Інформаційна безпека: що це і чим відрізняється від кібербезпеки

Два слова вживають як синоніми — і саме звідси починаються дорогі помилки. Компанія купує засоби захисту мережі, а конфіденційний договір хтось виносить з офісу разом із портфелем. Формально жодного хакера не було, але витік стався. Розберемо межі понять, щоб такі ситуації перестали випадати з поля зору.

Інформаційна безпека — стан, а не набір програм

Інформаційна безпека (ІБ) — стан захищеності інформації від несанкціонованого доступу, зміни, знищення чи розголошення незалежно від форми, у якій вона існує: у комп'ютері, на папері чи у голові співробітника.

Наголос на слові «стан». ІБ не зводиться ані до відділу, ані до куплених програм: засоби є лише інструментом, яким цього стану досягають (докладніше — у матеріалі про терміни та їх зв'язок).

Що включає в себе інформаційна безпека

Обсяг ширший за «комп'ютерну» тематику й охоплює:

• цифрові відомості — файли, бази, листування, хмарні сервіси;
• паперові документи — договори, накази, архіви, роздруківки;
• усну інформацію — наради, телефонні розмови, обговорення у переговорній;
• фізичні носії — флешки, диски, зовнішні накопичувачі;
• знання людей — інформація, яку співробітник пам'ятає й може розголосити;
• процеси й правила — хто, до чого та на яких підставах має доступ.

Тому винесений з офісу договір — інцидент рівно того самого класу, як і зламаний сервер. Наслідок один: інформація опинилася у чужих руках.

Кібербезпека: частина, а не синонім

Кібербезпека зосереджена на цифровому просторі: системах, мережах, застосунках і відомостях у цифровому вигляді. Це найбільша, найактивніша й найдорожча частина ІБ — але не вся вона.

Просте правило: кібербезпека входить до ІБ, як менше коло у більше. Обернене твердження хибне.

Поруч існують ще два кола, які з ІБ перетинаються, але не збігаються:

• ІТ-безпека — надійність самої техніки й систем, зокрема там, де жодної чутливої інформації немає (скажімо, стійкість виробничого контролера).
• Захист персональних даних — окрема мета: права людини, згода, законні підстави обробки. Дані можна ідеально захистити технічно й водночас незаконно збирати.

Останній приклад вартий уваги. Компанія шифрує базу клієнтів, обмежує доступи, веде журнали — з погляду захищеності бездоганно. Але якщо цю базу зібрано без згоди людей, порушення все одно є, і відповідальність настане. Технічна досконалість тут безсила: захист і законність обробки — різні вимоги, які закривають різними інструментами.

Плутанина має просте пояснення. За останні двадцять років майже вся інформація переїхала в цифру, а ринок засобів захисту навчився продавати саме технічні продукти — їх легко показати, порахувати й поставити в кошторис. Замок на шафі й навчання персоналу продати важче, тож у публічному просторі тема звузилася до «кібер». Практика, утім, звужуватися відмовляється.

Інциденти, у яких немає жодного хакера

Найкраще межу видно на прикладах. Усе перелічене — повноцінні інциденти, хоча жодна система не зламана:

• загублена або залишена в таксі флешка з клієнтською базою;
• обговорення умов угоди в кав'ярні за сусіднім столиком від конкурента;
• фото екрана з персональними даними, надіслане «швиденько порадитися»;
• роздруківка зарплатної відомості у звичайному смітнику;
• звільнений менеджер із досі активним доступом до спільного диска;
• дзвінок «зі служби підтримки банку», де співробітник диктує реквізити.

Спільна риса одна: тут безсилі й фаєрвол, і антивірус. Заходи потрібні інші — правила, навчання, фізичний контроль, дисципліна доступів.

Чому плутанина коштує грошей

Змішування понять — не термінологічна прискіпливість. Воно дає три матеріальні наслідки.

1. Перекошений бюджет. Гроші йдуть на мережеві засоби, а шафа з договорами стоїть відчинена, гості ходять офісом без супроводу, а звільнений менеджер досі має ключ від хмарного сховища.

2. Звужена сфера охоплення в документах. Політика описує лише цифрові системи. Під час аудиту з'ясовується: паперові архіви й підрядники з доступом не охоплені взагалі — і це готова невідповідність.

3. Неправильна класифікація подій. Загублену флешку не вважають інцидентом, бо «це ж не атака». Її ніхто не реєструє й не розбирає — і той самий сценарій спокійно повторюється наступного місяця.

Чому ISO 27001 — не про самі лише технології

Показова деталь: міжнародний ISO 27001 названо стандартом інформаційної, а не кібербезпеки — і це аж ніяк не випадковість.

У Додатку А заходи згруповані за чотирма темами: організаційні, людські, фізичні й технологічні. Тобто разом із мережевими налаштуваннями стандарт вимагає замків, пропускного режиму, знищення документів, перевірки кандидатів і чіткого порядку відкликання доступів при звільненні. Суто «кібер» підхід закриває лише одну тему з чотирьох.

Розмова про інформаційну безпеку в компанії: з чого починати

Спершу — інвентаризація, і саме тут більшість зупиняється на пів дорозі. Складіть перелік усього цінного та дайте для кожного пункту відповідь на чотири питання:

1. У якій формі воно існує? Файл, папка в шафі, знання конкретної людини, запис розмови.
2. Де воно фізично перебуває? Свій сервер, хмара, ноутбук працівника, офіс підрядника, домашній кабінет.
3. Хто має доступ? Не «за посадою», а фактично — включно з підрядниками й колишніми співробітниками.
4. Які наслідки втрати, зміни чи розголошення? Штраф, зупинка роботи, судовий позов, репутаційний удар.

Уже цей перелік зазвичай показує: найбільші ризики лежать зовсім не там, де на них чекали. У підрядника без підписаного зобов'язання щодо нерозголошення. У спільній таблиці з паролями. У звичці обговорювати клієнтів у месенджері.

Далі цінності зіставляють із загрозами й обирають заходи — детальніше в окремому матеріалі: захист інформації як діяльність.

Швидкий тест сфери охоплення

Чотири питання, які показують, чи охоплює ваша політика весь периметр:

• Чи згадані там паперові документи й порядок їх знищення?
• Чи описано, як діяти з носіями: флешками, дисками, роздруківками?
• Чи є правила для підрядників, стажерів і тимчасових працівників?
• Чи прописано відкликання доступів у день звільнення, а не «колись потім»?

Якщо хоча б на одне питання відповідь заперечна — політика описує лише частину периметра.

Хто за це відповідає

Найпоширеніша управлінська помилка — вважати тему турботою ІТ-відділу. Технічний фахівець може налаштувати доступи, але він не вирішує, чи можна віддавати підряднику базу клієнтів, скільки коштує день простою й чи варто платити за відновлення. Це рішення власника ризику — керівника напряму, якому належить сам актив.

На практиці власника ризику визначають так: якщо цінність зникне, зіпсується або стане публічною, кого першим викличуть пояснювати наслідки? Для бази клієнтів це комерційний директор, для фінансової звітності — фінансовий, для рецептури — виробництво. Саме ця людина затверджує, які втрати прийнятні, а за які варто платити наперед.

ІТ виконує заходи. Бізнес визначає пріоритети захисту й ціну зусиль. Коли ці ролі змішані, служба захисту одночасно й ставить вимоги, і сама ж оцінює власну роботу.

Стан і діяльність: іще одна пара, яку плутають

Українська нормативна мова розводить поняття суворіше за побутову:

• інформаційна безпека та кібербезпека — це стан захищеності (мета, до якої йдуть);
• захист інформації та кіберзахист — діяльність, сукупність заходів (шлях, яким ідуть).

Звідси й правильні формулювання. «Впроваджуємо інформаційну безпеку» — беззмістовно: впроваджують заходи, а стан є їх результатом. Дрібниця? У технічному завданні чи у договорі з підрядником саме така дрібниця визначає, за що ви платите: за куплену коробку чи за досягнутий результат.

Три властивості, які захищають

Незалежно від форми носія, зберігають три властивості інформації — конфіденційність, цілісність і доступність. З цієї тріади випливають усі цілі й усі заходи, зокрема й геть нетехнічні (див. тріаду CIA).