Дата актуализации:

Политика в области управления безопасностью (Политика ИБ / Security Policy) — это документ верхнего уровня, утверждаемый руководителем организации, который определяет цели, принципы, направления и правила обеспечения безопасности (информационной, физической, производственной и др.). Она является фундаментом для построения системы управления безопасностью (СУБ / ISMS) и связывает стратегические цели бизнеса с операционными процессами защиты активов.

Ключевые определения и роль политики

Согласно международным стандартам (линейка ISO/IEC 27000, в частности ISO/IEC 27001) и национальным практикам, Политика безопасности:

• Формулирует цели организации в области безопасности, вытекающие из бизнес-стратегии и требований заинтересованных сторон.
• Определяет принципы и подходы к управлению рисками (идентификация, оценка, обработка рисков).
• Устанавливает роли, ответственность и полномочия по обеспечению безопасности (включая назначение ответственного за ИБ / CISO).
• Является базой для разработки подчиненных документов: стандартов, процедур, инструкций, регламентов (документы 2-го и 3-го уровней).
• Обязательно подлежит коммуникации внутри организации и, при необходимости, предоставлению заинтересованным сторонам.

Иерархия документации (по ISO/IEC 27001 и практике ИнфоТеКС / InfoTeCS)

1. Уровень 1 (Стратегический): Политика безопасности. Высокоуровневые правила, требования руководства, область применения СУБ. Разрабатывается и утверждается топ-менеджментом.
2. Уровень 2 (Тактический): Стандарты и методики. Конкретные обязательные требования (например: «Шифрование БД — AES-256», «VPN — только IPSec», требования к паролям, классификация данных).
3. Уровень 3 (Операционный): Процедуры и инструкции. Пошаговые алгоритмы действий для сотрудников и администраторов (бэкап, инцидент-менеджмент, выдача доступов).
4. Уровень 4 (Доказательства): Записи и логи. Документы, подтверждающие выполнение процедур (журналы, отчеты сканеров, протоколы обучения).

Нормативная правовая база (Российская Федерация)

Разработка политики в РФ осуществляется с учетом:

• ФЗ-152 «О персональных данных», минимальные требования к защите ПДн (Приказ ФСТЭК № 21, Приказ ФСБ № 382).
• ФЗ-187 «О безопасности критической информационной инфраструктуры (КИИ)», требования к категориям значимости, системам обнаружения атак (ГосСОПКА).
• Постановление Правительства РФ № 1119 — требования к защите гостайны (для госорганов).
• Приказы ФСТЭК России (№ 17, № 239 и др.) — требования к СЗИ, модели угроз, профилям защищенности.
• ГОСТ Р ИСО/МЭК 27001-2021 (ISO/IEC 27001:2013) — национальный стандарт системы управления ИБ.

Этапы разработки и внедрения политики

Типичные ошибки (по материалам корпоративных блогов InfraTech, InfoTeCS)

• «Политика под стандарт»: Копирование шаблона ISO 27001 без адаптации под реальные бизнес-процессы и риски организации.
• Игнорирование регуляторики: Отсутствие ссылок на 152-ФЗ, 187-ФЗ, акты ФСТЭК/ФСБ для критических объектов.
• Отсутствие механизмов исполнения: Политика декларирует цели, но не определяет KPI, ответственных и ресурсы.
• Формализм обучения: Сотрудники не знают суть политики, подписывают роутинги формально.
• Замороженность: Документ не пересматривался годами при смене инфраструктуры или законодательства.

Контакты для обращений (Ключевые регуляторы и экспертные органы РФ)

По вопросам разработки, аудита, соответствия политики требованиям законодательства и стандартов рекомендуется обращаться к профильным государственным органам и аккредитованным организациям.

Федеральная служба по техническому и экспортному контролю (ФСТЭК России)

Профиль: Главный регулятор в сфере защиты гостайны, защиты КИИ, лицензирования СЗИ, аккредитации лабораторий и центров реагирования.

• Официальный сайт: fstec.gov;ru
• Горячая линия (прием граждан): +7 (495) -87-38-00
• Электронный адрес (центральный аппарат): info@fstec.gov.ru
• Личный кабинет (ЕРАИ / Лицензирование): era.fstec.gov.ru (для лицензиатов и заявителей СЗИ)
• ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак): gosсopka.ru (для субъектов КИИ)

Федеральная служба безопасности (ФСБ России) — Центр лицензирования, сертификации и защиты гостайны

Профиль: Лицензирование деятельности по защите гостайны, сертификация СЗИ (криптографических средств), аккредитация лабораторий.

• Официальный сайт: fsb.ru (раздел «Деятельность» -> «Лицензирование и сертификация»)
• Телефон справки: +7 (495) -24-19-19
• Электронная почта (Центр лицензирования): clsz@fsb.ru
• Личный кабинет заявителя (ЕПГУ / Госуслуги): Через раздел «Лицензирование деятельности по защите гостайны» на gosuslugi.ru

Роскомнадзор (Федеральная служба по надзору в сфере связи, ИТ и массовых коммуникаций)

Профиль: Контроль за соблюдением 152-ФЗ (персональные данные), реестр операторов ПДн, требования к локализации БД.

• Официальный сайт: rkn.gov.ru
• Горячая линия по защите прав субъектов ПДн: ###-###-####
• Электронный адрес: rkn@rkn.gov.ru
• Личный кабинет оператора ПДн (Реестр ОПД): pd.rkn.gov.ru

ФСТЭК / ФСБ — Аккредитованные центры сертификации и лаборатории

Для проведения работ по оценке соответствия СЗИ, аудиту СУБ, разработке моделей угроз.

• Реестр аккредитованных лиц (ФСТЭК): reestr.fstec.gov.ru
• Реестр аккредитованных лиц (ФСБ): На сайте fsb;ru в разделе сертификации.

Личный прием граждан и представителей организаций

Внимание: Личный прием в центральных аппаратах регуляторов (ФСТЭК, ФСБ, Роскомнадзор) осуществляеться строго по предварительной записи через официальные порталы (Госуслуги, сайты ведомств) или по телефонам горячих линий; Без записи вход в административные здания ведомств безопасности, как правило, невозможен.

График приема (Типовый для центральных аппаратов Москвы)

* График может меняться. Обязательно уточняйте актуальную информацию на официальных сайтах за 1-2 дня до визита.

Структура ведомств: Ключевые отделы и департаменты по политике безопасности

Понимание структуры помогает адресовать обращения (запросы на разъяснения, уведомления об инцидентах, пакеты документов на лицензирование/аттестацию) именно в нужный подразделение.

ФСТЭК России

• Департамент государственной политики и нормативной деятельности, разработка нормативных актов, стандартов, методик (в т.ч. по политике ИБ, модели угроз, профилям защищенности).
• Департамент лицензирования и контроля, выдача лицензий на деятельность по защите гостайны, КИИ, СЗИ; контроль за лицензиатами.
• Департамент сертификации и аккредитации — сертификация СЗИ, аккредитация лабораторий, центров реагирования.
• Управление ГосСОПКА — взаимодействие с субъектами КИИ, прием уведомлений об инцидентах, координация реагирования.
• Территориальные органы (УФСТЭК по ФО) — контроль за исполнением требований в регионах, прием обращений на местах.

ФСБ России (Центр лицензирования, сертификации и защиты гостайны)

• Управление лицензирования деятельности по защите гостайны — рассмотрение заявок на лицензии (разработка, производство, монтаж, сервис СЗИ гостайны).
• Управление сертификации средств защиты информации — сертификация криптографических и технических СЗИ.
• Научно-технический центр — методическая поддержка, разработка профилей защиты, проведение испытаний.

Роскомнадзор

• Департамент по защите прав субъектов персональных данных — надзор за 152-ФЗ, ведение реестра ОПД, рассмотрение жалоб.
• Департамент по лицензированию и контролю в сфере связи, лицензирование телематики, шифрования (взаимодействие с ФСБ/ФСТЭК).
• Территориальные управления (Управления по ЦФО, СЗФО и др.) — выездные проверки, прием обращений в регионах.

Руководство ключевых регуляторов (на )

Знание структуры руководства необходимо для адресации официальных писем, запросов на разъяснение норм права или эскалации сложных вопросов.

Важно: Персональный состав заместителей и начальников управлений может меняться. Для официальной корреспонденции всегда проверяйте актуальных руководителей на разделах «Руководство» официальных сайтов (fstec.gov.ru/structure, rkn.gov.ru/structure).

Отзывы и практика применения (Анализ рынка и экспертное мнение)

В данном разделе обобщена практика организаций, прошедших путь от разработки политики до сертификации ISO 27001 / аттестации по требованиям ФСТЭК/ФСБ.

Позитивный опыт (Best Practices)

• Интеграция в бизнес-процессы: «Политика перестала быть «бумажкой» когда мы привязали KPI владельцев активов к выполнению пунктов политики (например, своевременное закрытие уязвимостей, прохождение обучения)». — CISO крупного банка (Топ-10).
• Модульная структура: «Разбили монолитную политику на модули: Политика доступа, Политика шифрования, Политика инцидент-менеджмента. Утверждаются отдельно, обновляются гибче, аудиторам удобнее проверять». — Руководитель отдела ИБ ритейлера.
• Автоматизация контроля: «Внедрили GRC-систему (Governance, Risk, Compliance). Политика загружена как набор требований, контроль соблюдения (пароли, шифрование, бэкапы) идет автоматически, отчеты формируются для обзора руководством в один клик»., Эксперт по ГРС.

Типичные проблемы и жалобы (Pain Points)

• Конфликт «Безопасность vs Бизнес»: «Политика написана ИБ-шниками для ИБ-шников. Бизнес не понимает, зачем нужен МФА для внутренней вики, игнорирует правила, топ-менеджмент не наказывает».
• Избыточная детализация в Политике (Уровень 1): «Засунули в Политику настройки фаерволов и версии TLS. При смене вендора приходим переутверждать Политику у Гендиректора. Правильно: в Политике — «шифрование обязательно», в Стандарте — «TLS 1.2+»».
• Сложность соответствия 152-ФЗ + 187-ФЗ + ISO: «Три разных регламента, три набора терминов. Приходится вести три реестра активов/рисков. Не хватает единого методологического центра у регулятора».
• Долгие сроки согласования: «Проект политики ходит по юристам, профкому, IT, HR 3-6 месяцев. К моменту утверждения актуальность теряется».

Рекомендации экспертов (InfoTeCS, InfraTech, Solar appScreener и др.)

1. Начинайте с контекста и рисков. Политика без Приложения «Оценка рисков» и «Заявления применимости» (SoA) для ISO 27001 не имеет ценности.
2. Используйте язык бизнеса. Не «защита ЦОД», а «бесперебойность работы платежного шлюза (RTO < 15 мин)».
3. Определите владельцев процессов. За каждый пункт политики должен отвечать конкретный сотрудник (не «отдел ИБ», а «Иванов И.И., начальник отдела администрирования»).
4. Планируйте жизненный цикл. Заведите календарь: ежеквартальный мониторинг метрик, полугодовой внутренний аудит, ежегодный обзор руководством.
5. Обучайте на сценариях. Не «прочитайте политику», а «что делаете, если получили фишинг-письмо / потеряли флешку / увидели чужой доступ».

---

Краткая шпаргалка: Чек-лист готовности Политики ИБ

• [ ] Утверждена Генеральным директором (подпись, печать, дата).
• [ ] Определена область применения (Scope) — какие активы, процессы, подразделения охвачены.
• [ ] Ссылки на применимое законодательство (152-ФЗ, 187-ФЗ, ГОСТ Р ИСО/МЭК 27001, отраслевые стандарты).
• [ ] Сформулированы цели ИБ (измеримые, достижимые, релевантные, ограниченные во времени).
• [ ] Назначены роли: Ответственный за ИБ (CISO), Владельцы активов, Владельцы процессов.
• [ ] Определен процесс управления рисками (методология, периодичность, критерии приемлемости).
• [ ] Есть ссылка на иерархию подчиненных документов (Стандарты, Процедуры, Инструкции).
• [ ] Задекларировано обязательство по непрерывному улучшению и соблюдению требований.
• [ ] Обеспечена доступность для ознакомления всех заинтересованных сторон (Интранет, стенды, ЛК).
• [ ] Проведено ознакомление с роутингом/подписью всех сотрудников (в т.ч. удаленников).
• [ ] Установлена периодичность пересмотра (не реже 1 раза в год или при существенных изменениях).

---

Данная статья носит справочно-информационный характер.
Для получения юридически значимой информации, актуальных реквизитов, графиков приема и нормативных актов
обращайтесь к официальным источникам (сайты ФСТЭК, ФСБ, Роскомнадзора, КонсультантПлюс/Гарант).