Обеспечение информационной безопасности (ИБ) — задача, которая давно вышла за рамки ИТ-департамента. В 2025 году совокупный ущерб от кибератак на российские организации превысил 165 млрд рублей, а средняя стоимость одного инцидента для компании среднего размера составила 27 млн рублей. При этом 70% инцидентов связаны не с техническими уязвимостями, а с организационными пробелами: отсутствием политик, необученным персоналом, несогласованными процессами.
В этой статье разберём комплексный подход к обеспечению ИБ в организации: пять направлений защиты, нормативные требования, roadmap построения системы ИБ с нуля за 12 месяцев, роль СУИБ и автоматизация через SGRC.
Что такое обеспечение информационной безопасности
Определение и цели
Обеспечение информационной безопасности — это комплекс организационных, технических и правовых мер, направленных на защиту информации от несанкционированного доступа, утечки, модификации и уничтожения. Три базовых свойства информации, которые защищает ИБ, определены стандартом ISO 27001:
- Конфиденциальность — доступ к информации имеют только авторизованные лица.
- Целостность — информация не может быть изменена без авторизации; любые изменения отслеживаются.
- Доступность — информация и информационные системы доступны авторизованным пользователям в нужный момент.
Эта триада (CIA — Confidentiality, Integrity, Availability) — фундамент любой системы ИБ. Каждая мера защиты должна поддерживать хотя бы одно из трёх свойств.
ИБ как бизнес-процесс
Типичная ошибка — воспринимать ИБ как техническую функцию, которую можно делегировать ИТ-отделу. В реальности обеспечение ИБ — это бизнес-процесс, затрагивающий все подразделения:
- HR — проверка кандидатов, обучение сотрудников, процедуры увольнения с отзывом доступов.
- Юристы — оценка регуляторных требований, подготовка NDA, работа с утечками.
- Финансы — бюджетирование ИБ, оценка ущерба от инцидентов, страхование киберрисков.
- Топ-менеджмент — утверждение политики ИБ, принятие рисков, обеспечение ресурсов.
Указ Президента РФ №250 от 01.05.2022 закрепил персональную ответственность руководителя организации за обеспечение ИБ. Информационная безопасность — зона ответственности первого лица, а не сисадмина.
Актуальность: статистика инцидентов
Масштаб угроз растёт ежегодно. По данным НКЦКИ, в 2025 году зафиксировано более 200 000 компьютерных инцидентов на объектах КИИ — на 40% больше, чем годом ранее. Количество утечек персональных данных, по данным Роскомнадзора, превысило 700 случаев. Среднее время обнаружения компрометации в российских организациях — 243 дня.
Эти цифры подтверждают: реактивный подход к ИБ не работает. Нужна система — комплексная, документированная, непрерывно совершенствуемая.
Нормативные требования к обеспечению ИБ в России
Федеральные законы
Нормативная база в РФ включает более 20 основных документов. Ключевые законы:
| Закон | Область применения | Ключевые требования к ИБ |
|---|---|---|
| 149-ФЗ «Об информации» | Все организации | Базовые принципы защиты информации, классификация |
| 152-ФЗ «О персональных данных» | Операторы ПДн | Защита ПДн, уведомление об утечках (24+72 ч) |
| 187-ФЗ «О безопасности КИИ» | Субъекты КИИ | Категорирование, защита, информирование ГосСОПКА |
| 98-ФЗ «О коммерческой тайне» | Организации с КТ | Режим коммерческой тайны, меры охраны |
Приказы ФСТЭК
ФСТЭК России определяет конкретные меры защиты для разных типов систем:
- Приказ №117 — меры защиты информации в ГИС.
- Приказ №21 — меры защиты ПДн в ИСПДн.
- Приказ №239 — меры защиты значимых объектов КИИ.
- Приказ №235 — требования к созданию систем безопасности значимых объектов КИИ, включая кадровое обеспечение.
Каждый приказ содержит перечень мер защиты (от 100+ мер), распределённых по классам/категориям. Контроль соответствия требованиям — обязательная часть обеспечения ИБ.
Отраслевые стандарты
Для финансовых организаций обязателен ГОСТ Р 57580.1-2017 «Защита информации финансовых организаций». Стандарт определяет три уровня защиты и более 400 мер. Соответствие оценивается по ГОСТ Р 57580.2-2018 внешним аудитором с лицензией ФСТЭК.
Указ Президента №250 от 01.05.2022 ввёл дополнительные требования: назначение ответственного за ИБ на уровне заместителя руководителя, создание подразделения ИБ, применение средств мониторинга.
Международные стандарты: ISO 27001 и NIST
ISO/IEC 27001:2022 — международный стандарт, определяющий требования к системе управления информационной безопасностью (СУИБ). В России действует национальный аналог — ГОСТ Р ИСО/МЭК 27001. Стандарт ISO 27001 применяют организации, работающие с иностранными контрагентами, проходящие сертификацию или стремящиеся к системному управлению ИБ.
NIST Cybersecurity Framework (CSF) — фреймворк Национального института стандартов и технологий США. Пять функций: Identify, Protect, Detect, Respond, Recover. NIST CSF не является обязательным в РФ, но используется как практический инструмент оценки зрелости ИБ.
Пять направлений комплексного обеспечения ИБ
Комплексный подход включает пять направлений. Без любого из них система остаётся неполной — как дом с пропущенной стеной.
Направление 1. Организационные меры
Организационные меры — фундамент системы ИБ. Сюда входят:
Структура ИБ. Назначение ответственного за ИБ (или создание подразделения), определение ролей и зон ответственности. Для субъектов КИИ обязательно создание подразделения ИБ (Приказ ФСТЭК №235).
Документация ИБ. Иерархия документов:
- Политика ИБ — верхнеуровневый документ, определяющий цели, принципы и подход организации к ИБ.
- Стандарты и регламенты — детализация политики по направлениям (управление доступом, защита ПДн, классификация информации).
- Процедуры и инструкции — пошаговые описания действий (процедура реагирования на инциденты, инструкция по работе с СКЗИ).
- Записи и журналы — свидетельства выполнения процедур (журналы аудита, акты, протоколы).
Подробнее о разработке документации — в модуле Документы ИБ платформы КиберОснова.
Процессы ИБ. Ключевые процессы, которые необходимо формализовать: управление доступом, управление инцидентами, управление изменениями, управление уязвимостями, управление рисками, обучение персонала.
Направление 2. Технические средства защиты
Технические средства — инструменты, реализующие организационные решения на практике. Набор зависит от зрелости организации.
Базовый набор (обязателен для любой организации):
- Антивирусная защита конечных точек.
- Межсетевой экран (NGFW) на периметре сети.
- Резервное копирование критичных данных.
- Управление обновлениями (patch management).
Продвинутый набор (средние и крупные организации):
- SIEM — сбор и корреляция событий безопасности.
- DLP — предотвращение утечек данных.
- PAM — управление привилегированным доступом.
- EDR/XDR — обнаружение и реагирование на угрозы на конечных точках.
Криптографическая защита:
- СКЗИ (средства криптографической защиты информации) — шифрование каналов связи, электронная подпись.
- VPN — защита удалённого доступа.
- PKI — инфраструктура открытых ключей.
При выборе средств защиты для ГИС, ИСПДн и КИИ необходимо учитывать требования ФСТЭК к сертификации. Сертифицированные средства обязательны для определённых классов систем — несертифицированное решение может быть функциональнее, но не пройдёт проверку регулятора.
Направление 3. Кадровое обеспечение и осведомлённость
Люди — и главная уязвимость, и главный актив системы ИБ. Кадровое направление включает:
Квалифицированные специалисты ИБ. Для организаций с численностью от 500 сотрудников рекомендуется выделенное подразделение ИБ (2–5 специалистов). Для меньших — назначение ответственного за ИБ с профильным образованием или переподготовкой.
Программа повышения осведомлённости. Регулярное обучение сотрудников: фишинг-симуляции, тренинги по работе с конфиденциальной информацией, правила парольной политики. По данным Verizon DBIR, 74% инцидентов связаны с человеческим фактором — обучение окупается кратно.
Проверка при найме и процедуры увольнения. Проверка репутации кандидатов на критичные позиции. При увольнении — немедленный отзыв доступов, сдача носителей, подписание обязательства о неразглашении.
Направление 4. Управление рисками ИБ
Управление рисками — процесс, который определяет, куда направить ограниченные ресурсы. Без него организация защищает всё одинаково — то есть ничего не защищает достаточно.
Идентификация активов и угроз. Составление реестра информационных активов (данные, системы, оборудование), определение актуальных угроз из БДУ ФСТЭК и других источников.
Оценка рисков. Качественная (Low / Medium / High / Critical) или количественная (в денежном выражении) оценка вероятности реализации угрозы и потенциального ущерба. Стандарт ISO 27005 определяет методологию оценки рисков ИБ.
Обработка рисков. Четыре стратегии:
| Стратегия | Когда применять | Пример |
|---|---|---|
| Снижение | Риск неприемлем, есть меры защиты | Установка МЭ, шифрование |
| Принятие | Стоимость мер превышает потенциальный ущерб | Риск на тестовом сервере |
| Передача | Риск можно переложить на третью сторону | Киберстрахование |
| Избегание | Деятельность, создающая риск, нецелесообразна | Отказ от устаревшей системы |
Модуль управления рисками КиберОснова автоматизирует идентификацию, оценку и обработку рисков ИБ с привязкой к реестру активов и мерам защиты.
Направление 5. Контроль, аудит и непрерывное совершенствование
Система ИБ, которую не проверяют, деградирует. Пятое направление замыкает цикл PDCA:
- Внутренний аудит ИБ — регулярная проверка соответствия мер защиты установленным требованиям. Модуль аудита ИБ в КиберОснова автоматизирует формирование чек-листов и отслеживание статуса.
- Мониторинг событий безопасности — сбор и анализ логов, обнаружение аномалий, корреляция событий (SIEM).
- Управление инцидентами — обнаружение, классификация, реагирование, расследование, извлечение уроков.
- Анализ результатов — пересмотр рисков, корректировка мер защиты, обновление документации.
Roadmap: обеспечение ИБ с нуля за 12 месяцев
Построение системы ИБ в средней организации (100–500 сотрудников) занимает 10–12 месяцев. Ниже — практический roadmap.
Месяцы 1–2: аудит текущего состояния
Цель: понять, что есть сейчас и чего не хватает.
- Инвентаризация информационных активов: данные, системы, оборудование, каналы связи.
- GAP-анализ: сопоставление текущего состояния с требованиями (152-ФЗ, Приказы ФСТЭК, отраслевые стандарты).
- Определение границ: какие системы входят в область защиты, какие нормативные требования применимы.
- Оценка текущих рисков: что может произойти, какие последствия, какие меры уже действуют.
Результат: отчёт о текущем состоянии ИБ, перечень несоответствий, приоритизированный список задач.
Месяцы 3–4: стратегия и документация
Цель: разработать «каркас» системы ИБ.
- Разработка политики ИБ — утверждение руководством.
- Разработка ключевых регламентов: управление доступом, управление инцидентами, классификация информации.
- Определение организационной структуры ИБ: ответственный, роли, зоны ответственности.
- Формирование бюджета на ИБ.
Результат: утверждённая политика ИБ, пакет регламентов, утверждённый бюджет.
Месяцы 5–7: внедрение мер защиты
Цель: реализовать приоритетные организационные и технические меры.
- Внедрение базовых технических средств: антивирус, МЭ, резервное копирование.
- Настройка управления доступом: принцип минимальных привилегий, регулярная рекертификация.
- Запуск мониторинга событий безопасности (SIEM или лог-менеджмент).
- Развёртывание SGRC-платформы для управления процессами ИБ.
КиберОснова помогает пройти все этапы roadmap: от аудита текущего состояния до мониторинга эффективности мер защиты. Платформа объединяет управление рисками, документами, комплаенсом и задачами ИБ в едином пространстве — подробнее о подходе на странице автоматизации ИБ.
Месяцы 8–10: обучение и запуск процессов
Цель: вовлечь сотрудников и запустить операционные процессы.
- Обучение сотрудников: базовый курс ИБ для всех, углублённый — для ИТ и ИБ-специалистов.
- Фишинг-симуляции: первый тест и разбор результатов.
- Запуск процесса управления инцидентами: назначение CSIRT, разработка playbook.
- Запуск процесса управления уязвимостями: регулярное сканирование, SLA, верификация.
Результат: обученный персонал, работающие процессы ИБ, зафиксированные метрики.
Месяцы 11–12: аудит и корректировка
Цель: проверить работоспособность системы и скорректировать курс.
- Внутренний аудит ИБ: проверка соответствия политике, регламентам и нормативным требованиям.
- Анализ метрик: MTTR инцидентов, покрытие сканирования, SLA compliance, количество обученных сотрудников.
- Пересмотр рисков с учётом новых данных.
- Корректировка мер защиты и обновление документации.
- Подготовка отчёта руководству: что сделано, какие риски остаются, что запланировано на следующий год.
Результат: зрелая базовая система ИБ, готовая к развитию.
Организационная структура ИБ
Назначение ответственных
| Размер организации | Рекомендуемая модель | Обоснование |
|---|---|---|
| До 50 сотрудников | Ответственный за ИБ (совмещение с ИТ) | Приказ руководителя, базовые компетенции ИБ |
| 50–200 сотрудников | Выделенный специалист ИБ | Полноценное управление процессами ИБ |
| 200–1000 сотрудников | Подразделение ИБ (2–5 человек) | Разделение функций: комплаенс, техника, процессы |
| Более 1000 сотрудников | Департамент ИБ + CISO | Стратегическое управление, подразделение в составе |
Для субъектов КИИ создание подразделения ИБ обязательно (Приказ ФСТЭК №235), а Указ Президента №250 требует назначения ответственного за ИБ на уровне заместителя руководителя.
Взаимодействие ИБ с подразделениями
Изолированное подразделение ИБ неэффективно. ИТ реализует технические меры, HR организует обучение и контролирует увольнения, юристы оценивают регуляторные требования, бизнес-подразделения участвуют в оценке рисков, руководство утверждает политику и выделяет бюджет.
СУИБ: система управления информационной безопасностью
Модель PDCA
СУИБ строится на цикле PDCA (Plan-Do-Check-Act), определённом стандартом ISO 27001:
- Plan — определение целей ИБ, оценка рисков, выбор мер защиты.
- Do — внедрение мер защиты, обучение персонала, запуск процессов.
- Check — мониторинг, аудит, анализ инцидентов, оценка метрик.
- Act — корректировка мер, обновление документации, пересмотр рисков.
Цикл непрерывен. СУИБ — это не проект с конечной датой, а постоянный процесс совершенствования.
Требования ISO 27001
ISO 27001:2022 определяет 93 меры защиты (controls) в четырёх категориях: организационные (37), кадровые (8), физические (14) и технологические (34). Организация выбирает применимые меры на основе оценки рисков и документирует выбор в Заявлении о применимости (Statement of Applicability, SoA).
Внедрение СУИБ по ISO 27001 обеспечивает системность (целостная система вместо разрозненных мер), измеримость (метрики эффективности), доверие контрагентов (сертификация), регуляторное соответствие и непрерывное совершенствование через цикл PDCA.
Управление рисками ИБ
Процесс в четыре шага
Управление рисками — ядро СУИБ. Процесс включает четыре шага:
Шаг 1. Идентификация. Определение активов (что защищаем), угроз (от чего защищаем), уязвимостей (чем могут воспользоваться). Источники угроз: БДУ ФСТЭК, MITRE ATT&CK, отраслевые отчёты.
Шаг 2. Оценка. Для каждой пары «угроза — уязвимость» определяется вероятность реализации и потенциальный ущерб. Результат — уровень риска. Методология оценки определена в ISO 27005 и методике ФСТЭК.
Шаг 3. Обработка. Выбор стратегии для каждого риска: снижение (внедрение меры защиты), принятие, передача (страхование) или избегание.
Шаг 4. Мониторинг. Регулярный пересмотр рисков: при изменении инфраструктуры, появлении новых угроз, после инцидентов.
Каждая мера защиты должна быть обоснована конкретным риском — это позволяет обосновать бюджет перед руководством, отказаться от избыточных мер и приоритизировать ограниченные ресурсы.
Автоматизация обеспечения ИБ
Зачем автоматизировать
В средней организации специалист ИБ оперирует 20+ нормативными документами, 100+ активами, десятками рисков, ежедневными событиями безопасности и квартальными аудитами. Управлять этим в Excel — путь к пропущенным дедлайнам и провалу при проверке регулятора.
SGRC (Security Governance, Risk and Compliance) объединяет управление ИБ в единой платформе: реестр активов, управление рисками, комплаенс, документы ИБ, аудит, задачи и дашборды для CISO.
КиберОснова: платформа для комплексного обеспечения ИБ
Платформа КиберОснова реализует SGRC-подход для российских организаций:
- Модуль управления рисками — идентификация, оценка, обработка рисков с методологией ISO 27005 и ФСТЭК.
- Модуль соответствия требованиям — непрерывный мониторинг выполнения требований 152-ФЗ, 187-ФЗ, Приказов ФСТЭК.
- Модуль документов ИБ — шаблоны политик, регламентов, инструкций; контроль версий и согласование.
- Модуль аудита ИБ — чек-листы, планирование, формирование отчётов.
- Интеграция с БДУ ФСТЭК — автоматическая загрузка угроз и уязвимостей.
- Дашборды для CISO — зрелость процессов, комплаенс-статус, открытые риски, задачи.
Типичные ошибки при обеспечении ИБ
1. Фокус на технике в ущерб организации
Организация закупает дорогостоящие средства защиты, но не разрабатывает политику, не обучает персонал, не формализует процессы. Результат: оборудование работает «из коробки», без настройки под реальные риски. При проверке регулятора нет документов, подтверждающих системный подход.
2. Разовый проект вместо процесса
ИБ выстраивают как проект: провели аудит, написали документы, внедрили средства — и «забыли». Через год документация устарела, настройки не актуальны, новые системы не защищены. СУИБ — это цикл PDCA, а не одноразовая акция.
3. Игнорирование человеческого фактора
Технические средства бессильны против фишинга, социальной инженерии, ошибок пользователей. Без программы повышения осведомлённости организация остаётся уязвимой к самому распространённому вектору атак.
4. Отсутствие метрик и отрыв от бизнеса
Если ИБ не измеряется — она не управляется. Без метрик невозможно оценить эффективность вложений и обосновать бюджет. А если подразделение ИБ работает изолированно от бизнеса, меры защиты мешают работе, сотрудники обходят ограничения, руководство воспринимает ИБ как «тормоз».
Заключение
Обеспечение информационной безопасности — это не установка антивируса и не написание политики «для галочки». Это непрерывный бизнес-процесс, охватывающий пять направлений: организационные меры, технические средства, кадровое обеспечение, управление рисками и контроль эффективности. Нормативная база в России обширна — от 152-ФЗ и Приказов ФСТЭК до ISO 27001 и NIST CSF — и требует системного подхода к соблюдению.
Построение системы ИБ с нуля занимает около 12 месяцев для средней организации, но это инвестиция, которая окупается предотвращением инцидентов, штрафов и репутационных потерь. СУИБ по ISO 27001 обеспечивает системность, а SGRC-платформа — инструмент, который делает управление ИБ масштабируемым.
КиберОснова объединяет все процессы обеспечения ИБ в единой платформе: управление рисками, соответствие требованиям, документы, аудит и задачи ИБ. Запросите демо и посмотрите, как КиберОснова обеспечивает комплексное управление информационной безопасностью в единой платформе.
