В первой части нашего гида мы разобрали пошаговую дорожную карту аттестации СЗИ. Теперь мы погружаемся в ее сердце — документацию. Для многих этот этап ассоциируется с пыльными папками, бюрократией и созданием бумаг «для галочки», которые никто никогда не будет читать. Это не просто заблуждение, это стратегическая ошибка, которая может стоить компании не только аттестата, но и реальных денег в случае киберинцидента.
Правильная документация системы защиты информации (СЗИ) — это не формальность для регулятора. Это архитектурный план и инструкция по эксплуатации вашей кибербезопасности. Это тот фундамент, на котором держатся все дорогостоящие технические средства. Когда происходит атака, именно четко прописанный регламент, а не самый мощный межсетевой экран, определяет, насколько быстро и эффективно вы сможете минимизировать ущерб.
Проблема большинства организаций в слепом копировании шаблонов из интернета. В результате рождаются документы, полные «воды» — общих фраз вроде «обеспечить безопасность», которые не несут практической ценности. В этой статье мы проведем детальный разбор: какие документы действительно требует ОАЦ, какой реальный смысл скрывается за каждым из них, и как превратить формальные требования в живые, работающие инструменты, способные защитить ваш бизнес.
Иерархия документов для аттестации ОАЦ
Весь пакет документации, требуемый приказом ОАЦ №66, можно представить в виде трехуровневой пирамиды, где каждый последующий уровень детализирует предыдущий.
Верхний уровень (Стратегия): Определяет «что» и «зачем» мы защищаем.
1. Политика информационной безопасности
2. Акт классификации обрабатываемой информации
3. Акт отнесения ИС к классу типовых информационных систем
- Средний уровень (Проектирование): Описывает «как» мы будем это защищать.
4. Техническое задание на создание СЗИ
5. Общая схема системы защиты информации - Нижний уровень (Операции): Регламентирует «кто» и «когда» выполняет конкретные действия.
6. Организационно-распорядительные документы (приказы, инструкции, регламенты)
7. Эксплуатационная документация
Теперь разберем каждый ключевой документ под микроскопом, чтобы понять его практическую суть и научиться создавать его правильно.
1. Политика информационной безопасности
Зачем она нужна на самом деле?
Политика ИБ — это «Конституция» вашей системы безопасности. Это документ верхнего уровня, который фиксирует официальную позицию и обязательства руководства компании по защите информации. Без нее любые попытки выстроить безопасность обречены на провал, так как не будут иметь поддержки сверху и превратятся в личную инициативу IT-отдела.
Реальный смысл документа:
- Демонстрирует волю руководства и делает ИБ обязательной для всех.
- Определяет ключевые цели и приоритеты (что мы защищаем в первую очередь: данные клиентов, финансовую отчетность, интеллектуальную собственность).
- Распределяет зоны ответственности на уровне подразделений.
- Служит юридической и методологической основой для всех остальных документов по ИБ.
Обязательное содержание (требования ОАЦ):
- Цели и принципы защиты информации.
- Перечень информационных систем, подлежащих защите, с указанием их классов.
- Сведения о лице или подразделении, ответственном за ИБ.
- Ключевые обязанности пользователей.
- Порядок взаимодействия с другими информационными системами.
Как не превратить в «воду»?
❌ Плохой пример (бесполезная формулировка):
«Целью политики является обеспечение конфиденциальности, целостности и доступности информации в соответствии с законодательством Республики Беларусь».
Почему это плохо: Это абстрактные слова, которые ничего не говорят о вашей организации. Такую фразу можно вставить в документ любой компании мира.
✅ Хороший пример (конкретная формулировка):
«Главным приоритетом информационной безопасности нашей компании является защита коммерческой тайны, а именно клиентской базы в CRM-системе и финансовых прогнозов в ERP-системе. Любой несанкционированный доступ к этим данным классифицируется как инцидент критического уровня, требующий немедленной реакции и эскалации до уровня генерального директора».
Почему это хорошо: Четко названы защищаемые активы, установлен приоритет, определен порог реагирования. Документ сразу становится инструментом управления рисками.
2. Приказы о назначении ответственных
Зачем они нужны на самом деле?
Это самый недооцененный, но критически важный для аттестации блок документов. Отсутствие официального приказа о назначении ответственного за ИБ — это гарантированный отказ в аттестации. Но его смысл глубже. Приказ юридически закрепляет персональную ответственность. В случае инцидента не будет ситуации «моя хата с краю», а будет конкретный человек, наделенный полномочиями и обязанный принимать решения.
Обязательные приказы:
- Приказ о назначении ответственного за информационную безопасность: Назначает главного координатора, ответственного за всю систему ИБ.
- Приказ о назначении администратора безопасности ИС: Назначает технического специалиста, который непосредственно настраивает и эксплуатирует СЗИ.
- Приказ о распределении зон ответственности: Если специалистов несколько, четко разграничивает, кто отвечает за серверы, кто за сеть, а кто за антивирусную защиту.
Структура и образец приказа о назначении ответственного за ИБ:
Вот как должен выглядеть реальный, работающий приказ, а не просто формальная отписка.
ПРИКАЗ №_____
от «___» _________ 20__ г.
О назначении ответственного за информационную безопасность
В целях обеспечения защиты информации, обрабатываемой в информационных системах
[Название организации], и исполнения требований Указа Президента РБ №196
от 16.04.2013 г. и приказа ОАЦ при Президенте РБ №66 от 20.02.2020 г.
ПРИКАЗЫВАЮ:
1. Назначить ответственным за организацию и обеспечение информационной
безопасности в [Название организации] начальника IT-отдела
Иванова Ивана Ивановича.
2. Возложить на ответственного за информационную безопасность следующие
обязанности:
2.1. Организация разработки, внедрения и актуализации политик, регламентов
и инструкций по информационной безопасности не реже одного раза в год.
2.2. Координация работ по внедрению, настройке и обслуживанию средств
защиты информации.
2.3. Проведение первичных и периодических (не реже 1 раза в год)
инструктажей сотрудников по вопросам информационной безопасности.
2.4. Организация и непосредственное участие в расследовании инцидентов
информационной безопасности.
2.5. Осуществление контроля за соблюдением сотрудниками требований
политик и регламентов по ИБ.
2.6. Взаимодействие с ОАЦ и иными контролирующими органами по вопросам,
связанным с защитой информации.
3. Ответственный за информационную безопасность в своей деятельности
руководствуется:
- Политикой информационной безопасности [Название организации].
- Требованиями действующего законодательства Республики Беларусь.
- Настоящим приказом.
4. Контроль за исполнением настоящего приказа оставляю за собой.
Руководитель_________ / ФИО /
М.П.
Ключевой момент: Обязанности в приказе должны быть конкретными и измеримыми. Не «улучшать безопасность», а «проводить инструктажи не реже 1 раза в год».
3. План (регламент) реагирования на инциденты ИБ
Зачем он нужен на самом деле?
Инциденты неизбежны. Вопрос не в том, произойдут ли они, а в том, когда и насколько вы будете к ним готовы. План реагирования — это пошаговая инструкция для всей компании на случай «пожара». Он устраняет панику, сокращает время простоя и минимизирует финансовый и репутационный ущерб.
Обязательное содержание:
- Определение и классификация инцидентов: Четко пропишите, что вы считаете инцидентом (например, срабатывание антивируса на ПК — инцидент низкого уровня, а шифрование файлового сервера — критического). Установите уровни критичности и нормативное время реакции для каждого.
- Этапы реагирования:
- Обнаружение и фиксация: Куда должен звонить/писать сотрудник, обнаруживший проблему.
- Оценка и классификация: Ответственный оценивает серьезность и присваивает уровень.
- Сдерживание: Первые шаги по локализации угрозы (например, отключение зараженного ПК от сети).
- Расследование и ликвидация: Поиск источника и причины, устранение уязвимости.
- Восстановление: Возврат систем в штатный режим, восстановление данных из бэкапов.
- Анализ и выводы («Lessons Learned»): Что мы сделали не так и как нам обновить свои же политики, чтобы это не повторилось.
- Контактная информация: Список группы реагирования (ответственный за ИБ, администраторы, руководство) с актуальными телефонами.
Как не превратить в «воду»?
❌ Плохой пример:
«При инциденте ответственный принимает все необходимые меры для его устранения».
Почему это плохо: Это пустые слова, не дающие никаких инструкций.
✅ Хороший пример (фрагмент для инцидента «Фишинговая атака»):
«1. Сотрудник, получивший подозрительное письмо (с требованием срочно ввести пароль, с неизвестной ссылкой), ни в коем случае не переходит по ссылкам и не открывает вложения.
2. Сотрудник пересылает данное письмо как вложение (forward as attachment) на специальный email-адрес security@vashakompaniya.by для анализа администратором безопасности.
3. Администратор безопасности в течение 1 часа анализирует письмо. В случае подтверждения угрозы:
а) Инициирует поиск и удаление этого письма из почтовых ящиков всех остальных сотрудников.
б) Блокирует домен отправителя на почтовом шлюзе.
в) Проводит внеплановый микро-инструктаж для отдела, ставшего целью атаки».
Почему это хорошо: Понятный, пошаговый и реализуемый на практике алгоритм.
4. Политика управления паролями (парольная защита)
Зачем она нужна на самом деле?
Слабые пароли (12345678, qwerty) — это главная причина взломов. Эта политика устанавливает единые для всех, технически enforced (принудительно применяемые) правила создания и использования паролей.
Обязательное содержание:
- Требования к сложности: Минимальная длина (8+ для пользователей, 12+ для администраторов), наличие букв в разных регистрах, цифр и спецсимволов.
- Запреты: Использовать личную информацию, словарные слова, последовательности символов.
- Правила смены: Периодичность (раз в 90/180/365 дней), запрет на повторное использование последних N паролей.
- Правила хранения: Запрет на запись паролей на стикерах, в текстовых файлах. Рекомендации по использованию менеджеров паролей.
- Блокировка учетной записи: После 5-10 неудачных попыток ввода.
5. Положение об антивирусной защите
Зачем оно нужно на самом деле?
Этот документ превращает хаотично установленные антивирусы в единую, управляемую систему.
Ключевые моменты:
- Область применения: Антивирус должен быть на всех серверах, рабочих станциях и ноутбуках компании.
- Принципы: Централизованное управление через единую консоль, автоматическое ежедневное обновление баз, запрет на отключение защиты пользователями.
- Порядок действий при обнаружении угрозы: Автоматическое помещение в карантин, уведомление администратора.
6. Другие критически важные документы
- Инструкция по работе с конфиденциальной информацией: Объясняет сотрудникам, что такое коммерческая тайна, и вводит правила «чистого стола» и «чистого экрана» (уходя с рабочего места, убирай документы в ящик и блокируй компьютер).
- Регламент управления конфигурациями: Любые изменения в настройках серверов или сетевого оборудования проводятся только через официальный запрос, согласование и документирование. Это предотвращает сбои из-за хаотичных действий.
- Журналы учета: Это ваши «черные ящики». Они являются доказательной базой при расследованиях. Обязательны к ведению:
- Журнал учета съемных носителей информации: Фиксирует, кто, когда и какую флешку брал.
- Журнал инцидентов ИБ: Документирует все инциденты и принятые меры.
Как проверить, что ваши документы — не «вода»?
Задайте себе три вопроса по каждому документу:
- Поймет ли сотрудник, что делать? Прочитайте регламент глазами бухгалтера. Если ему не ясен конкретный порядок действий в описанной ситуации — это плохой документ.
- Есть ли конкретика? Если в тексте преобладают слова «своевременно», «регулярно», «надлежащим образом» без указания сроков (в часах), ответственных (ФИО) и параметров (длина пароля) — это «вода».
- Поможет ли он при расследовании? Если произойдет утечка, сможете ли вы с помощью этого документа и журналов восстановить хронологию событий и определить виновных? Если нет — он бесполезен.
От формальности к реальной защите
Документация для аттестации ОАЦ — это не наказание, а возможность выстроить в компании предсказуемую, управляемую и эффективную систему информационной безопасности. Хорошо написанные документы экономят время, нервы и деньги при инцидентах, защищая организацию от реальных угроз.
Три принципа качественной документации:
- Конкретность: Заменяйте общие фразы на измеримые параметры, сроки и персональную ответственность.
- Адаптация: Не копируйте чужие шаблоны. Ваши документы должны отражать реальные бизнес-процессы вашей компании.
- Актуализация: Документация — это живой организм. Регулярно пересматривайте и обновляйте ее после каждого инцидента или изменения в IT-инфраструктуре.
Помните: аттестация — это не цель, а средство. Цель — это реальная и непрерывная защита вашей информации. И правильная документация — самый надежный шаг к этой цели.
