«Что такое политика информационной безопасности и что в ней должно быть написано у нас?» — этот вопрос обычно возникает после аудита со стороны клиента, анкеты для поставщика или утечки данных. Скопировать готовый шаблон может показаться простым решением, однако текст, не опирающийся на реальные активы и риски компании, оказывается бесполезным уже на первой проверке.
В этой статье мы рассказываем, что такое политика информационной безопасности, какова её цель и какие разделы может включать политика компании, опираясь на три государственных источника Турции и общедоступное описание ISO/IEC 27001. Разделы — не выдуманный шаблон: каждый из них основан на областях мер из названных ниже источников.
Что такое политика информационной безопасности?
Политика информационной безопасности — это документ высокого уровня, в котором письменно закреплены правила, обязанности и порядок пересмотра, определяющие, как компания защищает информацию и информационные системы. Подробные шаги по выполнению обычно содержатся в процедурах, связанных с политикой.
На странице ISO с описанием ISO/IEC 27001 указано, что стандарт привносит в информационную безопасность целостный подход, рассматривающий людей, политики и технологии в совокупности. Иными словами, политика — это не документ, заменяющий технические меры, а звено, связывающее меры в отношении людей и технологий в единую рамку. О самом стандарте, сертификации и версиях см. статью об ISO 27001.
Какова цель политики информационной безопасности?
Общее для всех источников — защита конфиденциальности, целостности и доступности информации. Циркуляр Президента № 2019/12 определяет цель мер как снижение рисков безопасности и, в особенности, обеспечение безопасности критически важных данных, нарушение этих трёх свойств которых может привести к серьёзным последствиям.
Что касается персональных данных, Руководство по безопасности персональных данных (Kişisel Veri Güvenliği Rehberi) KVKK указывает, что хорошая политика позволяет заранее выявлять риски и последовательно принимать меры. Согласно руководству, политики и процедуры должны быть встроены в деятельность компании; если они не подготовлены вовремя, уровень безопасности не может быть обеспечен в достаточной мере. Это составляет административную сторону обязанности принимать технические и административные меры по статье 12 Закона № 6698 о защите персональных данных (KVKK); другие обязанности по Закону кратко изложены в статье об обязанностях компаний по KVKK.
На какие рамочные документы можно опираться?
Циркуляр № 2019/12. Опубликованный в Resmî Gazete (Официальная газета Турции) от 6 июля 2019 года, Циркуляр перечисляет 21 меру — от хранения критически важных данных внутри страны до использования корпоративной электронной почты — и предусматривает подготовку Руководства по безопасности информации и коммуникаций.
Руководство по безопасности информации и коммуникаций (Bilgi ve İletişim Güvenliği Rehberi). Первая версия Руководства была опубликована в июле 2020 года Офисом цифровой трансформации (Dijital Dönüşüm Ofisi); версия 1.1 датирована мартом 2026 года. Согласно таблице версий, обновление было вызвано передачей полномочий упразднённого Офиса Siber Güvenlik Başkanlığı (Управлению по кибербезопасности Турции). Руководство охватывает учреждения в составе государственного аппарата и предприятия, оказывающие услуги критической инфраструктуры. Для компании вне этой сферы оно не является обязательным, но, поскольку его меры написаны независимо от продуктов и технологий, оно даёт хороший перечень разделов. Руководство также содержит приложение с таблицей соответствия его содержания международным стандартам.
Руководство KVKK по безопасности персональных данных. В этом руководстве от апреля 2025 года в таблице административных мер отдельным пунктом названы корпоративные политики в таких областях, как доступ, информационная безопасность, использование, хранение и уничтожение.
Об обязанностях, связанных с критической инфраструктурой и Законом о кибербезопасности, см. статью о Законе № 7545.
Примеры разделов политики информационной безопасности
Приведённые ниже разделы составлены по темам, которые в источниках выделены как отдельные области мер. Не каждой компании все они нужны в равной степени; выбор следует делать исходя из активов и рисков.
| Раздел политики | Что регулирует | Источник |
|---|---|---|
| Цель, сфера действия и реестр активов | Какое оборудование, программное обеспечение и данные защищаются | BİGR 2.1.1, 3.1.1–3.1.2 · KVKK, административные меры |
| Роли и обязанности | Функции утверждения, выполнения и контроля | BİGR, определения ролей · KVKK 2.2 |
| Оценка рисков | Выявление угроз и определение приоритетов | KVKK 2.1 · страница описания ISO |
| Классификация данных | Распределение данных по категориям | BİGR 3.1.7.1 |
| Контроль доступа и авторизация | Открытие и закрытие учётных записей, минимальные права | BİGR 3.1.12.1 · Циркуляр, ст. 15 |
| Пароли и аутентификация | Правила для паролей, аутентификация | BİGR 3.2.1 · KVKK, технические меры |
| Корпоративная почта и связь | Разделение корпоративных и личных учётных записей | Циркуляр, ст. 18–19 · BİGR 3.1.4 |
| Мобильные и переносные устройства | Использование телефонов, ноутбуков, внешних накопителей | BİGR 3.3 · Циркуляр, ст. 9–10 |
| Удалённая работа | Правила удалённого доступа, устройств и данных | BİGR 3.1.14.1 |
| Резервное копирование и непрерывность деятельности | Резервные копии, аварийное восстановление | BİGR 3.1.13 · KVKK 3.6 |
| Управление инцидентами | Реагирование на киберинциденты и уведомление | BİGR 3.1.10 · Циркуляр, ст. 14 |
| Поставщики и облачные услуги | Договорные условия и условия безопасности | BİGR 3.5.3, 4.3 · KVKK 2.5, 3.4 |
| Обучение, осведомлённость и дисциплина | Обучение сотрудников, обязательство о конфиденциальности | BİGR 3.5.2 · KVKK 2.2 |
| Хранение и уничтожение | Сроки хранения данных и их уничтожение | KVKK, административные меры · BİGR 4.1.5 |
| Пересмотр и аудит | Периодический контроль и обновление | KVKK 2.3 · BİGR 2.3.2 |
BİGR: Bilgi ve İletişim Güvenliği Rehberi (Руководство по безопасности информации и коммуникаций, версия 1.1). KVKK: Kişisel Veri Güvenliği Rehberi (Руководство по безопасности персональных данных). Циркуляр: Циркуляр Президента № 2019/12. Номера — это номера разделов или мер соответствующего руководства.
По нескольким разделам источники подчёркивают следующее:
- Доступ: руководство KVKK рекомендует при предоставлении прав доступа исходить из принципа «Запрещено всё, что не разрешено» (İzin Verilmedikçe Her Şey Yasaktır). Циркуляр также требует предоставлять права доступа, в том числе высшим руководителям, в соответствии с фактически выполняемой работой.
- Дисциплина: согласно руководству KVKK, должен существовать дисциплинарный процесс, применяемый в случае несоблюдения сотрудниками политик и процедур безопасности.
- Поставщики: то же руководство требует удостовериться, что привлечённые обработчики данных обеспечивают как минимум тот же уровень безопасности, что и сама компания. Связанные с этим риски разобраны в статье об утечках данных по вине поставщиков.
- Момент инцидента: порядок уведомления Совета по защите персональных данных об утечках, затрагивающих персональные данные, описан в статье об уведомлении об утечке данных по KVKK.
Кто отвечает за актуальность политики?
В изученных источниках нет положения, указывающего на одно подразделение для всех компаний. Руководство по безопасности информации и коммуникаций определяет «Менеджера по информационной безопасности» (Bilgi Güvenliği Yöneticisi) как сотрудника, отвечающего за обеспечение информационной безопасности и управление ею в учреждении; при внедрении же используется матрица распределения ответственности, разделяющая роли ответственного, утверждающего, консультирующего и информируемого. Руководство KVKK также требует в рамках политик и процедур регулярно проводить проверки, документировать их и продолжать после обновлений.
Для учреждений, подпадающих под Циркуляр, предусмотрен ещё и отдельный график: выполнение Руководства должно проверяться не реже одного раза в год. Для компаний вне этой сферы это не обязательно, но ежегодный пересмотр — разумный ориентир.
С чего начать?
- Составьте перечень активов: политика, написанная без перечня защищаемых систем и данных, остаётся общей.
- Выберите разделы исходя из рисков: таблицу выше можно использовать как контрольный список; по каждому разделу сравните меры из источника с текущим положением дел.
- Определите владельцев и график: укажите в самом документе, кто утверждает политику, кто её выполняет и как часто она пересматривается.
Часто задаваемые вопросы
Обязательна ли политика информационной безопасности по закону? В изученных источниках нет требования ко всем компаниям иметь документ под названием «политика». Однако для компаний, обрабатывающих персональные данные, статья 12 Закона № 6698 обязывает принимать технические и административные меры, а руководство KVKK относит корпоративные политики к таким административным мерам.
Нужна ли политика для сертификации по ISO 27001? В общедоступном описании ISO указано, что стандарт определяет требования, которым должна соответствовать система менеджмента, а политики рассматриваются как часть целостного подхода. Подробности требований содержатся в платном тексте стандарта.
Заключение
Хорошая политика информационной безопасности — это короткий и выполнимый документ, в котором области мер, определённые в источниках, отобраны с учётом собственных активов и рисков компании. С точки зрения Orient Global, инвентаризация активов и анализ разрывов до написания политики — самое надёжное начало, благодаря которому текст выдержит проверку.
Эта статья носит общий информационный характер и не заменяет юридическую консультацию. По вашей конкретной ситуации обратитесь к специалисту.
#interimmanagement #forwarddeployedengineering