Политика кибербезопасности: из чего состоит и как утвердить
Политика кибербезопасности отвечает, каких правил компания придерживается всегда: кто за что отвечает, какие принципы не обсуждают в чате, на какие процедуры ссылаемся. Это не план «что купим в этом году» — план живёт отдельно: стратегия на год и бюджет. И не положение о функции ИБ: там полномочия подразделения, здесь — правила для всех. Утвердите два-три листа за подписью руководителя и раз в год пересматривайте.
Статья опирается на логику направления «Стратегия кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. В NIST CSF 2.0 политика — часть функции Govern, не замена российского закона: nist.gov/cyberframework. Политика обработки персональных данных по 152-ФЗ — другой документ: не копируйте её сюда и не заменяйте ею кибербезопасность.
Что входит, чего не входит
| Раздел политики | На двух страницах | Куда вынести |
|---|---|---|
| Область | На кого распространяется: сотрудники, подрядчики, какие системы | — |
| Принципы | Минимум прав, личные учётки, изменения записываем, секреты не в git, инцидент сообщаем | Детали — в процедуры |
| Роли | Руководитель утверждает и принимает риск; ИБ задаёт правила; ИТ исполняет; владелец системы отвечает за свою | положение о функции, матрица |
| Процедуры | Список со ссылками: доступ, изменения, инциденты, резерв, ПДн | Сами тексты процедур |
| Исключения | Кто разрешает, что письменно, что со сроком | Журнал исключений ИБ |
| Пересмотр | Раз в год или после серьёзного инцидента | План на год не заменяет пересмотр политики |
Не пишите в политику длину пароля, порог SAST и номер порта: это устареет раньше подписи. Пароли — в парольной политике. Изменения — в порядке и перечне для ИБ. Сотруднику на входе достаточно памятки, не тридцати страниц: памятка.
Как утвердить
- Черновик пишет ответственный за ИБ, согласование — ИТ и юрист (хотя бы на область и ПДн-границу).
- Утверждает руководитель компании приказом или грифом на первой странице: номер, дата, версия.
- Старую версию не выкидывайте: храните с датой, чтобы понять, какими правилами жили в момент инцидента.
- Ознакомление: подпись или ЭДО на памятку плюс ссылка на политику. Не заставляйте всех читать приложения про firewall.
- Следующая дата пересмотра стоит в самом документе. Если за год политика не менялась ни строчки — это тоже факт пересмотра, с протоколом «оставили как есть».
Риск: подписать «как у банка на 40 листах» и никогда не открывать. Тогда при споре с разработкой выигрывает тот, у кого громче голос. Лучше короткий текст, который можно показать на совещании.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Политика = политика ПДн с сайта | Закрыли 152-ФЗ, не закрыли доступ и изменения. Заведите отдельный документ кибербезопасности |
| Политика = положение об ИБ | Смешали правила компании и устройство функции. Разведите |
| Политика = годовой план закупок | План меняется каждый квартал, политику из-за этого не переписывают. Верните цели в стратегию |
| Утвердили и положили в шару без ознакомления | Для взыскания и онбординга нужна фиксация. Памятка с отметкой кадрам |
Где это в модели зрелости
Материал относится к направлению «Стратегия кибербезопасности» (хаб: стратегия, карта: карта зрелости). План на год говорит, куда идём. Политика говорит, как живём, пока идём. Бюджет без политики легко «съесть» соседней статьёй ИТ: отдельная статья бюджета. Пороги роста, когда политику всё же придётся менять: стратегия при росте.
Как проверить
- Есть утверждённый текст на 2–3 страницы с версией и датой пересмотра.
- Он не совпадает ни с политикой ПДн, ни с положением о функции, ни с планом на год.
- В тексте есть список действующих процедур со ссылками, а не копии этих процедур.
- Руководитель компании, а не только ИБ, стоит в грифе утверждения.
- Новые сотрудники знакомятся с памяткой, в которой есть ссылка на политику.
Источники
- NIST Cybersecurity Framework 2.0, функция Govern: nist.gov/cyberframework.
