Политика информационной безопасности: структура и образец 2026 в Самаре

Руководитель или ответственный за информационную безопасность в компании рано или поздно сталкивается с задачей: написать политику ИБ. Интернет предлагает десятки образцов, но большинство из них — переводы зарубежных шаблонов, не учитывающие российские правовые реалии. В результате документ либо остаётся формальностью, либо не выдерживает проверки.

В этой статье разберём, когда политика информационной безопасности обязательна, из каких разделов она состоит, чем отличается от политики обработки персональных данных и как правильно её утвердить. Материал будет полезен руководителям, юристам, кадровикам и специалистам по ИБ в Самаре.

Обязательна ли политика ИБ

Закон не содержит единого требования «разработать политику информационной безопасности» для всех организаций. Обязательность зависит от типа организации и обрабатываемой информации. Разберём основные случаи.

Коммерческая компания без признаков ГИС, КИИ и не обрабатывающая ПДн. Формально политика ИБ не обязательна. Ни один нормативный правовой акт не требует её наличия. Однако на практике она помогает:

• установить единые правила для сотрудников и снизить риск утечек;
• при дисциплинарных взысканиях — сослаться на конкретный пункт внутреннего документа;
• при проверках контрагентов или участии в тендерах продемонстрировать зрелость процессов.

Оператор персональных данных. Если компания обрабатывает ПДн (даже только работников), обязательна политика обработки персональных данных (ч. 2 ст. 18.1 152-ФЗ). Это отдельный документ, который должен быть опубликован. Политика ИБ может дополнять её, но не заменяет.

Государственные и муниципальные учреждения, ГИС. С 01.03.2026 действует приказ ФСТЭК № 117, который требует утвердить политику защиты информации (точный термин — не «политика безопасности»). Она обязательна для всех ИС госучреждений, включая школы, больницы, администрации.

Значимые объекты КИИ. Для организаций, которым присвоена категория значимости, приказ ФСТЭК № 235 требует утвердить организационно-распорядительные документы, включая политику безопасности значимого объекта.

Банки и финансовые организации. Требования к политике ИБ установлены через ГОСТ Р 57580.1 и положения ЦБ (например, 851-П для кредитных организаций). Для них политика ИБ — часть системы защиты информации.

Таким образом, для большинства коммерческих компаний в Самаре политика ИБ — добровольный, но крайне полезный инструмент. Отсутствие прямого штрафа не означает, что документом можно пренебречь.

Структура политики информационной безопасности

Универсального обязательного перечня разделов не существует. Для внутренней политики ИБ коммерческой организации можно ориентироваться на следующую структуру, проверенную практикой.

Конкретный набор разделов адаптируется под масштаб компании. Не нужно включать меры, которые вы не сможете выполнить — это создаёт риск формального подхода и проблем при проверке.

Чем отличается от политики обработки ПДн

Это два разных документа, и их часто путают. Ключевые отличия:

• Правовое основание. Политика обработки ПДн прямо названа в п. 2 ч. 1 ст. 18.1 152-ФЗ. Политика ИБ не упоминается в 152-ФЗ; её обязательность вытекает из других актов (приказ ФСТЭК № 117 для ГИС, приказ № 235 для КИИ) или из внутренних решений.
• Сфера действия. Политика ПДн описывает только обработку персональных данных: цели, категории субъектов, сроки, порядок уничтожения. Политика ИБ охватывает любую информацию, включая коммерческую тайну, служебные данные, инфраструктуру.
• Публичность. Политику ПДн любой оператор обязан опубликовать или иным способом обеспечить неограниченный доступ (ч. 2 ст. 18.1 152-ФЗ). Если сбор ПДн идёт через сайт — политика размещается на сайте. Политика ИБ — внутренний документ, публикация не требуется.
• Ответственность. За неопубликованную политику ПДн предусмотрен штраф по ч. 3 ст. 13.11 КоАП: для юридических лиц от 30 000 до 60 000 ₽. Отдельного штрафа за отсутствие политики ИБ в КоАП нет.

На практике мы рекомендуем готовить оба документа: политику ПДн — как обязательную, политику ИБ — как внутреннюю основу. Это позволяет закрыть требования 152-ФЗ и выстроить порядок в компании.

Как утвердить и ознакомить

Процедура утверждения политики ИБ несложная, но требует внимания к деталям:

Важно: организационно-распорядительные документы не согласуются с ФСТЭК или РКН. Их утверждает руководитель организации. Исключение — модель угроз и техническое задание для государственных информационных систем, которые требуют согласования с ФСТЭК/ФСБ.

Типовые ошибки

• ✗ Подменять политику ИБ политикой ПДн. Это разные документы с разным статусом. Как правильно: политику ПДн публиковать на сайте, политику ИБ утверждать как внутренний документ.
• ✗ Искать в КоАП штраф за отсутствие политики ИБ. Такого состава нет. Как правильно: за неопубликованную политику ПДн — штраф 30–60 тыс. ₽ для юрлиц (ч. 3 ст. 13.11 КоАП), за политику ИБ санкций не предусмотрено, но её отсутствие повышает риски.
• ✗ Скачать шаблон и не адаптировать под процессы компании. Документ не будет работать и останется формальностью. Как правильно: отразить реальные системы, роли, процедуры; при необходимости привлечь специалиста.
• ✗ Утвердить политику, но не ознакомить сотрудников. При инциденте нельзя будет применить дисциплинарное взыскание. Как правильно: собрать подписи в листе ознакомления.
• ✗ Пытаться согласовать политику с госорганом. Это вводит в заблуждение и затягивает процесс. Как правильно: политику утверждает руководитель; согласованию подлежат только отдельные документы для ГИС (модель угроз, ТЗ).

Чем поможет МелданаСБ

Мы готовим правовой и организационный пакет документов для компаний в Самаре дистанционно. В состав входят:

• политика информационной безопасности и правила использования ИТ для коммерческой компании;
• политика обработки персональных данных (для сайта и внутренняя), положение об обработке ПДн, приказ об ответственном, формы согласий, поручения, регламенты;
• режим коммерческой тайны: положение, перечень сведений, приказы, обязательства, NDA;
• документы по удалённой работе и подрядчикам: регламент удалённого доступа, NDA, поручения на обработку ПДн.

Техническую часть по защите информационных систем (определение уровня защищённости, модель угроз, система защиты) мы сопровождаем методически или выполняем вместе с партнёром-лицензиатом ФСТЭК. Для ГИС, значимых объектов КИИ и банков работы по ИБ выполняет партнёр-лицензиат, а мы помогаем с правовой частью.

Причина доступной цены — отработанные типовые решения и дистанционный формат: вы заполняете опросный лист, при необходимости проводим созвон, после чего документы готовит специалист и передаёт вам на утверждение.

Частые вопросы

Если вам нужен готовый комплект документов, включающий политику ИБ и обязательные документы по персональным данным, обратитесь к нам за разработкой документов по информационной безопасности. Также вы можете отдельно заказать политику обработки персональных данных. Для самостоятельной подготовки ознакомьтесь с нормативной базой по теме.