ГК Softline: подпись об ознакомлении не означает, что сотрудник понял политику ИБ

Политика информационной безопасности может быть утверждена руководством, опубликована на корпоративном портале и подписана всеми сотрудниками, но так и не повлиять на их поведение.

Если документ читают один раз при трудоустройстве или перед аудитом, компания получает формальное подтверждение ознакомления, а не единые правила работы с информацией.

Проблема проявляется в обычных действиях: сотрудник отправляет рабочий файл через личную почту, передает подрядчику лишние данные или выбирает удобный мессенджер вместо корпоративного канала. За каждым таким решением возникает вопрос, понимал ли человек требования компании и могла ли она проверить дальнейшее движение информации.

Эксперт Infosecurity, входящей в ГК Softline, Тимофей Крылов разобрал, почему политики ИБ превращаются в документы для аудиторов и как вернуть им практический смысл. Главный вывод: объем и юридическая точность сами по себе не делают правила понятными сотрудникам.

Подпись есть, общего понимания нет

Политика ИБ занимает верхний уровень в системе управления информационной безопасностью. Она определяет, зачем организация защищает информацию, какие принципы использует, кто отвечает за их соблюдение и каких результатов хочет достичь.

Подробные процедуры должны находиться ниже: в регламентах, положениях и инструкциях. Именно там уместны технические требования, порядок выдачи доступа, правила работы с конкретными системами и действия при инциденте. Если все это переносится в политику, документ быстро разрастается до нескольких десятков страниц и перестает выполнять свою основную функцию.

ISO/IEC 27001 требует, чтобы политика существовала в документированном виде, была доведена до сотрудников и понятна им. Последний пункт часто выпадает из корпоративной практики. Компании фиксируют публикацию документа и собирают подтверждения об ознакомлении, однако не проверяют, понял ли человек его содержание и способен ли применить правила в работе.

Почему политику закрывают после первой страницы

Первая причина — объем. Большой документ может быть удобен при аудите, но рядовому сотруднику трудно найти в нем ответ на конкретный вопрос. Если перед человеком несколько десятков страниц сплошного текста, ознакомление часто сводится к нажатию кнопки или подписи.

Вторая причина — язык. Юридически точная формулировка может ничего не объяснять человеку без подготовки в области права или информационной безопасности. Требование соблюдать режим конфиденциальности звучит корректно, но не показывает, какие файлы разрешено отправлять подрядчику, где их можно хранить и через какой канал передавать.

Еще одна проблема связана с отсутствием контекста. Универсальные фразы о защите информационных активов не помогают понять, какие данные особенно важны для конкретной компании и где сотрудник сталкивается с ними в ежедневной работе. Для отдела продаж, кадровой службы, бухгалтерии и разработчиков риски возникают в разных процессах, а одинаково абстрактный документ не учитывает эту разницу.

Политика окончательно превращается в формальность, когда живет отдельно от рабочих процессов. Ее не используют при адаптации новых сотрудников, выдаче доступа, обучении или разборе инцидентов. В результате безопасность воспринимается как зона ответственности отдельного подразделения, а требования ИБ — как внешние ограничения, не связанные с обычными задачами.

Ошибки начинаются с удобных решений

Последствия непрочитанной политики редко выглядят как сознательное нарушение. Человек выбирает самый быстрый способ выполнить задачу и ориентируется на привычки своей команды. Если общий порядок не понятен, каждый сам решает, какие данные можно передать, кому и через какой сервис.

Особенно чувствительны операции с персональными данными. Сотрудник может отправить внешнему исполнителю больше сведений, чем требуется для работы, или воспользоваться личным мессенджером. Для него это способ быстрее решить вопрос. Для компании — потеря контроля над тем, кто получил информацию, на каком основании она передана и можно ли ограничить ее распространение.

Проблему не решает попытка перечислить в одном документе все возможные ситуации. Политика должна задавать общую логику: что организация защищает, почему эти данные важны и какую ответственность несет сотрудник. Конкретные действия для отдельных процессов лучше описывать в профильных инструкциях.

Такой подход помогает избежать двух крайностей. Слишком общий текст не влияет на поведение, а перегруженный документ невозможно использовать в ежедневной работе. Между ними остается короткая политика, которая объясняет основные принципы и направляет сотрудника к нужным регламентам.

Короткий документ может быть строже длинного

Понятный язык не означает отказ от юридической точности. Требования можно формулировать так, чтобы сотрудник сразу видел ожидаемое действие и понимал его причину. Длинные конструкции стоит разбивать, профессиональные термины — объяснять, а общие запреты связывать с реальными процессами компании.

Содержание также должно учитывать особенности бизнеса. Если организация обрабатывает персональные данные клиентов, использует личные устройства для рабочих задач или регулярно привлекает подрядчиков, эти ситуации необходимо обозначить. Шаблонная политика, не связанная с устройством компании, быстро устаревает и плохо помогает при принятии решений.

Структура документа должна позволять за несколько минут найти раздел о целях, области действия, ролях, ответственности и последствиях нарушений. Объяснение причин тоже имеет значение: сотруднику проще соблюдать правило, когда он понимает, какой риск возникает при использовании личной почты или почему об инциденте нужно сообщить сразу.

Эксперты Softline допускают объем в две-три страницы, если в документе отражены цели, принципы, область действия и ответственность, подробности при этом переносятся в отдельные регламенты и инструкции. Политику рекомендуется пересматривать не реже одного раза в год, а также после серьезных инцидентов и значимых изменений в законодательстве, технологиях или структуре организации.

Проверять нужно понимание, а не наличие подписи

Оценить работоспособность политики можно без сложного исследования, достаточно попросить нескольких сотрудников своими словами объяснить ее смысл. Если ответы сводятся к тому, что информацией нужно пользоваться безопасно, документ не дает людям ориентиров для реальных ситуаций. Еще один показатель — время чтения, за 10-15 минут сотрудник должен понять, зачем компании нужна политика, какие принципы она устанавливает и чего от него ожидают.

Важно также проверить, упоминается ли документ за пределами аудита. Если к нему не обращаются при трудоустройстве, обучении, предоставлении доступа и расследовании инцидентов, он не встроен в управление безопасностью, даже хорошо написанный текст останется файлом на корпоративном портале.

Формальное ознакомление подтверждает, что сотруднику показали документ. Оно не доказывает, что человек понял правила и сможет применить их в нестандартной ситуации. Поэтому эффективность политики определяется тем, меняет ли она решения сотрудников, а не количеством собранных подписей.

Компании могут продолжать наращивать документы, добавляя новые термины, оговорки и запреты. Однако без понятной связи с рабочими процессами этот объем будет работать прежде всего на прохождение проверки. Политика начинает защищать бизнес тогда, когда сотрудник способен быстро соотнести ее принципы со своей задачей и выбрать безопасный способ действия.