Информационная безопасность организации: какие документы нужны (2026)

Зачем организации документы по ИБ

Обязанность защищать информацию вытекает сразу из нескольких законов. Оператор персональных данных — а это почти любая организация с работниками — обязан принимать правовые, организационные и технические меры защиты (ст. 19 152-ФЗ) и издать документы, определяющие его политику и локальные акты по вопросам обработки (ст. 18.1). Закон об информации (ст. 16 149-ФЗ) описывает защиту информации как сочетание правовых, организационных и технических мер и в установленных законом случаях обязывает обладателя информации и оператора информационной системы предотвращать несанкционированный доступ, своевременно его обнаруживать и восстанавливать информацию.

Есть и требования за пределами законов. Крупные заказчики и банки присылают анкеты по ИБ и просят показать утверждённую политику, страховщики при страховании киберрисков спрашивают о резервном копировании и реагировании на инциденты. При расследовании утечки или взлома первым делом запрашивают документы: были ли назначены ответственные, кто имел доступ, проверялись ли резервные копии.

Минимальный набор

1. Политика информационной безопасности — цели, объекты защиты, роли и основные правила — образец политики ИБ.
2. Приказ об ответственном за ИБ — кто организует защиту и с какими полномочиями — образец приказа.
3. Порядок парольной защиты — длина, хранение, смена, двухфакторная аутентификация — образец порядка.
4. Правила резервного копирования — что, как часто и где копировать, как проверять восстановление — образец правил.
5. Разграничение прав доступа с матрицей доступа — кто к чему имеет доступ и как права выдаются и отзываются — образец положения.
6. Порядок реагирования на инциденты — классификация, действия, журнал, уведомления — образец порядка.

Если организация работает со средствами криптографической защиты (ViPNet, электронная подпись, защищённые каналы с госорганами), к этому набору добавляются документы по СКЗИ. Если есть сведения, ценные своей закрытостью, — режим коммерческой тайны.

С чего начать

1. Составьте список систем и данных: учётные программы, почта, сайт, файловые ресурсы, облачные сервисы. Это объекты защиты в политике.
2. Назначьте ответственного за ИБ приказом. Если администрирование ведёт подрядчик, ответственным лучше назначить своего работника.
3. Утвердите политику и ознакомьте с ней работников под подпись.
4. Начните с самых рискованных мест: пароли администраторов, общие учётные записи, непроверенные резервные копии.
5. Утвердите порядок реагирования на инциденты — особенно если обрабатываете персональные данные: об утечке Роскомнадзор нужно уведомить в течение 24 часов.

Если вы ещё не определили, какие режимы касаются организации — КИИ, персональные данные, общая ИБ, — пройдите схему «С чего начать». Обязанности оператора персональных данных — на странице «Персональные данные», субъектов КИИ — «Организация ИБ по Указу № 250».

Частые ошибки

• Политика есть, приказа нет. Документ без приказа об утверждении и листа ознакомления ничего не доказывает.
• Документы противоречат друг другу. Политика ссылается на порядок, которого нет, или требует пароль в 8 символов, когда порядок — 12.
• Общие учётные записи. Один логин на отдел делает невозможным разграничение доступа и расследование инцидентов.
• Резервные копии никто не восстанавливал. Копия, из которой нельзя восстановиться, обнаруживается в день атаки шифровальщика.