находящимся на серверах или жёстких дисках), так и к данным в «обработке» (при передаче по сети). Например, при онлайн-банкинге используется протокол HTTPS, который шифрует обмен информацией между вами и сайтом банка.

Резервное копирование и восстановление
Потеря данных из-за сбоя оборудования, вирусов или человеческой ошибки — реальная угроза. Регулярное резервное копирование позволяет быстро восстановить информацию. Например, если на компьютере сработал вымогательский вирус (вирус-шифровальщик), компания может восстановить файлы из резервной копии, не платя выкуп.

Управление доступом
Не все сотрудники должны иметь доступ ко всем данным. Современные системы используют модели:

• RBAC (Role-Based Access Control) — доступ зависит от должности. Например, бухгалтер видит только финансовые отчёты, а менеджер по продажам — базу клиентов. Эта модель ролевого доступа наиболее простая и потому является наиболее распространённой;
• ABAC (Attribute-Based Access Control) — более гибкая модель, где доступ зависит от множества факторов: времени суток, местоположения, типа устройства и т.д.. Эта модель ролевого доступа наиболее сложная и потому является наименее распространённой.

Аудит и логирование
Все важные события в системе — входы пользователей, попытки доступа к файлам, изменения настроек — должны фиксироваться в журналах. Это позволяет вовремя обнаружить подозрительную активность и провести расследование. Например, если сотрудник в 3 часа ночью пытается скопировать базу клиентов, система может отправить оповещение администратору ИБ.

3.2. Административные, организационные (режимные) меры: безопасность через культуру и процессы

Технологии не работают без людей. Режимные меры обеспечивают понимание сотрудниками своих обязанностей по ИБ, и всегда действуют в интересах безопасности организации.

Внутренние политики
Организация разрабатывает правила, которые регулируют использование ИТ-ресурсов. Например:

• Политика паролей: запрещается использовать простые пароли вроде «123456», требуется их регулярная смена и т.д.;
• Правила удалённой работы: использование только корпоративных устройств и защищённого подключения (VPN);
• Политика использования мобильных устройств: запрет на установку непроверенных приложений на рабочие смартфоны, доступ к корпоративным ресурсам только через защищённое соединение.

Обучение сотрудников
Многие инциденты происходят из-за ошибок персонала. Например, сотрудник может случайно открыть вредоносное вложение в письме, имитирующем уведомление от банка. Обучение помогает распознавать такие угрозы. Регулярные тренинги, тесты и фишинг-симуляции позволяют выработать у сотрудников правильные реакции по ИБ.

Аудиты и проверки
Периодические проверки помогают убедиться, что политики соблюдаются. Например, аудит может выявить, что у некоторых сотрудников слишком широкие права доступа или что резервные копии не создаются регулярно.

Процедуры настройки и обслуживания
Чёткие инструкции для ИТ-специалистов помогают избежать ошибок при установке и обновлении систем. Например, перед обновлением программного обеспечения необходимо проверить его совместимость и сделать резервную копию.

Контроль за подрядчиками
Когда внешние организации (например, разработчики или аутсорсинговые компании) работают с вашими данными, важно убедиться, что они соблюдают те же нормы безопасности что и вы сами. Это может включать проверку их сертификатов, подписание соглашений о конфиденциальности и регулярный их аудит.

3.3. Физические меры: защита «в реальном мире»

Даже самая продвинутая система защиты бессильна, если злоумышленник может просто войти в серверную и вынести жёсткий диск.

Ограничение доступа
Серверные комнаты, архивы и другие критически важные помещения, где хранится и (или) обрабатывается информация должны быть защищены. Доступ туда разрешён только уполномоченным лицам. Например, вход по пропускам с использованием электронных ключей.

Видеонаблюдение и охрана
Камеры фиксируют всё, что происходит в офисе и в технических зонах. Это не только отпугивает нарушителей, но и помогает расследовать инциденты. Видеонаблюдение в защищаемом периметре и на его границах должно быть обязательно.

Защита от стихийных бедствий и сбоев
Серверы должны быть защищены от пожаров (автоматические системы пожаротушения), затоплений (датчики воды на полу) и перебоев с электропитанием (источники бесперебойного питания — ИБП, резервные генераторы).

Блокировка USB-портов и замки на рабочих станциях
Чтобы предотвратить копирование данных на флешки или подключение вредоносных устройств, в настройках компьютеров можно отключить USB-порты. Также у оборудования должны быть опечатаны корпуса и отключено подключение внешних устройств, где они не используются.

Важный принцип: сбалансированность и интеграция

Все меры должны работать вместе и быть адаптированы под конкретную организацию. Например, внедрение DLP-системы не должно замедлять работу сотрудников — иначе они начнут искать обходные пути. Обучение по ИБ должно быть не разовым мероприятием, а частью корпоративной культуры, с учётом особенностей разных должностей: бухгалтеру нужны одни знания, а системному администратору — другие.

4. Распределение ответственности за ИБ

Эффективность защиты данных напрямую зависит от того, насколько чётко в организации распределены обязанности и кто именно отвечает за каждый аспект безопасности. Без ясного понимания ролей даже самые современные технологии могут оказаться бесполезными.

4.1. Руководство организации: стратегическая ответственность

Высшее руководство — это фундамент ИБ. Оно не просто даёт “добро” на внедрение тех или иных мер, а несёт основную ответственность за безопасность всей организации.

Что это означает на практике?

• Утверждение политики ИБ. Руководство официально принимает документ, в котором описаны основные принципы, правила и требования к защите данных. Без такого утверждения сотрудники могут не воспринимать безопасность всерьёз;
• Выделение ресурсов. Без финансирования и квалифицированных кадров невозможно внедрить эффективные меры. Руководство должно обеспечить отделы необходимыми средствами — будь то современные системы защиты, обучение персонала или привлечение внешних экспертов;
• Формирование культуры ИБ. Когда руководители соблюдают правила — используют сложные пароли, не открывают подозрительные письма, проходят обучение — это задаёт тон всей организации. Напротив, если топ-менеджеры игнорируют требования, сотрудники будут делать то же самое;
• Контроль выполнения. Руководство регулярно получает отчёты о состоянии ИБ, анализирует инциденты и принимает решения по улучшению системы защиты.

Пример: Представьте, что организация внедрила новую систему шифрования данных, но руководство не выделило бюджет на обучение сотрудников. В результате никто не знает, как ею пользоваться, и система простаивает. Ответственность за такой сбой лежит, в том числе, и на руководстве.

4.2. Отдел ИБ: разработка и контроль

Специалисты по ИБ — это “врачи” цифровой среды компании. Они не просто реагируют на угрозы, но и предотвращают их появление. Как врачи проводят профилактические мероприятия, так и специалисты по ИБ делают всё, что от них зависит чтобы бизнес “не заболел” и не получил инцидент.

Их основные задачи:

• Разработка документов. Они создают внутренние правила: как хранить данные, как работать с электронной почтой, как использовать корпоративные устройства и т.д..;
• Проведение аудитов и тестов. Регулярно проверяются системы на уязвимости. Например, проводятся так называемые пентесты — имитация атак хакеров, чтобы понять, где система наименее защищена;
• Анализ инцидентов. Если произошла утечка данных или атака, именно ИБ-специалисты выясняют, как это случилось, кто виноват и как предотвратить подобное в будущем. В случае недостатка компетенций, обязательно необходимо приглашать внешних экспертов. Для этого следует заранее заключить договор на такие мероприятия;
• Обучение сотрудников. Они проводят тренинги, рассылают информационные памятки, объясняют, как распознать фишинговое письмо или что делать при подозрении на вирус;
• Мониторинг угроз. Следят за новыми видами атак, анализируют глобальные тренды и адаптируют защиту под текущие реалии.

Пример: Сотрудник получил письмо от “банка” с просьбой срочно перейти по ссылке, так как появились “проблемы” с перечислением денежных средств. Он не стал этого делать, а сообщил в отдел ИБ. Специалисты проверили письмо, подтвердили, что это фишинг, и оперативно предупредили всех сотрудников. Благодаря слаженной работе, атака была предотвращена.

4. 3. ИТ-отдел: техническая поддержка безопасности

ИТ-специалисты — это те, кто “держит в порядке” техническую сторону ИБ и работают в тандеме с отделом ИБ. Без их работы даже самые продуманные политики не будут работать.

Их обязанности включают:

• Поддержка средств защиты. Установка антивирусов, брандмауэров, систем обнаружения вторжений и других инструментов, через прописание соответствующих политик на серверах;
• Обновление программного обеспечения. Многие атаки происходят через уязвимости в старых версиях программного обеспечения. ИТ-отдел следит, чтобы все программы и операционные системы были актуальными. Информацию о появлении уязвимостей должен направлять ИБ-отдел;
• Резервное копирование. Ежедневно или по расписанию создаются копии важных данных. Это необходимо, чтобы восстановить информацию в случае сбоя, вируса-шифровальщика или потери оборудования;
• Восстановление систем. Если сервер вышел из строя или произошла атака, ИТ-команда восстанавливает работу систем, используя резервные копии и резервные каналы передачи информации по планам восстановления.

Пример: Компьютер одного из сотрудников заразился вирусом, который шифрует файлы и требует выкуп. Благодаря регулярному резервному копированию, ИТ-отдел быстро восстановил все данные, не платя вымогателям. А антивирус был обновлён, чтобы предотвратить повторное заражение.

4.4. Все сотрудники: каждый — часть системы ИБ

Многие думают, что ИБ — это задача только ИБ и ИТ-специалистов. Это огромное заблуждение. Каждый сотрудник играет важную роль в защите информации и бизнеса.

Ваши обязанности:

• Соблюдать правила ИБ предписанные документами. Например, не скачивать непроверенные программы, не использовать личные флешки в рабочих компьютерах;
• Использовать надёжные пароли. Простые пароли вроде “123456” или “password” легко взломать. Нужны длинные комбинации из букв, цифр и символов. Лучше использовать менеджер паролей;
• Не передавать данные третьим лицам. Даже коллеге, который “срочно нуждается в доступе”. Каждый должен работать под своим логином — так можно отследить, кто совершил ошибку или нарушение. Исключения, возможны только в экстренных случаях и только по согласованию с отделом ИБ;
• Сообщать о подозрительных событиях. Получили странное письмо? Заметили необычную активность в системе? Немедленно сообщите в отдел ИБ. Чем быстрее — тем меньше возможный ущерб!

Пример: Сотрудник получил в мессенджере сообщение с ссылкой от имени Генерального директора: “Открой срочно, важный документ”. Он не стал открывать, а переспросил у директора лично. Оказалось — это фишинг. Его осторожность помогла избежать взлома аккаунта.

Как закрепить ответственность?

Чтобы все выполняли свои обязанности, необходимо:

• Разработать внутренние документы по ИБ и утвердить их приказами по организации;
• Включить требования по ИБ в трудовые договоры или дополнительные соглашения, а также в должностные инструкции.
• Ввести минимум дисциплинарную ответственность за нарушения — от предупреждения до увольнения, особенно если нарушение привело к утечке данных;
• Официально взаимодействовать с правоохранительными органами, когда осуществляется расследование противоправных действий сотрудника.

5. Создание регламентов реагирования на инциденты

Даже при наличии самых современных средств защиты и строгих правил работы с данными, организация не может полностью исключить риск возникновения инцидентов ИБ. Взломы, утечки данных, вредоносное ПО, фишинг — всё это остаётся реальной угрозой для любого бизнеса. Однако ключевой фактор успеха в таких ситуациях — не столько предотвращение инцидентов, сколько способность быстро и грамотно на них отреагировать.

Именно поэтому наличие чётких, проработанных и регулярно проверяемых регламентов реагирования на инциденты является не просто рекомендацией, а обязательным элементом современной политики ИБ.

5.1. Обнаружение инцидентов: как увидеть угрозу пока не поздно

Первый шаг в борьбе с инцидентом — его своевременное обнаружение. Чем дольше злоумышленник остаётся незамеченным в информационной системе, тем больше ущерба он может нанести. Поэтому важно организовать непрерывный мониторинг всех ключевых ИТ-сред.

Для этого используются специализированные системы, например, SIEM (Security Information and Event Management) . Они собирают и анализируют данные из разных источников — серверов, рабочих станций, сетевого оборудования, приложений — в режиме реального времени. Представьте, что SIEM — это “сердце” системы безопасности: оно “слушает” все события в сети и сигнализирует, если что-то идёт не так. Кроме этого, всё большее значение приобретает анализ поведения пользователей (UEBA — User and Entity Behavior Analytics ). Например, если сотрудник обычно работает с 9 до 18 и в основном с файлами по бухгалтерии, а вдруг в 3 часа ночи начал скачивать гигабайты данных из отдела разработки — система может распознать это как подозрительную активность и отправить оповещение администратору ИБ.

Важно, чтобы такие оповещения были настроены правильно: не слишком часто (чтобы избежать “лишнего шума”), но и не слишком редко (чтобы не пропустить реальную угрозу).

5.2. Реагирование: что делать, когда инцидент произошёл

Как только инцидент обнаружен, необходимо немедленно перейти к действиям. Главная цель на этом этапе — остановить распространение угрозы и минимизировать ущерб.

Пример: Представьте, что на одном из компьютеров в организации обнаружили вирус-шифровальщик, который шифрует файлы и требует выкуп. Что делать?

• Изолировать заражённую систему — отключить её от сети, чтобы вирус не перекинулся на другие компьютеры;
• Блокировать источники атаки — если атака идёт с определённого IP-адреса, его нужно заблокировать на уровне межсетевого экрана;
• Собрать доказательства — сохранить логи событий, создать образ жёсткого диска заражённого устройства. Это может пригодиться как для расследования, так и для взаимодействия с правоохранительными органами;
• Уведомить ответственных лиц — руководство компании, отдел ИБ, а в некоторых случаях — внешних регуляторов (например, Роскомнадзор, если произошла утечка персональных данных и ФСБ России, если это объект критической информационной инфраструктуры);
• Все эти действия должны быть чётко прописаны в регламенте: кто отвечает за каждый шаг, в какой срок и как оформляются результаты.

5.3. Ликвидация последствий: восстановление контроля

После того как угроза локализована, начинается работа по восстановлению нормальной работы системы.

В такие работы входит:

• Устранение уязвимостей, через которые проник злоумышленник. Например, если атака произошла из-за неустановленного обновления в программном обеспечении, его необходимо срочно установить на всех системах;
• Восстановление данных из резервных копий. Важно, чтобы резервные копии хранились отдельно от основной сети и регулярно проверялись на целостность;
• Поиск “бэкдоров” — скрытых точек доступа, которые злоумышленник мог оставить после атаки. Даже если вирус удалён, он мог создать “чёрный ход” для будущих атак;
• На этом этапе особенно важно не торопиться. Поспешное возвращение систем в строй без полной проверки может привести к повторному инциденту.

5.4. Постинцидентный анализ: учимся на ошибках

После устранения последствий нельзя просто “закрыть инцидент и забыть”. Необходимо провести тщательный анализ: что произошло, как это произошло, и как этого избежать в будущем.

Пример: Компания обнаружила, что данные клиентов были скопированы на внешний носитель. Расследование показало, что сотрудник получил фишинговое письмо, ввёл свои учётные данные на поддельном сайте, и злоумышленник получил доступ к базе.

На основе этого анализа можно:

• Усилить обучение сотрудников по теме фишинга;
• Внедрить двухфакторную аутентификацию;
• Ограничить возможность копирования данных на внешние устройства.

Такой разбор помогает не просто “залатать дыру”, а усилить всю систему ИБ.

Важность документирования и тестирования
Все описанные выше этапы должны быть чётко задокументированы в виде регламентов — пошаговых инструкций для сотрудников. Без документации реакция на инцидент становится хаотичной, а ответственные лица могут действовать по наитию, что чревато серьёзными ошибками.

Кроме того, регламенты необходимо регулярно тестировать . Для этого проводятся учения и симуляции атак — например, имитация фишинговой кампании или атаки вымогателя. Такие учения позволяют проверить, насколько быстро и правильно реагирует команда, выявить слабые места и внести корректировки.

Ни одна организация не застрахована от инцидентов ИБ. Но от того, насколько подготовленной она будет к их возникновению, зависит, превратится ли инцидент в катастрофу или станет лишь временным сбоем, быстро устранённым благодаря чёткому плану действий.

6. Документирование и внедрение политики ИБ

Политика ИБ — это официальный документ, в котором определяются цели, принципы и основные правила защиты информации в организации. Она служит основой для всех мероприятий по обеспечению безопасности: от выбора технических решений до поведения сотрудников. Утверждается этот документ высшим руководством организации и имеет обязательную силу для всех подразделений и сотрудников.

Из чего состоит политика ИБ?

Политика ИБ — это не просто текст с общими словами. Она должна быть структурированной и содержать конкретные положения. Основные элементы, которые обязательно включаются в документ:

1. Цели и принципы ИБ
   Здесь формулируется, зачем организации нужна ИБ. Например:
   «Обеспечить конфиденциальность персональных данных клиентов, сохранность финансовой отчётности и защиту корпоративных данных от утечек и несанкционированного доступа».
   Принципы могут включать соблюдение законодательства, минимизацию рисков, ответственность сотрудников и постоянное совершенствование системы защиты.
2. Область применения
   Политика должна чётко указывать, к каким подразделениям, системам и категориям данных она применяется.
   Например:
   «Настоящая политика действует для всех сотрудников компании, включая внештатных работников, а также распространяется на все информационные системы, используемые в работе: базы данных клиентов, электронную почту, корпоративный портал и облачные сервисы» .
3. Уровень обеспечения ИБ в выбранной области применения
   Политика должна определять к какому уровню по методологии “Волга-27001” организация будет стремиться за действие стратегического цикла в максимальный период три года.
   «Организация берёт на себя обязательства в бизнес-процессе “заключение сделок” обеспечить уровень обеспечения информационной безопасности в выбранной области применения по методологии “Волга-27001” – базовый (2). Этот уровень должен быть достигнут через выполнение его требований до мая 2028 года».
4. Уровень зрелости по реализации требований
   Политика должна определять к какому уровню по методологии “Волга-27001” организация будет стремиться за действие стратегического цикла в максимальный период три года.
   «Организация берёт на себя обязательства в бизнес-процессе “заключение сделок” обеспечить уровень зрелости по реализации требований методологии “Волга-27001” – планирование и отслеживание (2). Для этого организация будет стремиться обеспечивать как минимум: ситуативное внедрение требований; контроль для выполнения нормативов.“
5. Защищаемая информация
   В Политике следует указать, какая информация обязательно будет защищаться в организации и на каких законных основаниях.
6. Основные требования к защите информации
   В этом разделе перечисляются ключевые меры безопасности. Это могут быть:
   — использование паролей сложной структуры,
   — обязательное шифрование конфиденциальных файлов,
   — запрет на копирование данных на внешние носители без разрешения,
   — регулярное обновление программного обеспечения.
   Пример: «Все устройства, подключённые к корпоративной сети, должны иметь установленные антивирусные программы и регулярно проходить проверку на уязвимости».
   По методологии “Волга-27001” меры защиты выбираются исходя из анализа угроз и состава информационного комплекса (области применения). Поэтому в Политике можно прописать: “Меры защиты для области применения определяеются по оценке рисков, целевому уровню обеспечения ИБ в выбранной области применения и её составу. Конкретные меры защиты формируются планом мероприятий по защите информации.”
   При этом не следует забывать, что частью 4 статьи 16 149-ФЗ определён ряд обязанностей обладателя информации, которые должны исполняться любой организацией.
7. Распределение ответственности
   Важно чётко определить, кто за что отвечает.
   Например:
   — Руководитель отдела отвечает за соблюдение политики в своём подразделении;
   — Сотрудник обязан немедленно сообщать о подозрительных письмах или сбоях в системе;
   — Отдел ИБ контролирует выполнение требований и проводит аудиты.
   Такой подход помогает избежать ситуаций, когда «все отвечают — никто не отвечает».
8. Сопутствующие документы
   Политика — это основа, но не заменяет детальных инструкций. В документе обязательно указываются другие нормативные материалы либо источники:
   — регламенты работы с электронной почтой;
   — инструкции по использованию корпоративных устройств;
   — процедуры реагирования на инциденты ИБ.
   Документы по ИБ должны быть доступны на внутреннем информационном ресурсе по ИБ организации.
   Это позволяет сотрудникам быстро найти нужные правила и следовать им.
9. Порядок пересмотра политики
   Технологии и угрозы меняются. Поэтому политика должна пересматриваться регулярно — не реже одного раза в три года. В документе указывается, кто отвечает за пересмотр (например, служба ИБ), как собираются предложения от сотрудников и как утверждаются изменения. Это гарантирует, что политика остаётся актуальной и эффективной.

Каким должен быть документ?

Чтобы политика работала, она должна соответствовать трём ключевым критериям и быть:

1. Понятной для всех сотрудников
   Документ не должен быть перегружен юридическими или техническими терминами. Лучше использовать простой, но официальный язык. Например, вместо «обеспечение целостности данных посредством криптографических методов» можно написать: «Все важные файлы должны быть защищены от изменений и подделки с помощью шифрования». Текст Политики можно сгенерировать в чатах искусственного интеллекта и затем переработать под свои нужды.
2. Доступной
   Политика должна быть легко доступна каждому сотруднику — например, размещена на корпоративном портале, в системе документооборота или на общем сетевом диске. Не следует хранить её только у руководителей или в кабинете ИТ-специалистов.
3. Подтверждённой ознакомлением
   Каждый сотрудник при устройстве на работу (и при обновлении политики) должен ознакомиться с документом и подписать лист ознакомления. Это не просто формальность — это юридическое подтверждение того, что человек знает свои обязанности и согласен их выполнять. В случае утечки данных такая подпись может стать важным доказательством добросовестности компании.

Почему это важно?

Представьте, что в компании нет единой политики ИБ. Один сотрудник хранит пароли в открытом файле, другой передаёт конфиденциальные данные через мессенджер, третий устанавливает на рабочий компьютер непроверенные программы. Каждое из этих действий — потенциальный источник утечки информации, штрафа от регулятора или остановки бизнеса.

Политика ИБ — это как «дорожная карта» для безопасного поведения в цифровой среде. Она помогает:

• Снизить риски утечек и атак;
• Соответствовать требованиям законодательства;
• Повысить осведомлённость сотрудников;
• Создать культуру ответственности за информацию.

Документирование и внедрение политики ИБ — это не разовая задача, а часть постоянной работы по защите бизнеса. Хорошая политика — понятная, доступная, регулярно обновляемая — становится основой доверия внутри компании и с внешними партнёрами. Она показывает, что организация серьёзно относится к своим данным и к защите информации.

7. Мониторинг, аудит и постоянное улучшение

Технологии меняются, появляются новые угрозы, бизнес-процессы трансформируются, а законодательство обновляется. Чтобы система ИБ оставалась эффективной, её необходимо регулярно проверять, анализировать и совершенствовать.

Почему важно постоянное улучшение?

Представьте, что вы установили надёжную сигнализацию в доме, но никогда не проверяете, работает ли она, не меняете батарейки и не реагируете на ложные срабатывания. Со временем система может перестать справляться со своей задачей. То же самое касается и ИБ: без постоянного контроля даже самые современные средства защиты могут оказаться бесполезными и привести к ущербу.

Чтобы этого не произошло, в организации необходимо внедрить систему мониторинга, аудита и непрерывного улучшения. Это позволяет не только выявлять слабые места, но и оперативно реагировать на изменения, минимизируя риски утечек данных, сбоев в работе систем и штрафов за нарушение законодательства.

Что входит в процесс постоянного улучшения?

1. Регулярные аудиты — внутренние и внешние

Аудит — это проверка того, насколько хорошо реализованы меры ИБ. Он может проводиться как собственными силами (внутренний аудит), так и независимыми экспертами (внешний аудит).

Например, внутренняя команда может раз в квартал проверять, все ли сотрудники используют сложные пароли и вовремя их меняют. Внешний аудитор — например, сертифицированная компания — раз в год проводит полную оценку системы ИБ, проверяет соответствие стандартам и выдаёт рекомендации.

Такие проверки помогают объективно оценить уровень защищённости и выявить скрытые проблемы.

По методологии “Волга-27001” проводится летучий годовой аудит, а полный аудит каждые три года. Рекомендуется проводить аудит только тогда, когда организация достигла уровня обеспечения информационной безопасности в выбранной области применения не ниже – “формальный” (3). До этого уровня (0, 1, 2) проводить полный аудит с привлечением внешней организации не целесообразно.

2. Оценка эффективности мер защиты

Не все средства защиты работают одинаково хорошо. Антивирус может быть установлен, но не обновляться. Фаервол может блокировать внешние атаки, но пропускать угрозы изнутри. Поэтому важно не просто «поставить и забыть», а регулярно анализировать, насколько эффективны используемые технологии и процессы.

Например, организация может проводить тесты на проникновение (пентесты), имитируя атаку хакеров, чтобы понять, где система уязвима. Или анализировать логи безопасности, чтобы выявить подозрительные действия.

3. Обновление реестра рисков

Риски в ИБ постоянно меняются. Год назад главной угрозой мог быть фишинг, а сегодня — целенаправленные атаки с использованием искусственного интеллекта. Поэтому важно вести реестр рисков и регулярно его актуализировать.

Например, если компания начинает использовать облачные сервисы, появляются новые риски, связанные с доступом к данным извне. Их нужно оценить, назначить ответственных и разработать меры защиты.

4. Анализ инцидентов

Когда происходит инцидент — например, сотрудник случайно отправил конфиденциальные данные на личную почту — важно не просто устранить последствия, но и понять, почему это произошло. Был ли это человеческий фактор? Ошибка в настройках системы? Недостаточное обучение?

Анализ инцидентов помогает предотвратить их повторение. Например, после утечки данных организация может ввести двухфакторную аутентификацию или запретить передачу файлов через мессенджеры.

5. Пересмотр политики при изменениях

Политика ИБ должна пересматриваться при любых значимых изменениях:

• Изменение законодательства — например, принятие нового закона о персональных данных требует внести правки в политику обработки данных;
• Развитие ИТ-инфраструктуры — переход на облачные технологии или внедрение новых программных решений может повлиять на безопасность;
• Трансформация бизнес-процессов — если компания начинает работать с новыми партнёрами или запускает онлайн-продажи, нужно оценить, как это отразится на защите информации.

Соответствие стандартам и законодательству

Важной частью мониторинга является проверка соответствия требованиям национальных и международных стандартов и законов. Это не только повышает уровень безопасности, но и помогает избежать штрафов и укрепляет доверие клиентов и партнёров.

Среди ключевых стандартов и нормативных документов по ИБ можно отметить:

• ISO/IEC 27001 — международный стандарт, который задаёт рамки для построения системы управления информационной безопасностью (СУИБ). Его внедрение показывает, что организация серьёзно относится к защите данных;
• ГОСТ Р ИСО/МЭК 27001-2021 — российская версия этого стандарта;
• ФЗ-152 «О персональных данных» — обязывает компании защищать данные сотрудников, клиентов и партнёров;
• ФЗ-187 «О безопасности критической информационной инфраструктуры» — особенно важен для организаций в энергетике, здравоохранении, транспорте и других стратегических отраслях;
• NIST Cybersecurity Framework — набор рекомендаций от Национального института стандартов и технологий США, который широко используется в мире для оценки и улучшения кибербезопасности;
• ГОСТ Р 57580 — стандарт для компаний, которые работают с платёжными данными. Его соблюдение обязательно для финансового сектора.

Существуют и другие стандарты и документы. Такие документы ООО “ЦифраБез” собирает в своей базе по нормативному соответсвию (https://cibez.ru/ib_normi_zakonov).

Заключение

ИБ — это не разовое мероприятие, а непрерывный процесс. Только постоянный мониторинг, регулярные проверки и готовность к изменениям позволяют эффективно защищать информацию в современных условиях. Организации, которые регулярно проверяют свои системы, анализируют инциденты и обновляют политики, не просто снижают риски — они повышают свою устойчивость, репутацию и доверие со стороны клиентов и регуляторов.

Безопасность — это не цель, а путь. И этот путь требует постоянного внимания, ответственности и стремления к улучшению.

Продолжение следует…

Свои комментарии вы можете оставлять на Спонсор или в платном канале “Спонсор в Телеграм”. Для соблюдения федерального закона о персональных данных, на данном сайте комментирование закрыто.

Настоящим уведомляем, что материалы, размещённые на данной странице, охраняются авторским правом в соответствии со статьей 1259 Гражданского кодекса Российской Федерации. Третьи лица не вправе использовать с целью создания каких-либо средств обработки представленной информации и размещённых на данной странице результатов интеллектуальной деятельности каким-либо образом без письменного согласия ООО «ЦифраБез». Распространение настоящей информации возможно внутри вашей организации, в целях личного, не связанного с коммерческой деятельностью использования. Передача настоящей информации за пределы вашей организации запрещена. Также запрещено предоставлять копии настоящей информации третьим лицам, в том числе посредством их публикации в сети интернет или демонстрации на собственном устройстве не работникам вашей организации!

Несанкционированное использование охраняемых авторским правом материалов является нарушением законодательства Российской Федерации и влечёт за собой ответственность, предусмотренную им.