Кибербезопасность и информационная безопасность: в чём разница

Информационная безопасность и кибербезопасность часто употребляются как синонимы, и в повседневной речи это не страшно. Но при распределении обязанностей, написании регламентов и выборе подрядчика разница становится важной: если понимать безопасность только как защиту компьютеров, легко упустить утечки через бумаги, разговоры и людей.

Информационная безопасность

Информационная безопасность — защита информации в любой форме: электронной, бумажной, устной. Её цель — обеспечить конфиденциальность, целостность и доступность информации независимо от того, где она хранится.

Что входит:

• Классификация информации: что является коммерческой тайной, персональными данными, служебной информацией
• Политики и регламенты обращения с информацией
• Защита бумажных документов: хранение, уничтожение, доступ в архив
• Физическая безопасность помещений, где обрабатывается информация
• Работа с персоналом: соглашения о неразглашении, обучение, процедура увольнения
• Соответствие требованиям законодательства
• Управление рисками

Кибербезопасность

Кибербезопасность — защита цифровых систем, сетей, программ и данных от атак через киберпространство. Это часть информационной безопасности, сосредоточенная на технической стороне.

Что входит:

• Защита сетей: межсетевые экраны, сегментация, защищённый удалённый доступ
• Защита рабочих мест и серверов: обновления, средства защиты, контроль программ
• Управление учётными записями и доступами
• Мониторинг событий и обнаружение атак
• Реагирование на инциденты
• Защита приложений и сайтов
• Резервное копирование и восстановление

Как соотносятся

Проще всего представить так: информационная безопасность — большой круг, внутри которого находится кибербезопасность. Всё, что касается цифровых угроз, — кибербезопасность. Но есть области информационной безопасности, где компьютеры вообще не участвуют.

Почему разница важна для бизнеса

Распределение ответственности. Если безопасность поручена только системному администратору, он закроет технические угрозы, но не займётся бумажными документами, соглашениями с сотрудниками и регламентами. Эти вопросы требуют участия руководства, юриста, кадровой службы.

Выбор подрядчика. Подрядчик по кибербезопасности проверит сеть и серверы. Если нужна комплексная оценка, включая процессы и документы, это более широкая задача.

Соответствие закону. Требования к защите персональных данных касаются и электронных баз, и бумажных анкет. В Узбекистане действуют законы о персональных данных и о кибербезопасности, и оба аспекта нужно учитывать.

Как распределить роли

• Руководство: утверждает политику безопасности, определяет допустимые риски и ресурсы
• Ответственный за ИБ: координирует всю работу, следит за регламентами и рисками
• IT-служба или подрядчик: реализует технические меры кибербезопасности
• Кадровая служба: соглашения о неразглашении, процедуры приёма и увольнения
• Юрист: договоры, соответствие закону
• Все сотрудники: соблюдают правила

В небольших компаниях функции ответственного за ИБ часто совмещает руководитель IT или один из заместителей директора.

Ошибки

• Поручить всю безопасность одному IT-специалисту и считать вопрос закрытым
• Тратить ресурсы на технические средства при отсутствии базовых правил для людей
• Игнорировать бумажные документы, потому что «всё уже в компьютере»
• Не учитывать безопасность при увольнении сотрудников

Если вы хотите выстроить защиту комплексно — от серверов до процессов, — расскажите о компании, поможем определить приоритеты.