---
title: "Программа информационной безопасности"
url: "https://kzsaleshub.com/framework/security-program/"
type: "framework"
category: "Качество и безопасность"
language: "ru"
source: "KZSalesHub"
published: "2026-08-11"
last_updated: "2026-09-03"
---

# Программа информационной безопасности

**Суть.** Безопасность как программа, а не набор купленных продуктов. Пять функций описывают полный цикл: понять, что защищаем, поставить защиту, научиться замечать, уметь реагировать и уметь восстанавливаться. Большинство компаний вкладывается во вторую функцию и пропускает третью и пятую.

## Пять функций

| Функция | Содержание | Признак, что не закрыта |
| --- | --- | --- |
| Определить | Инвентаризация активов, данных, поставщиков, оценка рисков | Нет ответа, сколько у нас систем и где критичные данные |
| Защитить | Доступы, обновления, шифрование, обучение людей | Пароли и права не пересматривались год |
| Обнаружить | Сбор событий, правила, мониторинг | О сбое узнают от пользователей |
| Отреагировать | План действий, роли, связь с клиентами и регулятором | При инциденте начинают решать, кто главный |
| Восстановить | Резервные копии и проверенная процедура возврата | Копии делаются, восстановление не проверялось |

## Порядок при ограниченном бюджете

Первым идёт учёт: без него любая закупка защищает не то. Дальше базовая гигиена — многофакторная проверка, обновления, минимальные права, проверенное восстановление из копий. Она закрывает большую часть массовых атак и стоит несопоставимо дешевле продвинутых систем обнаружения.

Мониторинг и автоматизация реагирования имеют смысл, когда есть кому реагировать: система, генерирующая тревоги без адресата, ухудшает ситуацию.

## Из чего состоит программа

| Элемент | Вопрос | Минимальный ответ |
| --- | --- | --- |
| Активы | Что защищаем | Перечень систем и данных с владельцами |
| Риски | Что может случиться | Сценарии с оценкой ущерба |
| Правила | Как положено | Несколько коротких политик, а не том |
| Контроли | Что реально внедрено | Доступы, копии, обновления, журналирование |
| Реагирование | Что делаем при инциденте | Порядок, контакты, роли |
| Проверка | Работает ли всё это | Учения и регулярный пересмотр |

## Порядок внедрения

1. Перечень активов первым. Без него защищать нечего, кроме абстракции.
2. Управление доступом и резервные копии с проверенным восстановлением — эти два контроля закрывают наибольшую долю реального ущерба.
3. Порядок реагирования на одной странице: кому звонить, что отключать, кого уведомлять.
4. Обучение сотрудников с реальными примерами, а не с презентацией раз в год.
5. Регулярная проверка того, что контроли действительно работают.

## Где ломается

**Покупают до инвентаризации.** Система защищает периметр, а данные лежат в чужом облаке.

**Резервные копии без проверки восстановления.** Самая частая и самая дорогая иллюзия.

**План реагирования есть только на бумаге.** Учения не проводились, при первом инциденте план читают вслух.

**Начинают с политик.** Появляется толстый документ и ни одного изменённого доступа.

**Копии есть, восстановление не проверялось.** Обнаруживается в худший возможный момент.

**Безопасность отделена от бизнеса.** Требования выглядят как препятствие, их обходят, и обходные пути становятся нормой.

Практическая проверка зрелости: за сколько минут вы отключите доступ уволенного сотрудника ко всем системам. Ответ показывает состояние программы точнее, чем любой документ.

## С чего начинается программа

1. **Инвентаризация.** Что у вас есть: системы, данные, доступы, подрядчики. Без этого защищать нечего — неизвестно что.
2. **Классификация данных.** Хотя бы на три уровня. Защищать всё одинаково дорого и бессмысленно.
3. **Базовая гигиена.** Обновления, пересмотр прав, резервные копии с проверкой восстановления, многофакторный вход.
4. **Журналы и обнаружение.** Собираются ли события и смотрит ли на них кто-нибудь.
5. **План реагирования.** Кто принимает решения при инциденте, кого уведомляем, в какой срок.

## Почему порядок именно такой

Потому что каждый следующий шаг бессмысленен без предыдущего. Покупка средства обнаружения при отсутствии инвентаризации даёт защиту части периметра, о размере которой вы не знаете. План реагирования без журналов невыполним: реагировать не на что.

Самая частая ошибка — начинать с покупки продукта, потому что это легче обосновать бюджетом, чем месяцы наведения порядка. Через год оказывается, что продукт работает, а половина систем в него не заведена.

## Как измерять зрелость

| Что мерить | Как |
| --- | --- |
| Полнота инвентаризации | Доля систем с известным владельцем |
| Скорость обновлений | Медианное время от выхода исправления до установки |
| Права | Доля учётных записей, пересмотренных за квартал |
| Восстановление | Когда последний раз проверяли восстановление из копии |
| Обнаружение | Время от события до его замечания на учениях |

## Признак, что работает

Вы можете назвать пять цифр выше по памяти, и они улучшаются от квартала к кварталу. Программа, о состоянии которой можно говорить только словами, не управляется.

## Частые вопросы

**Нужен ли отдельный специалист**

В небольшой компании — нет, нужен ответственный с выделенным временем и внешняя экспертиза по мере необходимости. Отдельная роль появляется с ростом требований заказчиков.

**Что чаще всего спрашивают в анкетах поставщика**

Управление доступом, резервное копирование, порядок реагирования на инциденты и обучение сотрудников. Готовые ответы на эти четыре темы закрывают большую часть анкет.

**Нужна ли сертификация**

Только если её требуют заказчики или регулятор. Сертификат без работающих практик даёт доступ к тендеру и не снижает риск.

## Связанное

- [Zero Trust](https://kzsaleshub.com/framework/zero-trust/)
- [Моделирование угроз](https://kzsaleshub.com/framework/threat-model/)
- [Разбор инцидентов](https://kzsaleshub.com/framework/incident-postmortem/)

Программа безопасности начинается с перечня того, что защищаем, и заканчивается проверкой, что защита работает. Документы посередине — вспомогательные.

---
Источник: https://kzsaleshub.com/framework/security-program/