Что такое политика информационной безопасности
Коротко
Политика информационной безопасности — это документ, который устанавливает, как компания защищает свои информационные активы: что считает ценным, кто за что отвечает, по каким правилам работают сотрудники и подрядчики и как проверяют соблюдение этих правил. Она задаёт общие принципы и ответственность, а частные правила — пароли, доступ, работу с носителями, реакцию на происшествия — вытекают из неё отдельными документами.
Что написано в политике
Политика отвечает на четыре вопроса. Что защищаем: перечень информационных активов — данные, программы, оборудование, сервисы, у каждого есть владелец. От чего защищаем: угрозы и риски, которые компания для себя определила. Кто отвечает: роли и обязанности — руководство, владельцы активов, сотрудники, подрядчики. По каким правилам: что сотруднику можно и чего нельзя, как выдаётся доступ, что делать при происшествии.
Из политики выводят частные документы: правила доступа и паролей, правила работы с носителями, порядок реакции на инциденты, правила обучения сотрудников. Сама политика при этом остаётся короткой: она задаёт рамку, в которой эти документы действуют, и не пересказывает их целиком.
Политика опирается на три свойства информации: конфиденциальность (её видят только те, кому положено), целостность (её не изменили незаметно) и доступность (она есть тогда, когда нужна. Четвёртое свойство — подлинность: понятно, кто автор и отправитель.
Что политика устанавливает
- Перечень информационных активов и их владельцев: у каждой системы, базы и сервиса есть человек, отвечающий за её защиту.
- Классификацию данных: какие сведения критичны для работы, какие чувствительны и какой уровень защиты к каждому применяется.
- Правила доступа: кому и на каком основании выдаются права, кто их подтверждает и когда отзывает.
- Обязанности сотрудников и подрядчиков: как обращаться с данными и оборудованием, что запрещено, куда сообщать о подозрительном.
- Порядок реакции на происшествия: кто принимает решение, кому сообщают, что фиксируют.
- Порядок пересмотра: кто утверждает политику, как часто её пересматривают и как фиксируют изменения.
Чем политика отличается от других документов по защите
Политика — это решение руководства о том, как компания защищает информацию. Инструкция — описание конкретных действий для сотрудника: как настроить доступ, что сделать при утере носителя. Регламент — порядок работы процесса: кто и в какой срок обрабатывает заявку на доступ. Стандарт — технические требования, например к паролям и шифрованию.
Эти документы не заменяют друг друга. Политика без инструкций остаётся декларацией, а инструкции без политики не имеют общего основания и расходятся между подразделениями. Поэтому политику утверждают первой, а частные документы выводят из неё.
Похожим образом устроены политики в других областях: политика обработки персональных данных отвечает за сведения о людях, а политика информационной безопасности — за все информационные активы компании, включая персональные данные как один из видов.
Кого она касается
Политика распространяется на всех, у кого есть доступ к информации компании: штатных сотрудников, руководителей, подрядчиков, внешних специалистов и поставщиков услуг. С правилами знакомят под подпись или другим способом, который оставляет доказательство, — так проверяющий видит, что человек о них знал.
Ответственность за утверждение лежит на руководстве компании. Руководство же назначает владельцев активов и ответственного за защиту информации. Владелец актива может поручить кому-то настройку защиты, но ответственность за сохранность актива остаётся на нём.
Как политику пишут и пересматривают
Политику строят от задач бизнеса: сначала смотрят, какие данные и системы важны для работы и что будет, если они пропадут или утекут. От этого зависит, какие правила нужны и насколько строгими они будут.
Документ пересматривают не реже раза в год и при крупных изменениях: новая система, новый вид данных, смена поставщика, серьёзное происшествие. Утверждение, пересмотр и изменение фиксируют документально — так видно, какая редакция действует сейчас и кто её утвердил.
У политики есть срок действия и признак действующей редакции. Проверить, не устарел ли документ, можно по дате утверждения и по отметке о последнем пересмотре на самом документе.
Частые вопросы
Чем политика информационной безопасности отличается от политики обработки персональных данных?
Политика обработки персональных данных касается сведений о людях: какие данные компания собирает, зачем и как долго хранит. Политика информационной безопасности шире: она охватывает все информационные активы, а персональные данные — один из них. Поэтому вторая может ссылаться на первую, но не заменяет её.
Обязательна ли такая политика для компании?
Компания вправе выбрать форму и объём политики, если для неё нет обязательных требований. Для оператора персональных данных действует обязанность принимать меры по защите персональных данных и оформлять их локальными актами (статьи 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ); для значимых объектов критической информационной инфраструктуры — создать систему безопасности по Федеральному закону от 26.07.2017 № 187-ФЗ. Отраслевые акты — государственные стандарты, приказы ФСТЭК, отраслевые стандарты — добавляют требования, но не создают саму обязанность.
Кто утверждает политику?
Руководство компании. Оно же назначает ответственного за защиту информации и владельцев активов. Утверждение и последующие изменения фиксируют документально.
Как часто пересматривают политику?
Не реже раза в год и при крупных изменениях: новая система, новый вид данных, смена поставщика, происшествие. Каждый пересмотр фиксируют, чтобы было видно, какая редакция действует.
Что будет, если сотрудник нарушил политику?
К трудовым последствиям — дисциплинарное взыскание и возмещение прямого действительного ущерба по статьям 238, 241–243 Трудового кодекса — добавляются административная ответственность компании за нарушения в обработке персональных данных и уголовная ответственность конкретного лица за неправомерный доступ к компьютерной информации.
Нужна ли политика, если компания небольшая?
Нужна, если у компании есть данные и системы, потеря которых остановит работу или обернётся убытком. В небольшой компании политика короче: меньше ролей и систем, но те же разделы — активы, доступ, обязанности, происшествия, пересмотр.
Читать в журнале
Когда ИИ получает доступ к данным компании
Чтобы агент работал с вашими данными по правилам, а не как получится
ИИ-агент подключается к CRM, 1С, почте и мессенджерам — то есть к тем самым активам, которые защищает политика. Прежде чем давать ему доступ, нужно решить, какие данные он видит, что с ними делает и кто отвечает за его ошибку.
Я собираю агента под одну задачу, подключаю к вашим системам и проверяю на настоящих случаях из вашей работы. Правила доступа к данным обсуждаем до подключения, а не после первого происшествия.