В Беларуси компании должна проходить аттестацию системы защиты информации. Многие собственники уверены, что эти требования касаются только банков, госструктур или крупных корпораций. На практике же защищать данные приходится самому разному бизнесу: от медцентров до образовательных проектов и сервисных организаций.
Разобрали самые распространенные мифы, которые ходят вокруг аттестации СЗИ, – рассказываем, как их избежать (и заодно аттестоваться всего за 1 рубль).
Миф №1: “Нас это не касается”
Помните расхожую фразу – “незнание законов не освобождает от ответственности”? Чтобы не получить штраф (а то и вовсе запрет на эксплуатацию своих информационных систем), лучше заранее изучить, какие требования законодательства могут распространяться на вашу организацию.
Большинство современных компаний работают с персональными данными сотрудников и клиентов, используют базы данных, CRM-системы, корпоративные порталы и другие информационные ресурсы. От того, как происходит обработка полученной информации, зависит, нужно ли вам получать аттестат. И да, это касается не только финансового сектора, но и, например, онлайн-магазинов.
Требования по аттестации СЗИ могут коснуться даже онлайн-магазинов. Фото: pexels.com
Миф №2: “Мы точно успеем”
Допустим, вам необходимо пройти проверку, внедрить новую информационную систему или выполнить требования заказчика. И тут внезапно выясняется, что у вас нет аттестата СЗИ. Кажется, что проблемы нет: уж получить бумагу точно успеется. Но проблема в том, что аттестация – это не просто получение бумаги. Она предполагает анализ инфраструктуры, разработку мер защиты, настройку необходимых средств и проведение оценки соответствия. Заниматься всем этим в авральном режиме – значит, рисковать. В том числе деньгами компании.
В идеале – планировать подобные действия заранее и учитывать требования по защите информации еще на этапе проектирования информационной системы. Но если вдруг вы не учли все на старте, есть смысл заняться получением аттестата уже сейчас, до появления острой необходимости.
Миф №3: “Это не может стоить дорого”
На простое “получение бумаги” мало кто закладывает высокий бюджет. А между тем в стоимость аттестации могут входить серверное оборудование, программное обеспечение, средства защиты информации, модернизация инфраструктуры, услуги профильных специалистов и последующее сопровождение системы.
Мало кто включает в бюджет затраты на оборудование – а зря. Фото: pexels.com
Создание защищенной инфраструктуры собственными силами требует серьезных инвестиций – как на старте, так и в дальнейшем. Поэтому есть смысл изучить, что вы готовы отдать на аутсорс, чтобы тем самым сократить первоначальные вложения.
Миф №4: “Справимся сами”
Хороший руководитель умеет делегировать задачи – особенно в вопросах, которые требуют профильной экспертизы. Работоспособность оборудования для защиты данных нужно контролировать, кроме того, кто-то должен следить за актуальностью средств защиты, контролировать соответствие требованиям и заниматься вопросами информационной безопасности. Наиболее оптимальный вариант – разместить собственные информационные системы в аттестованных облачных средах, где значительная часть вопросов безопасности уже решена на стороне провайдера.
Миф №5: “Готовые решения – пустая трата денег”
На старте может казаться, что реализовать проект можно своими силами, не прибегая к готовым решениям от сторонних подрядчиков. Однако на практике такой подход обычно приводит к увеличению расходов – ведь на каждую задачу нужен профильный специалист. В то время как передача контроля за информационными системами и соблюдением требований по безопасности на аутсорс деньги, напротив, экономит. Ведь провайдер уже отладил все необходимые процессы и имеет штат экспертов по теме.
Как это работает? Например, А1 предлагает услуги по проектированию, созданию и аттестации системы защиты информации всего за 1 рубль при подключении услуги “Облако в аттестованном сегменте центра обработки данных”. По сути, вы получаете возможность использовать уже подготовленную инфраструктуру, соответствующую требованиям безопасности, и не тратитесь на построение собственной защищенной среды.
Кроме того, вам гарантируют сопровождение экспертов А1 на всех этапах проекта. Таким образом можно сократить затраты на запуск проекта, ускорить прохождение аттестации и избежать большинства сложностей, с которыми бизнес обычно сталкивается при создании СЗИ собственными силами.
Как показывает практика, лучше не устранять последствия своих же ошибок, а сразу выбирать модель, которая позволяет соблюсти все требования законодательства. Особенно когда на рынке уже есть решения, позволяющие пройти путь от проектирования до аттестации практически без стартовых расходов.
Автор: Анастасия Величко
*На правах рекламы
