Ошибки, которых стоит избегать при внедрении политики ИБ
Разработка и внедрение политики информационной безопасности — обязательный шаг для любой современной компании, работающей с данными сотрудников, клиентов или партнёров. От качества этого документа зависит не только уровень защищенности бизнеса, но и соответствие требованиям законодательства Российской Федерации — от 152-ФЗ «О персональных данных» до 187-ФЗ «О безопасности критической информационной инфраструктуры», а также отраслевых стандартов вроде ГОСТ Р 57580.1-2017 или СТО БР ИББС-1.4-2018.
Однако на практике многие организации допускают типичные ошибки, из-за которых даже дорогостоящие сервисы и средства защиты информации не приносят ожидаемого эффекта. Одни компании ограничиваются формальными документами «для проверок», другие не учитывают специфику собственных бизнес-процессов или игнорируют человеческий фактор. В результате политика ИБ существует на бумаге, но не работает в реальной жизни.
В этой статье мы разберём основные ошибки, которых стоит избегать при внедрении политики информационной безопасности, и покажем, как правильно выстроить систему защиты с учётом российских нормативов и лучших практик.
Содержание:
Однако на практике многие организации допускают типичные ошибки, из-за которых даже дорогостоящие сервисы и средства защиты информации не приносят ожидаемого эффекта. Одни компании ограничиваются формальными документами «для проверок», другие не учитывают специфику собственных бизнес-процессов или игнорируют человеческий фактор. В результате политика ИБ существует на бумаге, но не работает в реальной жизни.
В этой статье мы разберём основные ошибки, которых стоит избегать при внедрении политики информационной безопасности, и покажем, как правильно выстроить систему защиты с учётом российских нормативов и лучших практик.
Содержание:
- ТОП ошибок, из-за которых сервисы кибербезопасности не дадут результата
- 1. Отсутствие связи с требованиями законодательства и стандартов
- 2. Игнорирование человеческого фактора
- 3. Формальный подход к рискам и угрозам
- 4. Несогласованность политики ИБ с бизнес-процессами
- 5. Отсутствие системы контроля и актуализации
- 6. Неправильный выбор средств защиты
- 7. Отсутствие поддержки руководства
- 8. Погоня за модными решениями и игнорирование простых и эффективных мер
- Заключение
Команда редакторов "Гладиаторы ИБ"
Дата публикации: 20.09.2025
Время прочтения 7 минут
Время прочтения 7 минут
ТОП ошибок, из-за которых сервисы кибербезопасности не дадут результата
1. Отсутствие связи с требованиями законодательства и стандартов
Многие компании внедряют политику ИБ формально, без учета действующих российских нормативных актов. Это приводит к тому, что документы не соответствуют обязательным требованиям:
Если политика ИБ не отражает эти нормы, компания рискует получить штрафы от Роскомнадзора, ФСТЭК или Банка России, а также остаться без должного уровня защиты.
- 152-ФЗ «О персональных данных» — для всех организаций, работающих с ПДн и конкретные требования в приказах ФСТЭК №17 и №21 — соответственно для организаций государственного и коммерческого сектора,
- 187-ФЗ «О безопасности КИИ» — для субъектов критической информационной инфраструктуры и конкретные требования из приказов 235 и 239, 250-го указа, взаимодействие с центрами ГосСОПКА.
- ГОСТ Р 57580.х-2017 и СТО БР БФБО-1.5-2023 — для финансовых организаций.
Если политика ИБ не отражает эти нормы, компания рискует получить штрафы от Роскомнадзора, ФСТЭК или Банка России, а также остаться без должного уровня защиты.
2. Игнорирование человеческого фактора
Часто компании ограничиваются техническими средствами защиты, забывая о том, что сотрудник остается самым уязвимым звеном. Без регулярного обучения персонала даже самые дорогие системы не обеспечат безопасности.
Пример: в одной из энергетических компаний (субъект КИИ) фишинговая рассылка привела к заражению рабочих станций. Внедрение программы обучения на базе решений Security Awareness, разработка и внедрение регламентов информирования служб ИБ компании о подозрительных инцидентах позволяет значитель снизить вероятность успешной компрометаций, а также сократить время реагирования на нее.
Пример: в одной из энергетических компаний (субъект КИИ) фишинговая рассылка привела к заражению рабочих станций. Внедрение программы обучения на базе решений Security Awareness, разработка и внедрение регламентов информирования служб ИБ компании о подозрительных инцидентах позволяет значитель снизить вероятность успешной компрометаций, а также сократить время реагирования на нее.
3. Формальный подход к рискам и угрозам
Некоторые организации копируют готовые политики ИБ из интернета или используют шаблоны, не проводя оценку собственных рисков. В итоге меры защиты оказываются неадекватными реальной модели угроз. Нужно опираться на бизнес процессы и критичные сервисы организации, которые именно для нее будет необходимо защищать как с помощью технических, так и организационных, а также социотехнических мер.
Решение: как один из нишевых узкоспециализированных примеров - проведение категорирования объектов КИИ в соответствии с требованиями ФЗ-187 и разработка модели угроз с учетом методик ФСТЭК РФ. Коммерческий организации могут применять методические рекомендации ФСТЭК (например, в части формирования модели угроз), но адаптировать их к особенностям своей архитектуры, делая акцент на устойчивости бизнес процессов с учётом требований регуляторов.
Решение: как один из нишевых узкоспециализированных примеров - проведение категорирования объектов КИИ в соответствии с требованиями ФЗ-187 и разработка модели угроз с учетом методик ФСТЭК РФ. Коммерческий организации могут применять методические рекомендации ФСТЭК (например, в части формирования модели угроз), но адаптировать их к особенностям своей архитектуры, делая акцент на устойчивости бизнес процессов с учётом требований регуляторов.
4. Несогласованность политики ИБ с бизнес-процессами
Часто регламенты ИБ пишутся «в отрыве» от реальной работы подразделений. В результате:
- сотрудники игнорируют требования, считая их излишними;
- бизнес-процессы тормозятся, что вызывает сопротивление.
5. Отсутствие системы контроля и актуализации
Политика ИБ должна быть «живым» документом. Если она не обновляется, то быстро устаревает:
Необходимо внедрить процессы управления информационной безопасностью: выявление и контроль изменений, управление уязвимостями, выявление и реагирование на инциденты. Важно, чтобы среди команды безопасников были представители от бизнеса: либо сам CISO представлял интересы подразделения ИБ перед бизнесом, либо кто-то от ИБ входил в рабочую группу по реагированию и развитию стратегии ИБ с правом голоса.
- появляются новые угрозы (социальная инженерия, инсайдерские атаки, АРТ группировки);
- меняются нормативные требования (например, новые разъяснения Роскомнадзора по ФЗ-152, эволюция законодательства в области КИИ);
- сама инфраструктура компаний постоянно изменяется.
Необходимо внедрить процессы управления информационной безопасностью: выявление и контроль изменений, управление уязвимостями, выявление и реагирование на инциденты. Важно, чтобы среди команды безопасников были представители от бизнеса: либо сам CISO представлял интересы подразделения ИБ перед бизнесом, либо кто-то от ИБ входил в рабочую группу по реагированию и развитию стратегии ИБ с правом голоса.
6. Неправильный выбор средств защиты
Одна из распространенных ошибок — использование решений, не сертифицированных ФСТЭК и/или ФСБ. Это автоматически означает несоответствие требованиям регуляторов и создает риски при проверках.
Но ещё более опасная ошибка - несистемный и необоснованный выбор решений просто потому, что они “модные” или “все их используют”, без учета требований модели угроз компании.
Решение: В первую очередь подходить к формированию системы защиты, исходя из модели угроз, которая опирается на последние рекомендации ФСТЭК и оперирует понятием последствий при реализации угрозы, возможными векторами (сценариями) атак, а уже потом, исходя из наиболее приоритетных (обоснованных) направлений защиты выбирать технические меры, среди которых отдавать приоритет отечественным продуктам, входящим в реестр Минцифры РФ. Например:
Но ещё более опасная ошибка - несистемный и необоснованный выбор решений просто потому, что они “модные” или “все их используют”, без учета требований модели угроз компании.
Решение: В первую очередь подходить к формированию системы защиты, исходя из модели угроз, которая опирается на последние рекомендации ФСТЭК и оперирует понятием последствий при реализации угрозы, возможными векторами (сценариями) атак, а уже потом, исходя из наиболее приоритетных (обоснованных) направлений защиты выбирать технические меры, среди которых отдавать приоритет отечественным продуктам, входящим в реестр Минцифры РФ. Например:
- для шифрования данных — «КриптоПро CSP»;
- для защиты каналов связи — ViPNet (ИнфоТеКС);
- для защиты конечных точек — решения Лаборатории Касперского.
7. Отсутствие поддержки руководства
Если руководство компании не вовлечено в процесс, политика ИБ остается «бумажным документом». Без выделения бюджета и ресурсов внедрить эффективную систему невозможно.
Решение: формирование комитета по информационной безопасности, назначение ответственных лиц, проведение регулярных отчетов перед топ-менеджментом. Такой подход соответствует современной практике.
Решение: формирование комитета по информационной безопасности, назначение ответственных лиц, проведение регулярных отчетов перед топ-менеджментом. Такой подход соответствует современной практике.
8. Погоня за модными решениями и игнорирование простых и эффективных мер
Зачастую руководители по информационной безопасности пытаются найти “серебряную пулю” – какое-то сложное современное решение, которая избавит их от всех бед. Но это заблуждение: как мы уже писали выше, невозможно просто взять и внедрить какое-то решение и надеяться, что оно будет эффективно работать. При этом есть готовый чек листы и рекомендации (в том числе у нас), которые позволяют простыми, недорогими, но очень эффективными решениями обеспечить защиту от 80 – 90% атак.
Решение: Не пытайтесь найти универсальное решение: заблуждение считать, что если система современная – то она самая лучшая и будет работать автоматически. Начните с простых шагов: разработайте модель угроз, проведите оценку текущего уровня защищенности, адаптируйте типовые рекомендации и точечно внедрите системы защиты в действующий контур, разработайте стратегию развития безопасности на ближайшие 2-3 года.
Решение: Не пытайтесь найти универсальное решение: заблуждение считать, что если система современная – то она самая лучшая и будет работать автоматически. Начните с простых шагов: разработайте модель угроз, проведите оценку текущего уровня защищенности, адаптируйте типовые рекомендации и точечно внедрите системы защиты в действующий контур, разработайте стратегию развития безопасности на ближайшие 2-3 года.
Заключение
Ошибки при внедрении политики ИБ могут свести на нет все усилия компании по защите информации. Формальный подход, игнорирование нормативных требований и человеческого фактора приводят к тому, что даже внедренные решения по кибербезопасности не дадут ожидаемого результата.
ООО «Гладиаторы ИБ» помогает компаниям выстраивать политику информационной безопасности без ошибок — с учетом российских законов, нормативов и практики. Мы поможем начать с простых и эффективных шагов, разработаем нормативную базу, внедрим отечественные решения и обучим персонал так, чтобы защита работала на практике, а не только «на бумаге».
Свяжитесь с нами прямо сейчас и получите консультацию по построению эффективной политики ИБ в вашей организации.
ООО «Гладиаторы ИБ» помогает компаниям выстраивать политику информационной безопасности без ошибок — с учетом российских законов, нормативов и практики. Мы поможем начать с простых и эффективных шагов, разработаем нормативную базу, внедрим отечественные решения и обучим персонал так, чтобы защита работала на практике, а не только «на бумаге».
Свяжитесь с нами прямо сейчас и получите консультацию по построению эффективной политики ИБ в вашей организации.
Есть вопросы или запрос на проект по безопасности?
Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь c политикой конфиденциальности