Що включає захист інформації: напрями, рівні, відповідальні

Захист інформації являє собою систему, а не окремий захід: від наказу керівника — до правила на фаєрволі. Розбираємо складові: три напрями, чотири рівні та ролі, без яких напрями лишаються на папері. Якщо потрібні базове визначення й перелік загроз — почніть звідти.

Що входить у поняття «захист інформації»

Класичний поділ — правовий, організаційний та інженерно-технічний напрями. Кожен відповідає на власне питання:

Кожен напрям має свого природного власника: правовим опікуються юристи, організаційним — відповідальний за ІБ разом із кадрами, технічним — ІТ. Саме тому провали трапляються на стиках: кожен певен, ніби сусід усе закрив. Далі — кожен напрям окремо, разом із типовими дірами.

Правовий напрям: без нього решта не має підстав

Правовий напрям створює підставу — визначає, чиї відомості, кому дозволено їх бачити та хто відповість за порушення. Сюди належать:

• перелік відомостей з обмеженим доступом: комерційна таємниця, персональні дані клієнтів, службові матеріали;
• режим комерційної таємниці — наказ, затверджений перелік, ознайомлення персоналу під підпис, маркування документів;
• NDA з працівниками, підрядниками, кандидатами;
• застереження про конфіденційність, відповідальність і повідомлення про інциденти — обов'язково текстом договорів;
• правові підстави обробки персональних даних.

Типова діра перша. NDA підписали, а переліку конфіденційних відомостей немає. Тоді немає й предмета: працівник виніс базу — і формально нічого не порушив, бо ніде не записано, чим саме база є.

Типова діра друга. Підрядник має доступ до систем, а договір мовчить про вимоги й строк повідомлення про інцидент. Наслідки атаки через постачальника доведеться гасити самотужки.

Окрема примітка про комерційну таємницю. Напис «конфіденційно» на теці позбавлений юридичної сили. Режим виникає лише тоді, коли є наказ, затверджений перелік відомостей, ознайомлення персоналу під підпис і реальні обмеження доступу. Інакше відповідач заперечить просто: відомості лежали на спільному диску, доступному всім, отже, таємницею не були.

Персональні дані — окрема історія: тут потрібна правова підстава обробки, а не лише режим доступу. Захистити базу технічно й водночас зібрати її незаконно — цілком реальна комбінація.

Сам по собі правовий напрям безсилий проти зловмисника. Він відповідає на інше питання: чиє право порушено, хто відповідає та чим усе закінчиться.

Організаційний напрям: правила, ролі, звички

Організаційний напрям перетворює право на щоденну практику:

• політика ІБ — верхній документ, який задає сферу охоплення та принципи;
• процедури: надання й відкликання доступів, робота з носіями, керування змінами, план реагування на інциденти;
• принцип мінімально необхідних прав: доступ під роль, а не «про всяк випадок»;
• навчання персоналу з перевіркою — тренувальні розсилки покажуть, хто переходить за посиланнями (фішинг залишається головним входом);
• контроль підрядників: перелік, права, строки, аудит;
• перегляд документів після кожної помітної зміни.

Типова діра перша. Доступи видають за годину, а відкликають «колись». Звільнений менеджер місяцями бачить угоди — і жоден засіб цього не помітить, бо вхід легальний.

Типова діра друга. Процедура написана, але немає власника й слідів виконання. Просте випробування: назвіть прізвище власника, періодичність і місце, де лишається слід. Немає відповіді — немає процедури, є файл.

Інженерно-технічний напрям: чим саме перекрито канал

Технічна частина реалізує рішення двох попередніх напрямів:

• засоби захисту: антивірус, поштові фільтри, DLP, контроль пристроїв;
• шифрування дисків, каналів зв'язку та резервних копій;
• керування доступом і багатофакторна автентифікація;
• мережеві рубежі, сегментація, контроль периметра;
• журналювання подій і моніторинг;
• резервне копіювання з перевіркою відновлення;
• фізичні заходи: серверна на замку, облік ключів, знищення носіїв, відеоспостереження.

Типова діра перша. Засіб придбали, увімкнули «як є», журнали ніхто не читає. Атаку буде видно — але вже post factum, під час розслідування.

Типова діра друга. Копії робляться, проте відновлення жодного разу не перевіряли. Копія, з якої ніколи не піднімали систему, — не копія, а припущення.

Чотири рівні: від закону до налаштування

Рівні — не синоніми напрямів. Напрями показують, чим захищають; рівні — хто ухвалює рішення й наскільки воно обов'язкове:

1. Законодавчий — вимоги держави та регуляторів.
2. Адміністративний — рішення керівництва: сфера охоплення, бюджет, пріоритети.
3. Процедурний — правила поведінки персоналу: інструкції, порядок дій, навчання.
4. Програмно-технічний — конкретні засоби й налаштування.

Наскрізний приклад провалу. Закон вимагає обмежити доступ до персональних даних (рівень 1). Керівництво не виділило адміністраторові часу на перегляд прав (рівень 2). Порядок відкликання доступів ніхто не написав (рівень 3). Технічно все можливе — але облікові записи звільнених живі (рівень 4). Формально вимогу «виконано», фактично — ні. Слабкість одного рівня знецінює решту: політика без інструментів — папір, інструменти без політики — хаос.

Хто за що відповідає

Захід без прізвища не виконується. Мінімальний розподіл ролей:

• Керівник організації — власник ризику найвищого рівня: затверджує політику, виділяє ресурси, відповідає перед законом, партнерами та клієнтами.
• Керівники напрямів — власники масивів: вирішують, кому надати доступ, і письмово приймають залишковий ризик.
• Відповідальний за ІБ — організовує процес: оцінка ризиків, план заходів, контроль виконання, звітність керівництву.
• ІТ-підрозділ — впроваджує та адмініструє засоби, веде журнали.
• Кадрова служба та юристи — NDA, ознайомлення під підпис, відкликання доступів при звільненні.
• Кожен працівник — виконує правила й повідомляє про підозріле.

Найгостріші суперечки виникають на стиках ролей. Розведіть їх заздалегідь:

Правило одне: виконавець і контролер — різні люди, інакше перевірка перетворюється на самозвіт.

Три помилки, які знецінюють будь-який розподіл ролей:

• відповідального призначили, а повноважень не дали — він може лише радити, тож його поради ігнорують;
• відповідальність розмито між двома підрозділами: коли відповідають двоє, не відповідає ніхто;
• власником масиву зробили ІТ, хоча цінність угод чи рецептури визначає бізнес, а не адміністратор.

Малій компанії окрема служба зайва. Мінімум — двоє: керівник, який ухвалює рішення щодо ризиків, і призначений наказом відповідальний (часто системний адміністратор із доплатою за додаткові обов'язки). Головне — записати обов'язки наказом і виділити час: роль без виділених годин існує лише на папері.

Держоргани та об'єкти критичної інфраструктури мають окрему вимогу: Закон № 4336-IX запровадив штатні посади керівників і фахівців з кібербезпеки. Раніше кіберзахист там часто був «додатком до обов'язків» системного адміністратора — тепер це окрема роль з кваліфікаційними вимогами.

Один інцидент — три напрями

Уявімо витік: звільнений менеджер забрав базу клієнтів.

• Правовий напрям відповість, чи є взагалі порушення: без режиму комерційної таємниці та без переліку, на який посилається NDA, притягнути винного майже неможливо.
• Організаційний відповість, чи мала подія статися: був порядок відкликання доступів — чи ключі лишилися на руках.
• Інженерно-технічний відповість, чи доведете ви обсяг: журнали покажуть, які саме файли завантажено й коли. Без журналів залишиться підозра, а не доказ.

Провалився один напрям — компанія втрачає або право, або можливість запобігти, або докази. Саме тому старт із купівлі засобів марний: техніка не створює ні підстав, ні правил.

Для чого потрібен захист інформації

Причини прості й зрозумілі власникові бізнесу:

• гроші — простій сервісу, відновлення систем, штрафи, зірвані угоди;
• довіра — клієнти пробачають затримку, але рідко пробачають витік своїх даних;
• вимоги — закон, договірні зобов'язання, тендерні умови, питальники замовників перед контрактом (великі клієнти дедалі частіше надсилають анкету безпеки постачальника);
• безперервність — аби компанія працювала навіть під атакою, а не «поки не полагодимо».

Керовану систему з розрізнених заходів робить СУІБ за ISO 27001: вона зшиває напрями, рівні й ролі циклом «плануй — виконуй — перевіряй — коригуй».

Міжнародний стандарт ділить складові майже так само. Додаток A ISO 27001 групує 93 контролі за чотирма темами: організаційні, людські, фізичні та технологічні. Правовий напрям розчинений серед організаційних контролів, а «людська» тема доводить очевидне: без персоналу жодна складова не тримається.

Захист інформації, інформаційна безпека, кіберзахист: як пов'язані слова

Інформаційна безпека, захист інформації та кіберзахист — суміжні терміни, а не синоніми:

• ІБ — стан захищеності: мета;
• захист — діяльність, якою цього стану досягають: шлях;
• кіберзахист — частина такої діяльності, обмежена кіберпростором.

Різниця відчутна на прикладі: паперовий архів, телефонна розмова менеджера й роздрукований звіт кіберзахисту непідвладні, зате входять до сфери, окресленої першими двома словами.

Межі поняття: що називають захистом інформації, а що — ні

Поза межами лишаються:

• охорона будівлі як така — крім заходів навколо серверної, носіїв і робочих місць;
• перевірка контрагентів на платоспроможність;
• пожежна та промислова безпека — крім впливу на доступність систем;
• конкурентна розвідка.

Два межові випадки трапляються найчастіше. Відеоспостереження офісу належить сюди лише частково — тією частиною, яка прикриває серверну, архів і робочі місця з доступом до критичних масивів. Перевірка кандидата під час наймання теж належить: міжнародні стандарти прямо відносять її до контролів, пов'язаних із персоналом, — але тільки тоді, коли людина отримає доступ до чутливих відомостей.

Межа проста: якщо захід не змінює ризику конфіденційності, цілісності чи доступності відомостей — він належить до іншої сфери. Режими, рівні доступу й повний перелік документів розібрано у статті Захист даних.