Что такое СМИБ
Коротко
СМИБ — система менеджмента информационной безопасности. Это часть общей системы управления компанией, которая по подходу, основанному на бизнес-рисках, систематически создаёт, внедряет, эксплуатирует, анализирует, поддерживает и улучшает защиту информации. Проще: это порядок, по которому компания решает, что именно защищать, от чего, кто за это отвечает и как проверяется, что защита работает.
Чем СМИБ отличается от набора средств защиты
Антивирус, файрвол и резервные копии — это инструменты. СМИБ отвечает на вопросы уровнем выше: какие сведения для бизнеса критичны, что случится, если они утекут или пропадут, какие меры соразмерны этому риску и кто в компании отвечает за каждую меру.
Поэтому СМИБ — управленческая система, а не папка с политиками. Она живёт циклами: сначала оценивают риски и состояние защиты, затем внедряют меры, потом проверяют, что они работают, и корректируют. Такой цикл называют моделью постоянного улучшения: планируй, делай, проверяй, улучшай.
Требования к СМИБ установлены ISO/IEC 27001 (в России — ГОСТ Р ИСО/МЭК 27001). Управление рисками информационной безопасности описывает ISO/IEC 27005:2022, а термины и общая схема — ISO/IEC 27000. Строить систему нужно по 27001, а 27005 использовать как методику оценки рисков.
Из чего состоит СМИБ
- Область действия: какие подразделения, системы и данные входят в систему, а какие остаются за её границей.
- Оценка рисков: перечень информации и активов, угрозы для них, вероятность и последствия, приоритеты.
- Меры защиты: организационные, технические и физические — от правил доступа до шифрования и охраны помещений.
- Роли и ответственность: кто владеет системой, кто отвечает за каждый актив, кто принимает решения по рискам.
- Документы: политика информационной безопасности, регламенты, инструкции и записи о том, что реально сделано.
- Проверка и улучшение: внутренние проверки, разбор инцидентов и план исправлений.
Как строится система
Начинают с инвентаризации: какие сведения компания создаёт, получает, хранит и передаёт, где они лежат и кто к ним имеет доступ. Без этого списка защита превращается в покупку средств без понимания, что они закрывают.
Дальше оценивают риски: для каждого важного актива — что может пойти не так, насколько это вероятно и чем обернётся для денег, клиентов и репутации. Меры выбирают под риск, а не под модную технологию: где-то достаточно разграничить доступ и вести журнал, где-то нужны шифрование и резервные копии.
Затем систему закрепляют документами и ролями и запускают цикл проверок. Инциденты разбирают не для отчёта, а чтобы понять, какая мера не сработала, и поправить её.
СМИБ и отдельные меры защиты
| СМИБ | Набор средств | |
|---|---|---|
| Что решает | Что защищать, от чего и в каком порядке | Какую программу поставить |
| Основа выбора | Оценка рисков бизнеса | Возможности и цена инструмента |
| Кто отвечает | Роли закреплены, у каждого актива есть владелец | Ответственность часто размыта между отделами |
| Как проверяется | Внутренние проверки, разбор инцидентов, исправления | По факту установки и оплаты |
| Что происходит при утечке | Видно, какая мера не сработала, и что менять | Ищут виновного и покупают ещё один инструмент |
Частые вопросы
Зачем малому бизнесу СМИБ?
Затем же, зачем крупному: у малой компании тоже есть клиентские базы, договоры, доступы к счетам и переписка. Система нужна не в полном объёме стандарта, а в объёме, соразмерном рискам: список важных данных, правила доступа, резервные копии, ответственный и порядок разбора инцидентов.
СМИБ и защита персональных данных — это одно и то же?
Нет. Защита персональных данных — требование закона к обработке сведений о людях. СМИБ шире: она охватывает и коммерческую тайну, и договоры, и технологические данные. Персональные данные в системе становятся одним из активов, для которого оценивают риск и подбирают меры.
Нужен ли отдельный сотрудник по информационной безопасности?
Не обязательно. В небольшой компании роли распределяют между существующими сотрудниками и закрепляют приказом. Важно, чтобы у системы был владелец, у каждого актива — ответственный, а решения по рискам принимал конкретный человек.
С чего начать, если системы нет вообще?
С инвентаризации информации и доступов: что хранится, где, кто видит. Дальше — оценка рисков по важнейшим активам и первые меры: разграничение доступа, резервные копии, правила паролей и порядок действий при инциденте.
Как понять, что СМИБ работает?
По трём признакам: инциденты фиксируются и разбираются, а не замалчиваются; проверки находят слабые места и по ним есть исправления; новые сервисы и подрядчики проходят через оценку рисков до запуска, а не после утечки.
Читать в журнале
Когда порядок в данных нужен для решений, а не для отчёта
Собрать цифры бизнеса в одну картину и увидеть, где теряются деньги
Порядок в информации начинается с ответа на вопрос, какие данные для бизнеса главные. Когда выручка, заявки, деньги и маржа сведены на одном экране, видно, какой канал, клиент или товар приносит прибыль, а какой её съедает.
Я собираю главные цифры бизнеса на одном экране и настраиваю, чтобы они обновлялись сами: вы видите business за пять минут в день и получаете сообщение, когда цифра выходит за заданные пределы.