Политика информационной безопасности

Без единого верхнеуровневого документа защита информации в организации обычно складывается из разрозненных мер: где-то есть регламент по паролям, где-то — правило не пересылать документы на личную почту, а где-то ничего не зафиксировано вообще, и сотрудники действуют по интуиции. Политика информационной безопасности собирает эти принципы в одном месте и задаёт общую логику, из которой затем выводятся конкретные регламенты.

Кроме внутренней пользы, политика демонстрирует контрагентам и проверяющим органам, что организация системно подходит к защите информации, а не решает вопросы безопасности разово, по факту инцидента.

Отдельная практическая ценность документа — в спорных ситуациях с сотрудниками. Если политика чётко описывает, что можно и что нельзя делать с рабочей информацией, работодателю проще применить дисциплинарные меры к нарушителю: правило было зафиксировано заранее и доведено до сведения, а не придумано постфактум.

Политика информационной безопасности полезна практически любой организации, которая работает с информацией, имеющей ценность: клиентскими базами, персональными данными, коммерческими условиями, интеллектуальной собственностью. Для образовательных проектов и малого бизнеса это в первую очередь база учеников и клиентов, авторские методики и внутренние ИТ-системы.

Обязательность документа зависит от контекста: отдельные отрасли и виды деятельности предъявляют к организации формальные требования по защите информации, где наличие политики — часть выполнения этих требований. Для остальных компаний документ не обязателен по прямому указанию закона, но выступает разумной управленческой практикой и основой для выстраивания всех остальных мер защиты, включая работу с персональными данными и коммерческой тайной.

Типовая структура документа выглядит так:

Документ утверждается руководителем организации и доводится до сведения всех сотрудников, а не только тех, кто напрямую работает с ИТ-системами. Ознакомление лучше фиксировать документально — подписью или отметкой в электронной системе учёта.

Политика информационной безопасности задаёт принципы, но не заменяет специализированные документы, которые регулируют защиту конкретных категорий информации: положение об обеспечении безопасности персональных данных описывает меры защиты ПДн по требованиям 152-ФЗ, положение о коммерческой тайне — режим защиты секретов производства, а порядок реагирования на инциденты ИБ — конкретный алгоритм действий при утечке или атаке.

Разумная иерархия документов выглядит так: политика формулирует общие принципы, а более узкие регламенты детализируют их применительно к конкретным видам информации и рискам. Без верхнеуровневой политики частные регламенты рискуют противоречить друг другу или дублировать одни и те же требования разными формулировками, а сотрудникам становится сложнее понять, какой документ применить в конкретной ситуации.

Для компании, у которой ещё нет ни одного документа по информационной безопасности, разумный порядок действий такой:

1. провести инвентаризацию информационных активов и понять, что вообще нужно защищать;
2. сформулировать политику на основе реальных рисков бизнеса;
3. разработать частные документы — положения, регламенты, инструкции для сотрудников.

Копировать чужую политику информационной безопасности без адаптации - плохая практика: документ должен отражать реальную структуру организации и реальные информационные активы, иначе он останется формальностью, не работающей на практике.

Разумный минимум для малого бизнеса — короткий документ на несколько страниц, покрывающий основные риски: доступ к рабочим системам, работу с клиентской базой, использование личных устройств и облачных сервисов, правила при увольнении сотрудника. Наращивать детализацию можно постепенно, по мере роста компании и появления новых рисков, а не пытаться сразу написать исчерпывающий регламент на десятки страниц.