Какие документы по ИБ должна иметь каждая организация

Информационная безопасность (ИБ) давно перестала быть заботой исключительно банков, госструктур или IT-корпораций. Сегодня даже небольшие компании, интернет-магазины и индивидуальные предприниматели сталкиваются с требованиями по защите информации: будь то персональные данные клиентов, коммерческая тайна или доступ к внутренним системам.

С каждым годом государственные органы ужесточают контроль в этой сфере. Особенно это касается компаний, работающих с персональными данными, обладающих лицензиями или взаимодействующих с государственными и крупными корпоративными заказчиками. В таких случаях отсутствие должным образом оформленных документов по ИБ может привести к штрафам, блокировке систем, потере контрактов.

Бизнесу часто непонятно: что конкретно должно быть оформлено, какие документы обязательны, а какие — рекомендованы, кто их составляет и зачем всё это нужно, если «и так всё работает».

Цель этой статьи — понятно, без перегруза, объяснить, какие документы по информационной безопасности должен иметь каждый бизнес, от малого до крупного. Мы разберём:

• из чего состоит базовый комплект ИБ-документов;
• какие акты требуют государственные органы;
• как адаптировать документы под конкретную компанию;
• и как встроить ИБ в реальные бизнес-процессы, а не просто «сделать для галочки».

Плюс — вы найдёте практические таблицы, советы экспертов, чтобы проверить, насколько ваша компания сейчас защищена.

Что входит в комплект обязательных документов по ИБ

Информационная безопасность (ИБ) — не просто модное словосочетание в договоре с подрядчиком. Это системный подход к защите данных и процессов, который невозможно реализовать без формализованных правил. Для большинства организаций наличие определённого набора внутренних документов по ИБ — не рекомендация, а требование законодательства, особенно если компания обрабатывает персональные данные, работает с государственными или крупными коммерческими заказчиками.

Каждому бизнесу важно понимать: что именно должно быть оформлено, кто несёт ответственность за подготовку документов, и какова их практическая ценность.

Ниже — общий перечень ключевых документов, которые формируют каркас системы ИБ в компании.

Большинство предпринимателей сталкиваются с двумя ошибками:

1. Скачивают шаблоны и забывают адаптировать под свою деятельность.
2. Оформляют документы «для галочки», не внедряя их в реальные бизнес-процессы.

Это подход, который не только не работает, но и увеличивает риски при проверке — особенно если документы противоречат фактическим действиям компании.

Политика информационной безопасности: зачем она нужна и что в ней должно быть

Политика информационной безопасности — это базовый, системообразующий документ, на который опирается вся остальная документация по ИБ. Её основная цель — определить общие правила, приоритеты, зоны ответственности и принципы работы с информацией внутри компании. Без неё любые регламенты и инструкции теряют структуру, а действия сотрудников — логическую основу.

Часто можно услышать: «Мы небольшая компания, нам ИБ-политика ни к чему». Но в реальности наличие такого документа требуется во всех организациях, где обрабатываются данные, особенно персональные, финансовые, договорные или внутренние.

Сергей Воробьев

Эксперт по защите данных IC-TECH

Задать вопрос

«Политика ИБ — это не для галочки. Это способ объяснить бизнесу и персоналу, как обращаться с информацией: что можно, что нельзя, кто отвечает, что будет в случае нарушения. Даже если у вас 5 человек в штате, вы обязаны формализовать подход к защите информации»

Что должно быть в политике информационной безопасности

Вот типовая структура документа (может быть адаптирована под конкретную компанию):

1. Цель политики — зачем она нужна, какие риски закрывает.
2. Область действия — на какие данные, процессы, сотрудников распространяется.
3. Основные понятия — определения, используемые в документе.
4. Распределение ответственности — кто за что отвечает: ИБ-специалист, ИТ-служба, сотрудники.
5. Требования к защите информации — доступ, хранение, передача, уничтожение.
6. Контроль и аудит — как контролируется соблюдение, кто проверяет.
7. Ответственность за нарушения — меры воздействия при несоблюдении.
8. Порядок пересмотра и обновления — как и когда актуализируется документ.

Кто разрабатывает и как утверждается политика

Обычно документ готовит специалист по информационной безопасности, внутренний или внешний. В малом бизнесе этим часто занимается ответственный за ПДн, либо IT-специалист с компетенцией в области ИБ. В любом случае:

• утверждает документ руководитель организации (приказом);
• доводится до всех сотрудников под роспись;
• пересматривается не реже одного раза в год, а также при существенных изменениях (введение новых систем, смена персонала, смена законодательства и т.д.).

Приказы, положения и регламенты: управляем процессами по закону

Когда политика информационной безопасности утверждена, следующим шагом становится её развёртывание на практике. Это делается через систему локальных нормативных актов: приказы, регламенты, положения. Эти документы детализируют, как именно организация будет реализовывать цели политики — кто отвечает, что делает, в каком порядке, и на каких условиях.

Проще говоря: политика — это стратегия, а приказы и регламенты — тактика.

Обязательные приказы

Наиболее важный документ на этом уровне — приказ о назначении ответственного за обеспечение информационной безопасности. Именно он формализует, кто следит за соблюдением всех требований, разрабатывает и обновляет документацию, организует обучение и контроль.

Дополнительно могут оформляться:

• приказ о введении в действие политики ИБ;
• приказ о назначении ответственного за обработку персональных данных (если организация работает с ПДн);
• приказ о проведении внутреннего аудита ИБ (при подготовке к проверке или сертификации);
• приказ о внедрении новых ИТ-средств защиты (например, СЗИ от НСД, антивирус, VPN и др.).

Положения и регламенты

Эти документы детализируют отдельные аспекты защиты информации. Они могут называться по-разному: регламент, положение, инструкция, но их суть — в конкретике.

Примеры ключевых регламентов:

Кто составляет и утверждает

• Разработка — ответственность назначенного приказом специалиста (внутреннего или внешнего).
• Утверждение — всегда руководитель компании.
• Ознакомление — обязательное, под подпись, с внесением в журнал ознакомления с ИБ-документацией.

Сергей Воробьев

Эксперт по защите данных IC-TECH

Задать вопрос

«Большинство проблем начинается не из-за отсутствия документов, а из-за того, что ими никто не пользуется. Руководители думают, что “бумажка есть — значит всё в порядке”, а персонал не знает даже элементарных правил доступа. Грамотно оформленные и внедрённые регламенты — это не формальность, это защита бизнеса».

Документы по персональным данным: соблюдаем 152-ФЗ без паники

Работа с персональными данными (ПДн) — это не только настройка CRM или сбор заявок на сайте, но и юридическая обязанность соблюдать закон № 152-ФЗ «О персональных данных». Даже если вы просто принимаете звонки от клиентов и записываете номера телефонов — вы уже являетесь оператором ПДн, а значит, обязаны соблюдать определённые требования.

Их нарушение может привести не только к штрафам от 30 000 до 500 000 рублей, но и к блокировке сайта, проблемам с подрядчиками, а в ряде случаев — к уголовной ответственности.

Обязательные документы по ПДн

Вот базовый перечень документов, которые должны быть у любого оператора персональных данных:

Типовые ошибки и их последствия

1. Нет политики на сайте — считается нарушением, даже если собирается только e-mail.
2. Форма «Оставьте заявку» без согласия — административное правонарушение.
3. Подписи сотрудников не собираются — нет юридического подтверждения осведомлённости.
4. Сроки хранения данных не определены — риск утечки или незаконного использования.

Где и как хранить документы

• Электронные формы — допустимы, но должны быть защищены от несанкционированного доступа.
• Бумажные формы — хранятся в закрытых шкафах, с ограниченным доступом.
• Срок хранения — зависит от цели сбора, но не дольше, чем необходимо. После достижения цели данные подлежат уничтожению (документально фиксируется).

Служебные инструкции и работа с сотрудниками: как избежать «человеческого фактора»

По статистике, более 80% инцидентов в сфере информационной безопасности происходят по вине сотрудников — случайно, из-за незнания или по злому умыслу. Даже самая надёжная система с продвинутыми средствами защиты будет уязвимой, если человек нажмёт не туда, передаст логин по телефону или вынесет клиентскую базу на флешке.

Именно поэтому важнейшей частью любой системы ИБ являются документы, регулирующие действия сотрудников, а также процедуры их обучения, инструктажа и фиксации ответственности.

Обязательные документы и инструкции

1. Инструкция по работе с конфиденциальной информацией
   — Объясняет, какие данные считаются конфиденциальными, как с ними обращаться, где их можно хранить, кому передавать и в каком виде.
   — Часто составляется в виде приложения к трудовому договору или отдельного локального акта.
2. Инструкция по работе с персональными данными
   — Подробно регламентирует действия при сборе, хранении, передаче и удалении ПДн.
   — Включает информацию о сроках хранения, порядке уничтожения, уведомлениях и прочем.
3. Соглашение о конфиденциальности / NDA
   — Юридически закрепляет обязанность сотрудника не разглашать служебную информацию.
4. Журнал ознакомления с ИБ-документами
   — Ведётся для фиксации того, что каждый сотрудник прочитал и понял инструкции.
   — Подписи обязательны, особенно при проверках со стороны Роскомнадзора или ФСТЭК.

Обучение и регулярное напоминание

• Проведение первичного инструктажа — при приёме на работу.
• Периодическое обучение — 1 раз в год или при изменениях в документах.
• Тестирование знаний (внутренние опросы, контрольные вопросы).
• Плакаты, памятки, внутренние рассылки — чтобы информация не терялась.

Сергей Воробьев

Эксперт по защите данных IC-TECH

Задать вопрос

«ИБ-документация работает только тогда, когда сотрудники реально понимают, зачем она нужна. Лучший способ снизить риски — это не запреты, а объяснение последствий. Один случайный клик по фишинговому письму — и бизнес встанет».

Особенности для удалённой и проектной работы

• Для удалённых сотрудников важно прописать правила доступа к корпоративным системам, использования личных устройств, подключения к Wi-Fi.
• Проектные команды или подрядчики должны подписывать отдельные NDA и проходить экспресс-инструктажи (особенно если имеют доступ к CRM, базам данных, облачным хранилищам).

Что проверяют надзорные органы: как подготовиться к проверке и не попасть на штраф

Когда приходит проверка от Роскомнадзора, ФСТЭК или другого регулятора, у бизнеса есть два варианта развития событий:
а) спокойно предоставить документы, подтвердив соблюдение требований,
б) начать судорожно искать «бумажки», которые никто не читал и не подписывал.
Во втором случае всё заканчивается либо штрафом, либо предписанием, либо — в худшем варианте — приостановкой деятельности, особенно при утечках персональных данных.

Понимание того, что конкретно проверяют, позволяет подготовиться заранее и не тратить нервы в последний момент.

Кто и что проверяет

Что запрашивают при проверке чаще всего

1. Политику обработки ПДн — размещена ли на сайте, соответствует ли текущей практике.
2. Согласия субъектов на обработку данных — особенно для клиентов и сотрудников.
3. Приказ о назначении ответственного за ПДн и/или ИБ.
4. Журнал ознакомления сотрудников с ИБ-документами.
5. Регламенты обработки данных — кто, как, где и сколько хранит.
6. Доказательства выполнения организационных и технических мер — есть ли контроль доступа, резервное копирование, обучение персонала и т.п.
7. Журнал учёта обращений субъектов ПДн — фиксируются ли запросы от граждан.

Частые ошибки, которые ведут к штрафам

• Документы скачаны из интернета и не адаптированы под компанию.
• Нет подписей сотрудников, даже если инструкции есть.
• Политика ПДн размещена на сайте, но фактически не выполняется.
• В соглашениях используются размытые формулировки.
• Назначены ответственные, но без должностных инструкций.
• Удалённые сотрудники не включены в контур ИБ-документации.

Сергей Воробьев

Эксперт по защите данных IC-TECH

Задать вопрос

«Проверяющим всё равно, насколько вы “старались” — они смотрят на конкретные документы, даты, подписи и реальную практику. Вопрос “А можно я потом донесу?” не работает. Лучше подготовить всё заранее и спокойно пройти проверку».

Как подготовиться без паники

• Проведите аудит документации: что есть, что устарело, чего нет вообще.
• Составьте список документов, которые точно запросят при проверке.
• Назначьте ответственного за взаимодействие с регуляторами.
• Проверьте подписи сотрудников и наличие всех согласий.
• Убедитесь, что политика ПДн на сайте актуальна и не противоречит практике.
• Установите периодический пересмотр документов (раз в 12 месяцев или чаще при изменениях).

Как собрать и поддерживать документацию в актуальном состоянии

Собрать пакет документов по информационной безопасности — это только половина дела. Настоящая сложность — поддерживать его в рабочем, актуальном и применимом виде, особенно если бизнес развивается, меняются сотрудники, внедряются новые системы или появляются внешние требования.

Когда и почему документы нужно обновлять

Вот основные поводы для пересмотра ИБ-документов:

• Изменение в законодательстве (например, новые поправки в 152-ФЗ, требования ФСТЭК).
• Смена ответственного за ИБ или ПДн.
• Внедрение новых IT-систем, хранилищ, сервисов.
• Изменение организационной структуры (слияние отделов, удалённые сотрудники, новые филиалы).
• Прохождение сертификации или подготовка к внешнему аудиту.
• Периодический пересмотр — рекомендуется не реже одного раза в 12 месяцев.

Кто отвечает за актуальность и хранение

• Назначенный приказом ответственный по ИБ — ключевая фигура.
• В малом бизнесе — это может быть системный администратор, IT-директор или внешний подрядчик.
• Важно, чтобы у него были:
  • доступ к актуальным шаблонам,
  • понимание законодательства,
  • возможность вовремя доводить изменения до сотрудников.

Документы можно хранить:

• В бумажном виде — обязательно для журналов подписей, согласий.
• В электронном виде — с ограниченным доступом и резервным копированием.
• В облаке — допустимо, если настроен безопасный доступ и шифрование.

Как упростить работу с документацией

1. Создайте единый реестр ИБ-документов — с датами, ответственными и статусом (актуален / требует обновления).
2. Используйте шаблоны, но адаптируйте под реальность: процессы, ПО, роли сотрудников.
3. Настройте напоминания (например, раз в год — пересмотр политики, регламентов).
4. Проводите экспресс-аудит перед проверкой или при смене IT-структуры.
5. Автоматизируйте сбор подписей и учёт документов через корпоративный портал, 1С, Битрикс24 и т.п.
6. Периодически обновляйте знания сотрудников — рассылки, краткие инструкции, напоминания.

Сергей Воробьев

Эксперт по защите данных IC-TECH

«ИБ — это не “один раз сделали и забыли”. Это живой процесс, который должен идти вместе с развитием бизнеса. Поддержка документации — это проще и дешевле, чем потом объясняться на проверке или восстанавливаться после утечки».

Типичный пример

Компания провела аудит и оформила все документы, включая политику ИБ, согласия и приказы. Через год уволился ответственный, сменился сайт и был подключён новый подрядчик по CRM. Никакие документы не были пересмотрены. При проверке выяснилось, что:

• политике два года,
• журнал не содержит подписи новых сотрудников,
• данные отправляются в сторонний сервис без согласия клиентов.

Результат — предписание, штраф и обязанность всё переделать заново. И это — реальный кейс, который встречается чаще, чем кажется.

Заключение: документы по ИБ — это защита, а не бюрократия

Информационная безопасность — не просто набор правил и бумаг «для галочки». Это основа устойчивости бизнеса в цифровую эпоху, где данные — главная ценность, а любая утечка может привести к серьёзным последствиям: финансовым, репутационным и юридическим.

Что важно запомнить:

• Даже малый бизнес обязан оформлять документы по ИБ, если работает с данными клиентов или сотрудников.
• Минимальный пакет включает политику ИБ, приказы, регламенты, инструкции и согласия.
• Документы не должны лежать мёртвым грузом — они должны быть поняты, подписаны и внедрены.
• Подписи сотрудников и актуальность дат — критически важны при проверках.
• Регуляторы проверяют не только наличие документов, но и их соответствие реальности: структуре компании, системам, фактической практике.

Полезные ссылки

• Федеральный закон № 152-ФЗ «О персональных данных»
• Рекомендации Роскомнадзора по оформлению политики ПДн
• Приказ ФСТЭК России № 239 (о защите информации)
• ГОСТ Р 57580.1-2017 – Безопасность финансовых (и не только) организаций

Что можно сделать уже сегодня

1. Провести мини-аудит — есть ли в компании документы по ИБ? Кто за них отвечает?
2. Назначить ответственного за информационную безопасность — приказом.
3. Составить или актуализировать политику ИБ.
4. Подготовить простые инструкции и собрать подписи сотрудников.
5. Проверить, что на сайте размещена политика обработки ПДн.

Если вы не уверены, с чего начать или какие именно документы подойдут вашей компании — обратитесь к специалистам, которые помогут оценить риски, привести документацию в порядок и подготовиться к проверкам.