Почему это вообще обсуждается
Когда происходит утечка, кто виноват первым? Конечно, айтишники. Сервер они настраивали, доступ они выдали, антивирус не сработал — все логично.
Вот только это неправильная логика. Потому что ИТ в большинстве случаев отвечают за инфраструктуру, а информационная безопасность — совсем другая функция.
Стоит спросить себя: кто и как в вашей компании должен реагировать на инциденты? Кто по документам ответственный за защиту конфиденциальной информации? Кто и как проводит расследования, моделирует угрозы, разрабатывает политику безопасности и объясняет бизнесу, что нельзя хранить Excel с данными клиентов в открытый Google Диск?
Если на все вопросы ответ: «технический директор» или «наш админ», то это означает одно — в компании нет организованной ИБ-функции.
Что требует закон и регуляторы
Если вы обрабатываете персональные данные (то есть используете информационные системы персональных данных, такие как 1С или SAP, Active Directory, CRM, СКУД и многое другое), вы являетесь оператором персональных данных. Это значит, что по закону у вас должно быть:
назначено ответственное лицо за обеспечение безопасности ПДн;
определено, кто и как занимается защитой информации в организации;
оформлены соответствующие приказы и регламенты, а также большой список документов по ИБ;
выделено подразделение (или хотя бы функция), которое отвечает за информационную безопасность.
Это не избыточные меры. Это базовые правила и требования. Например, постановление Правительства №1272 от 15.07.2022 требует, чтобы в госструктурах, КИИ и системообразующих организациях был заместитель руководителя, отвечающий за ИБ, и четко расписаны его полномочия: от реагирования на инциденты до организации внутреннего контроля.
Для компаний, не отнесённых к критической инфраструктуре или госсектору, применяются требования закона № 152-ФЗ, ПП № 1119, а также нормативные акты ФСТЭК (например, Приказ № 21) и ФСБ — при использовании СКЗИ, и отсутствие формализованной ИБ-функции — это реальный риск как минимум штрафов, а как максимум — ответственности за нарушение правил защиты информации.
Где заканчивается зона ответственности ИТ
ИТ-отдел отвечает за поддержку инфраструктуры, настройку оборудования, работоспособность сервисов, резервное копирование, апдейты и мониторинг. Но он не может в одиночку:
определить, какие данные являются конфиденциальными;
установить правила доступа к персональным данным сотрудников или клиентов;
согласовать передачу данных третьим лицам;
разработать модель угроз;
принять решение, какие меры защиты считать достаточными.
Все эти вопросы находятся в зоне ответственности ИБ. И если этой зоны в компании не существует, технические специалисты начинают принимать решения вне своей компетенции, на свой страх и риск.
Что должна делать служба ИБ
Если говорить по сути, то служба информационной безопасности — это не группа «людей по антивирусам», а полноценная команда (или хотя бы один ответственный), которая:
выстраивает систему защиты информации на всех уровнях: организационном, техническом, правовом;
определяет политику в области безопасности и обеспечивает ее выполнение;
занимается контролем соблюдения режима конфиденциальности;
взаимодействует с подрядчиками и регулирующими органами;
проводит внутренние расследования и реагирует на инциденты;
участвует в пуске новых ИТ-продуктов и сервисов, проверяя их с точки зрения безопасности;
обучает персонал основам ИБ и отслеживает ошибки сотрудников.
По-хорошему, эта служба должна подчиняться напрямую генеральному директору или его заместителю, а не ИТ-директору. Потому что ИБ должна быть независимой: не может один человек и настраивать, и проверять то, что настроил.
Кто такой CISO и почему он нужен
Директор по информационной безопасности (Chief Information Security Officer, CISO) — стратегическая фигура, обеспечивающая устойчивость всей цифровой инфраструктуры компании. Его задачи выходят далеко за рамки локальных настроек безопасности. На практике он несет ответственность за построение комплексной системы защиты, способной справляться как с текущими угрозами, так и с регуляторными вызовами.
Формально и содержательно в обязанности CISO входят:
Разработка и реализация стратегии кибербезопасности компании с учетом ее бизнес-модели, отраслевых рисков, зрелости ИТ-инфраструктуры и требований законодательства. Это включает создание целевой модели защиты, определение ключевых направлений и KPI ИБ.
Определение стандартов, политик безопасности и процедур, направленных на защиту всех информационных ресурсов компании: от внутренних баз данных до облачных сервисов и внешних API. Документы должны быть не «бумажными», а реально применяемыми в работе.
Интеграция стратегии безопасности в общую бизнес-стратегию компании. Это означает, что CISO не работает изолированно, а участвует в ключевых управленческих решениях: от запуска новых продуктов до выхода на новые рынки.
Регулярное проведение внутренних аудитов и участие во внешних проверках, включая аудит соответствия требованиям ФСТЭК, Роскомнадзора, ФСБ, ЦБ РФ и других контролирующих органов. Задача — обеспечить доказуемое соответствие и быть готовым к проверке в любой момент.
Идентификация и оценка рисков информационной безопасности: не только выявление уязвимостей, но и их приоритизация, оценка бизнес-ущерба и выбор модели обработки (избежание, передача, снижение, принятие).
Разработка и внедрение планов реагирования на инциденты, включая назначение ответственных, описание процедур взаимодействия команд, регламентирование сроков уведомлений, работу с РКН и другими органами.
Координация действий при инцидентах, включая ИТ, юридическую службу, PR и подрядчиков. CISO становится кризисным менеджером, который управляет ситуацией не только с технической стороны, но и с позиции сохранения деловой репутации.
Участие в восстановлении работы систем и бизнес-процессов, нарушенных в результате кибер-инцидента. Это включает анализ ущерба, реконфигурацию инфраструктуры, документирование результатов и пересмотр мер защиты.
Расследование инцидентов, включая взаимодействие с правоохранительными органами, если инцидент связан с нарушением закона или повлек значительный ущерб. Важно не только устранить последствия, но и зафиксировать факты для возможной правовой защиты.
Управление безопасностью цепочек поставок: анализ контрагентов, оценка их соответствия требованиям ИБ, внедрение требований к подрядчикам, контроль за тем, чтобы риски не приходили снаружи.
Выбор, внедрение и администрирование решений в области ИБ: от межсетевых экранов и систем обнаружения вторжений до DLP, SIEM, CASB и решений по управлению доступом. Это не «техническая закупка», а выверенный процесс, увязанный с архитектурой бизнеса.
Таким образом, роль CISO — это центр тяжести всей системы управления информационной безопасностью, а также архитектор, интегратор и управляющий рисками на уровне всей компании. В условиях, когда утечки ПДн могут стоить десятков миллионов рублей штрафов и краха репутации, именно от зрелости этой роли зависит устойчивость бизнеса.
В крупных компаниях CISO включен в C‑level, работает на уровне стратегии и взаимодействует с юристами, аудиторами, DPO, поставщиками и подрядчиками.
Как ИТ и ИБ должны работать вместе
Хорошая практика — четкое разграничение ролей:
ИТ реализуют: они внедряют решения, настраивают, поддерживают.
ИБ определяет правила игры: что допустимо, кто имеет доступ, как реагировать на аномалии, какие действия недопустимы.
Если эти функции не разделены, начинаются проблемы. Потому что тогда админы вынуждены становиться «безопасниками по остаточному принципу». И это всегда либо риски, либо неработающая защита.
Кто отвечает, если что-то пошло не так
Если произошла утечка, или Роскомнадзор пришел с проверкой, или случился компьютерный инцидент, отвечает назначенное приказом должностное лицо. Если его нет, значит, будет отвечать директор или ИТ-директор, потому что больше некому.
В случае работы с персональными данными отсутствие ответственного уже считается нарушением.
И это не страшилки. Это зафиксировано в нормативных документах и подкреплено практикой надзора.
Что делать, если службы ИБ нет:
Назначить ответственное лицо приказом. Это минимум.
Определить его обязанности и полномочия. Не формально, а в рабочем документе.
Настроить взаимодействие с ИТ. Вплоть до разграничения ответственности.
Зафиксировать политику.
Провести аудит рисков, хотя бы на базовом уровне.
Постепенно выстраивать систему защиты, технически и организационно.
Финал
Если вы в ИТ и на вас повесили ответственность за «все, что связано с информационной безопасностью», то это не признание ваших заслуг, а признак управленческого перекоса. Защита информации требует модели ответственности, в которой каждый знает свою зону, полномочия и границы.
