Политика кибербезопасности — это главный документ компании о защите информации: в нём записаны цели, правила, роли и ответственность. Она отвечает на вопрос «что мы защищаем и по каким принципам», а детали выносятся в отдельные положения, регламенты и инструкции. Хорошая политика короткая, понятная руководству и сотрудникам и регулярно пересматривается. Плохая — лежит в папке и вспоминается только при проверке. Разберём, из каких разделов складывается рабочий документ.
Зачем нужна политика
Без общего документа каждый действует по своему разумению: один отдел пересылает договоры в личные мессенджеры, другой даёт подрядчику права администратора «на время», третий вообще не знает, куда сообщать о подозрительном письме.
Политика решает несколько задач:
фиксирует позицию руководства — безопасность важна, и у неё есть владелец;
задаёт единые правила для всех подразделений;
распределяет ответственность;
служит основой для остальных документов и для проверок соответствия требованиям.
Иерархия документов
Важно не путать уровни. Политика — верхний, самый общий слой.
Уровень | Документ | Что описывает | Для кого |
|---|---|---|---|
1 | Политика кибербезопасности | Цели, принципы, роли | Все сотрудники, руководство |
2 | Положение о кибербезопасности (или частные политики) | Правила по отдельным направлениям: доступ, инциденты, резервирование | Ответственные подразделения |
3 | Регламенты | Порядок выполнения процессов, сроки, участники | Исполнители процессов |
4 | Инструкции | Конкретные действия на рабочем месте | Отдельные роли и пользователи |
Положение о кибербезопасности часто называют иначе — например, положением о службе ИБ или о защите информации. Название менее важно, чем то, чтобы документы не противоречили друг другу.
Что должно быть в политике кибербезопасности
Цель и область действия. Какие подразделения, системы и данные охватывает документ, распространяется ли он на подрядчиков.
Роли и ответственность. Кто владелец документа, кто отвечает за безопасность в целом, что ожидается от руководителей и рядовых сотрудников.
Классификация информации. Какие категории данных есть в компании — например, открытые, внутренние, конфиденциальные, персональные — и как с ними обращаться.
Управление доступом. Принцип минимальных прав, порядок выдачи и отзыва доступа, двухфакторная аутентификация.
Работа с устройствами. Рабочие и личные устройства, съёмные носители, удалённая работа.
Почта, мессенджеры и облака. Какими сервисами можно пользоваться для рабочих данных, а какими — нет.
Инциденты. Что считать инцидентом, куда и как быстро сообщать, кто принимает решения.
Резервное копирование и непрерывность. Общие требования к сохранности данных и восстановлению.
Поставщики и подрядчики. Требования к тем, кто получает доступ к системам или данным.
Обучение. Как сотрудники узнают правила и как часто их освежают.
Соответствие требованиям. Ссылки на применимые законы — например, 152-ФЗ о персональных данных или 187-ФЗ, если у компании есть объекты критической информационной инфраструктуры.
Ответственность и пересмотр. Последствия нарушений и порядок обновления документа.
Как написать политику, которую соблюдают
Пишите простым языком. Если сотрудник не понимает фразу с первого раза, переформулируйте.
Отделяйте принципы от деталей. Политика не должна содержать номер версии антивируса — это уровень инструкции.
Согласуйте с подразделениями. Правило, которое ломает рабочий процесс, будут обходить.
Утвердите на уровне руководства. Подпись директора показывает, что это не инициатива одного отдела.
Сделайте короткую выжимку для сотрудников — одну-две страницы с главными правилами.
Пересматривайте регулярно — хотя бы раз в год и после значимых изменений: новые системы, реорганизация, серьёзный инцидент.
Кто этим занимается
Подготовкой политик обычно занимаются специалисты направления «риски и соответствие» (GRC). Им нужно понимать и технику, и бизнес-процессы, и требования законов. Это хороший путь для тех, кто приходит в безопасность из юриспруденции, аудита или управления проектами. На CYBY трек GRC — один из карьерных треков, а для команд компаний есть обучение CYBY Teams.
Частые вопросы
Нужна ли политика небольшой компании? Да, но в простом виде: несколько страниц с главными правилами и ответственными. Сложную систему документов можно строить по мере роста.
Можно ли взять готовый шаблон? Шаблон помогает не забыть разделы, но его обязательно нужно адаптировать под свои процессы. Иначе документ будет описывать чужую компанию.
Чем политика отличается от положения о кибербезопасности? Политика задаёт общие принципы и цели. Положение детализирует правила по направлению или описывает работу конкретного подразделения.
Как донести политику до сотрудников? Через короткую выжимку, ознакомление при приёме на работу и регулярное обучение с разбором примеров.
Изучите направление GRC
Узнайте, как устроена работа с рисками и соответствием, на cyby.ai — подписка на 30 или 365 дней оформляется без автоматических списаний.