Организационные меры защиты информации: виды, документы и примеры

Организационные меры определяют, что компания защищает, кто отвечает за защиту и по каким правилам сотрудники работают с информацией. Технические средства исполняют часть этих правил, но не заменяют роли, документы, обучение и контроль.

Чем организационные меры отличаются от технических

Организационная мера устанавливает порядок. Например, компания определяет, кто согласует доступ к клиентской базе и когда его нужно закрыть.

Техническая мера реализует правило в системе: каталог учетных записей выдает права, MFA подтверждает вход, а журнал фиксирует действия.

Если организационного порядка нет, техническая настройка быстро теряет смысл. Права остаются после смены должности, исключения никто не пересматривает, а оповещения приходят без ответственного.

Инвентаризация информации и систем

Нельзя защитить неизвестный актив. Компания составляет перечень систем, хранилищ, устройств и видов информации. Для каждого объекта указывают владельца, назначение, пользователей и критичность.

Инвентаризация включает не только серверы. В нее входят облачные сервисы, рабочие таблицы, общие папки, резервные копии, почта и обмен данными с подрядчиками.

Результат закрепляют в реестре информационных активов. Реестр нужно обновлять после запуска, в том числе портативных приложений, или использования и вывода систем, а не только перед аудитом.

Классификация данных

Компания определяет категории информации и правила работы с ними. Например:

• общедоступная;
• внутренняя;
• конфиденциальная;
• информация с отдельным правовым режимом.

Для каждой категории задают место хранения, допустимые каналы передачи, срок хранения, порядок удаления и круг пользователей.

Название категории не заменяет правовой режим. Персональные данные, коммерческая тайна и государственная тайна регулируются разными нормами.

Роли и ответственность

Владелец информации определяет, кому нужен доступ. ИТ реализует права. ИБ задает требования и контролирует риски. HR сообщает о приеме, переводе и увольнении. Юрист проверяет правовые основания и договоры.

Ответственность стоит закрепить в политике и регламентах. Формулировка «отвечает отдел ИТ» слишком широка. Для каждого действия нужен конкретный владелец и срок.

Управление доступом

Организация описывает полный жизненный цикл:

• Руководитель запрашивает доступ.
• Владелец ресурса проверяет необходимость.
• ИТ выдает минимальные права.
• Система фиксирует изменение.
• Владелец регулярно подтверждает актуальность.
• При переводе или увольнении права меняются или закрываются.

Отдельные правила нужны для привилегированных учетных записей, подрядчиков и аварийного доступа.

Работа с подрядчиками

Подрядчик способен получить доступ к данным и критичным настройкам. До начала работ нужно определить:

• конкретную задачу;
• системы и данные;
• срок доступа;
• полномочия специалиста;
• способ подключения;
• журналирование действий;
• ответственность и порядок сообщения об инциденте;
• закрытие доступа после работ.

Договорные условия не заменяют техническое ограничение прав. Если специалисту нужна одна операция, не стоит выдавать полный доступ к базе.

Обучение сотрудников

Обучение связано с реальными задачами. Сотрудник должен знать, как передавать документ, проверить письмо, сообщить об инциденте и действовать при потере устройства.

Один вводный курс не поддерживает знания годами. Программа включает обучение при приеме, короткие обновления после новых угроз и разбор ошибок. Результаты проверяют заданиями и учебными сценариями.

Управление инцидентами

Регламент определяет:

• что считать инцидентом;
• куда сообщать;
• кто принимает обращение;
• как сохранить данные для расследования;
• кто принимает решение об изоляции системы;
• кого уведомить внутри и вне организации;
• как оформить причины и меры после инцидента.

Сотрудник не должен искать нужный телефон в момент атаки. Канал сообщения должен быть известен заранее.

Какие документы нужны

Набор зависит от организации и применимых требований. Часто используют:

• политику информационной безопасности;
• положение об обработке и защите персональных данных;
• политику управления доступом;
• правила классификации информации;
• регламент управления инцидентами;
• порядок резервного копирования и восстановления;
• правила работы с подрядчиками;
• положение об использовании корпоративных устройств;
• инструкции администраторов и пользователей;
• формы заявок, согласований и актов проверки.

Закон № 152-ФЗ прямо предусматривает принятие оператором документов, которые определяют политику обработки персональных данных, и локальных актов по отдельным вопросам: статья 18.1 Федерального закона № 152-ФЗ.

Пример: доступ после увольнения

Сотрудник уволился, но его учетная запись в облачном сервисе осталась активной. Технически систему защиты не взломали. Инцидент возник из-за разрыва процесса.

Его предотвращают несколько организационных мер:

• HR передает уведомление до даты увольнения;
• владелец ресурса подтверждает список прав;
• ИТ закрывает учетные записи по чек-листу;
• ИБ проверяет выполнение;
• журналы показывают входы после даты увольнения;
• ответственный расследует отклонение.

Одна политика без исполнителей не решит задачу.

Как внедрить меры

Начните с рисков и активов. Затем назначьте владельцев, опишите процессы и только после этого выберите документы и технические средства. Для каждой меры определите подтверждение: журнал, отчет, акт проверки, протокол обучения или результат восстановления.

Регулярная проверка должна отвечать не на вопрос «документ есть?», а на вопрос «порядок работает?».

Коротко о важном

Организационные меры связывают риски, людей, процессы и технологии. Они охватывают активы, доступ, подрядчиков, обучение и инциденты. Документы фиксируют порядок, но эффективность подтверждают реальные действия и проверки.

Попробовать бесплатно

FAQ