В состав входят: политика, инструкции для сотрудников, регламенты доступа к данным, порядок реагирования на инциденты, а также контроль за соблюдением правил.
Документация помогает:
- Определить зоны ответственности сотрудников. Каждый сотрудник должен соблюдать правила (регламенты), установленные руководством в отношении информационной безопасности;
- Снизить риски утечек и атак. Документы задают правила доступа, порядок действий при проблемах и ответственность сотрудников. Это снижает риски фишинга, вредоносного ПО, утечек данных и несанкционированного доступа;
- Соответствовать требованиям законодательства. ОРД необходима для соблюдения требований 152-ФЗ о персональных данных, 187-ФЗ о безопасности КИИ, а также регламентов ФСТЭК и Роскомнадзора;
- Проходить проверки и аудиты. Помогает пройти проверки Роскомнадзора, ФСТЭК, прокуратуры, а также аудиты со стороны заказчиков или сертификационных органов.
ОРД — это фундамент системы ИБ. Без этих регламентов невозможно обеспечить защищённую, устойчивую ИТ-среду.
Что включает в себя пакет документов
Разработка нормативной документации по информационной безопасности охватывает все ключевые процессы, связанные с защитой данных. Пакет подбирается под задачи и масштаб компании, и включает следующие этапы:
- Предпроектное обследование. Анализ текущего состояния ИБ, выявление рисков, изучение ИТ-инфраструктуры и бизнес-процессов.
- Определение состава необходимых документов. Формируется перечень документов на основе законодательства (152-ФЗ, 149-ФЗ, ФСТЭК и др.) и специфики компании.
- Разработка, согласование и утверждение. Готовятся проекты документов, обсуждаются с заказчиком и вносятся правки. После согласования оформляется финальный комплект и утверждается приказом.
- Разработка политики информационной безопасности. Главный документ, задающий общие принципы защиты информации в организации. В политике закрепляются цели, подходы и приоритеты компании в области информационной безопасности.
- Разработка положения об обработке и защите персональных данных. Описывает, как компания работает с персональной информацией, кто отвечает за защиту, и какие меры применяются. Разработка регламентов по персональным данным требует точности и соответствия 152-ФЗ.
- Подготовка регламента и инструкций
- по управлению доступом;
- по работе с носителями информации;
- по резервному копированию;
- по реагированию на инциденты;
- по защите от вирусов, внешних угроз и др.
- Подготовка должностных инструкций. Назначаются ответственные за ИБ, описываются их обязанности и полномочия.
- Разработка журналов учёта и актов. Используются для фиксации действий, проверки соблюдения процедур и подготовки к проверкам.
Процесс выстраивает понятную систему защиты информации — без избыточности, но с учётом требований закона и рисков.
Зачем бизнесу нужен комплект ОРД
Комплект документов — это рабочий инструмент, который:
- помогает соответствовать требованиям закона и отраслевых регламентов;
- снижает риски штрафов, утечек, сбоев;
- упрощает внутренние процессы, повышает дисциплину в работе с данными;
- защищает компанию при проверках, инцидентах, спорах;
- укрепляет доверие со стороны партнёров, клиентов, заказчиков.
Чёткие правила внутри компании — основа надёжной, безопасной работы.
Когда требуется разработка документации
Пакет документов по ИБ требуется в следующих ситуациях:
1. Операторам персональных данных (ОПД)
- компания, которая собирает, хранит, обрабатывает или передаёт персональную информацию;
- компания, которая обязана соблюдать требования 152-ФЗ и иметь утвержденную документацию по защите ПДн;
- бизнес, связанный с онлайн-сервисами, магазинами, кадровыми службами, медорганизаций, учебных центров и др.
Разработка документации по персональным данным нужна при изменении процессов хранения или передачи информации.
2. Субъектам критической информационной инфраструктуры (КИИ)
- организации, подпадающие под действие 187-ФЗ (транспорт, энергетическая отрасль, здравоохранение, финансы и др.)
Такие субъекты обязаны выявлять объекты КИИ, оценивать угрозы и оформлять комплект защитной документации. Внимание уделяется модели угроз, планам реагирования, техническим мерам защиты.
3. При работе с государственными и корпоративными заказчиками
- участие в тендерах, конкурсах, заключение договоров с госструктурами и корпорациями;
- выполнение контрактных требований по ИБ.
4. При внедрении новых процессов
- Изменения в бизнес-процессах. Часто сопровождаются новыми рисками для ИБ. Пакет документов помогает заранее их учесть и формализовать безопасные правила работы.
- Переход на удалённую работу. Требует чёткого регулирования доступа к корпоративным ресурсам, защиты домашних устройств сотрудников, использования VPN, контроля передачи информации вне офиса. Без регламентов возрастают риски утечек, ошибок, вторжений.
- Внедрение облачных решений. Означает передачу информации внешним провайдерам. Необходимо определить, кто отвечает за безопасность данных в облаке, как обеспечивается резервное копирование, шифрование, защита доступа. Всё это должно быть зафиксировано.
- Автоматизация процессов, подключение новых ИТ-систем. Нередко расширяют поверхность атаки. При отсутствии инструкций и контрольных процедур автоматизация может привести к неконтролируемым действиям и уязвимостям.
- Интеграция подрядчиков, сторонних сервисов. С доступом к внутренней информации требует регламентации прав доступа, периодичности проверок, условий хранения, удаления данных. Документация формализует эти аспекты и позволяет управлять взаимодействием с внешними участниками безопасно.
Что будет без наличия ОРД
Отсутствие организационно-распорядительной документации — это отсутствие системы. Без неё невозможно формализовать ответственность, установить правила доступа к данным или определить порядок действий при инцидентах. В итоге всё решается «по ситуации», а значит — медленно, хаотично и с рисками.
Для бизнеса это оборачивается штрафами, блокировкой деятельности, утечками данных, претензиями со стороны клиентов и надзорных органов. Уязвимы операторы персональных данных и субъекты КИИ. Одно не задокументированное бездействие может приравниваться к нарушению закона.
Примеры последствий:
- Штрафы за утечку персональных данных:
- Для юридических лиц — от 3 до 5 млн рублей за утечку данных 1–10 тыс. субъектов;
- До 15 млн рублей за утечку более 100 тыс. субъектов;
- Оборотные штрафы от 1% до 3% годовой выручки, но не менее 20 млн рублей, при повторных нарушениях.
- Ответственность за нарушения в сфере КИИ:
- Штрафы для юридических лиц — от 50 тыс. до 500 тыс. рублей за несоблюдение требований к безопасности значимых объектов КИИ;
- Для должностных лиц — от 10 тыс. до 50 тыс. рублей.
Можно ли разработать ОРД самостоятельно
На первый взгляд может показаться, что разработать документы можно своими силами – найти образцы в интернете, адаптировать шаблоны, подписать приказы и считать, что вопрос закрыт. На практике такой подход создаёт иллюзию защищённости. Формально документы есть, но практической силы они не имеют.
Во-первых, шаблоны не учитывают специфику конкретной компании: бизнес-процессы, ИТ-инфраструктуру, уровень доступа к данным, организационную структуру и используемые технологии. Во-вторых, большинство компаний не обладают достаточной экспертизой в требованиях законов и стандартов.
Отсутствие оформленного ОРД грозит штрафами со стороны Роскомнадзора, а также серьёзными рисками: от утечек данных до блокировки бизнес-процессов при внешней проверке. Это критично для операторов персональных данных и субъектов КИИ — там каждая недоработка может привести к уголовному или административному наказанию.
Обратиться к специалистам — значит не просто «сделать документы», а выстроить надёжный каркас, на который можно опереться в любой ситуации: от внутренней проверки до внешнего аудита. Профессиональная подготовка организационно распорядительных документов позволяет избежать формализма и обеспечить практическую пользу.
Сколько стоит разработка ОРД
Стоимость разработки ОРД рассчитывается в индивидуальном порядке. Цена зависит от масштаба компании, сложности бизнес-процессов, наличия персональных данных или объектов КИИ, а также от требований каждого ФЗ, которым нужно соответствовать.
На цену влияет объём документов, необходимость предпроектного обследования, адаптация под конкретную ИТ-инфраструктуру, размер организации, количество бизнес-процессов, а также сопровождение при проверках.
Для одних это может быть базовый пакет с минимальным набором регламентов. Для других — комплексная система управления ИБ с проработкой всех процессов.
Точная стоимость определяется после консультации с нашим экспертом по ИБ.
Что мы предлагаем?
Компания «Управление информационной безопасности» помогает бизнесу выстраивать защиту информации на уровне документов, процессов, практики. Мы разрабатываем ОРД — от предпроектного анализа до утверждённого пакета документов, соответствующего требованиям законодательства и задачам компании.
Разработка ОРД ИБ — одно из ключевых направлений нашей работы, которое выполняем с учётом действующих стандартов и отраслевой специфики. Также учитываем уровень рисков, а также внутреннюю структуру бизнеса. Не работаем по шаблонам — каждый проект адаптирован под конкретную ситуацию.
Ответим на вопросы и поможем:
- Телефон: 8 800-707-94-97
- Email: sales@uibcom.ru.