ГК Softline: как политика ИБ становится рабочим инструментом, а не формальностью

Политика информационной безопасности часто воспринимается сотрудниками как «мертвый» текст, который не влияет на реальные процессы. Документ разрабатывается для аудита или по требованиям регулятора, после чего отправляется «на полку».

В результате работники игнорируют правила, так как они оторваны от повседневных задач, а система защиты остается фрагментарной. Такой подход создает иллюзию защищенности, но не снижает реальных рисков для бизнеса.

Мы в Softline всегда рекомендуем заказчикам рассматривать политику информационной безопасности как важный элемент, который влияет на бизнес-процессы и является частью корпоративной культуры. Только в этом случае документ начинает реально приносить пользу.

Верхнеуровневая политика информационной безопасности должна содержать стратегические цели, область действия, определять общие принципы защиты данных, а также определять роли и ответственность за нарушения установленных правил. Конкретные технические параметры (длина паролей, настройки межсетевых экранов или версии средств криптозащиты) следует выносить в частные политики, стандарты и технологические регламенты.

Набор обязательных требований в документе зависит от сферы деятельности и категорий обрабатываемой информации. Типовые шаблоны могут подойти микробизнесу для быстрой формализации. Адаптация стандарта ISO 27001 оптимальна для крупных компаний, которые хотят внедрять международные практики управления рисками.

Мы в Softline считаем, что привлечение консультантов важно для гарантированного прохождения жестких внешних аудитов по требованиям регуляторов или головных компаний. Тогда как разработка политики ИБ с нуля оправдана для создателей новых технологий, если в отрасли еще нет готовых стандартов. На практике чаще всего используется гибридный подход: обязательные регуляторные требования дополняются мерами, обоснованными реальными рисками компании.

Кроме того, в каждой стране есть требования регуляторов к компаниям. Обязательные нормы для бизнеса могут отличаться в зависимости от сферы деятельности, имеющихся лицензий и категорий обрабатываемой информации. Например, в России под действие закона о персональных данных (152-ФЗ) попадают все организации. Требования к безопасности критической информационной инфраструктуры (187-ФЗ) обязательны для компаний из стратегических отраслей, в частности, для топливно-энергетического комплекса, сферы транспорта. Приказы ФСБ России обязательны при использовании средств шифрования или электронной подписи. Игнорирование этих требований может привести к приостановке деятельности.

Руководители в сфере информационной безопасности должны понимать, что качество политики ИБ определяет зрелость всей системы защиты. В документе важно прописать, что компания реально может контролировать, как она это будет делать и кто несет ответственность в случае инцидентов.