Почти в каждом втором техническом задании, вакансии или презентации вендора «защита информации» и «информационная безопасность» стоят рядом как синонимы. Формально это не так — и путаница иногда приводит к реальным проблемам: заказчику поставляют средства защиты от утечек, хотя он хотел обеспечить непрерывность процессов, или наоборот — строят «комплексную ИБ», забывая про требования регулятора к конкретному виду защищаемой информации. Давайте разложим термины по полочкам — по ГОСТам и по здравому смыслу.
Коротко: одно — часть другого
Если сжать до одной фразы: защита информации — это деятельность, а информационная безопасность — это состояние и вся система, которая к нему приводит. Первое понятие уже, второе шире. Дальше — детали, потому что именно в них всё становится интересным.
Что такое защита информации
Официальное определение даёт ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения»: это деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на неё.
Разберём по словам, потому что здесь важен каждый:
- деятельность — то есть процесс, а не результат: политики, регламенты, средства, люди;
- защищаемая информация — та, для которой заранее определён владелец и установлен режим (тайна, конфиденциальность, персональные данные);
- утечка — информация ушла к тому, кто не должен был её получить;
- несанкционированное воздействие — намеренное: изменение, уничтожение, блокирование, копирование;
- непреднамеренное — случайное: ошибка администратора, сбой, потерянный ноутбук.
Ключевое: защита информации всегда работает с конкретным объектом, у которого есть режим. Гостайна, коммерческая тайна, персональные данные, критическая информационная инфраструктура — под каждый режим есть свой регулятор (ФСБ, ФСТЭК, Роскомнадзор), свои требования и своя отчётность. Это очень нормированная область: без модели угроз, перечня защищаемой информации и доказательств внедрения мер вы не докажете ни проверяющему, ни суду, что что-то защитили.
Что такое информационная безопасность
Тот же ГОСТ определяет безопасность информации как состояние защищённости информации, при котором обеспечены её конфиденциальность, доступность и целостность.
Модель CIA — confidentiality, integrity, availability — это и есть ядро ИБ. Конфиденциальность отвечает на вопрос «кто читает», целостность — «кто меняет», доступность — «кто и когда может пользоваться». Уберите любой из трёх углов — и конструкция рассыпается.
Но на практике под ИБ (information security, InfoSec) понимают шире: не только защищённость самих данных, но и устойчивость всей системы, которая их обрабатывает. Туда попадают:
- физическая защита — СКУД, охрана, датчики протечки и пожаротушения в серверной;
- сетевая — сегментация, межсетевые экраны, IDS/IPS, защита периметра;
- прикладная — безопасная разработка, OWASP Top 10, управление зависимостями и supply chain;
- организационная — обучение сотрудников, регламенты, реагирование на инциденты;
- непрерывность — резервные копии, планы восстановления, DRP/BCP.
Именно поэтому для ИБ есть ISO/IEC 27001 и серия 27000 — это про систему управления (СУИБ): риски, процессы, постоянное улучшение. Сравните масштаб с «предотвращением утечки» из определения выше.
Главные отличия — по пунктам
1. Объект защиты
Защита информации работает с самой информацией как носителем ценности и с её режимом. ИБ — с информацией плюс инфраструктура, приложения, люди и процессы.
2. Источник требований
Защита информации почти всегда регуляторная: есть закон, приказ ФСТЭК, модель нарушителя, аттестация. ИБ шире — требования рождаются из бизнес-риска, ожиданий заказчиков, договоров и отраслевых стандартов.
3. Метрика успеха
Для защиты информации — отсутствие утечек и соответствие требованиям (прошли проверку, получили аттестат). Для ИБ — снижение риска и устойчивость: сколько инцидентов, сколько времени на восстановление, сколько критичных систем мы вообще видим и контролируем.
4. Кто отвечает
Защитой информации обычно занимается служба безопасности с оглядкой на регулятора. ИБ — совместная зона CISO, DevOps, разработки и бизнеса.
Пример на пальцах: утечка и DDoS
Сотрудник уволился и унёс базу клиентов на флешке. Это прежде всего утечка защищаемой информации: нарушен режим конфиденциальности персональных данных, в дело вступает 152-ФЗ, а безопасники разбираются с пропускным режимом и правами доступа. Инструменты здесь — регламенты, NDA, DLP, контроль доступа, журналирование.
А теперь сервер лёг под DDoS-атакой. Утечки нет, режим конфиденциальности не нарушен — но бизнес стоит, и клиенты не могут оплатить заказ. Формально это уже не «защита информации» в узком смысле, а вопрос доступности, то есть классическая задача ИБ: резервирование каналов, анти-DDoS, мониторинг, планы восстановления.
Обратите внимание: во втором случае искать «виноватого по ГОСТу» бессмысленно, а в первом — отмахиваться «зато у нас есть бэкапы» тоже не поможет. Разные задачи, разные инструменты.
Откуда взялась путаница
Частично лингвистика: английские information protection и information security на русский переводят почти одинаково. Частично история: в 90-е и нулевые под «ИБ» в России часто понимали именно защиту гостайны и техническую защиту информации (ТЗИ). Плюс в нормативке термины иногда пересекаются: в одних документах ФСТЭК речь идёт о «безопасности информации», в других — о «защите информации».
Добавьте маркетинг: вендоры продают «решения ИБ», вкладывая туда что угодно — от антивируса до DLP. Это создаёт ощущение, что термины равнозначны.
А где тут кибербезопасность?
Третий термин, который путают с первыми двумя. Кибербезопасность (cybersecurity) — про защиту от атак через киберпространство: сети, системы, приложения, а также людей через социальную инженерию. Она одновременно уже и про угрозы, и про технологии.
Проще всего разводить термины вопросами: «человек?» — это ИБ. «Закон и режим?» — защита информации. «Атака по сети?» — кибербезопасность.
Что это значит для вас
Если вы разрабатываете, деплоите и поддерживаете системы, разница перестаёт быть академической.
- Когда заказчик по 152-ФЗ требует «защиту информации», он ждёт конкретных вещей: категорирования ИСПДн, модели угроз, внедрённых СЗИ, при необходимости — аттестации. Аргумент «у нас всё шифруется» здесь не работает.
- Когда инцидент уже случился, вопрос не в том, соответствуем ли мы ГОСТ, а в том, работает ли система ИБ: заметили ли вторжение, есть ли актуальная резервная копия, за сколько часов восстановимся.
- Первое помогает пройти проверку, второе — не потерять данные. Одно без другого не работает: аттестат не спасёт от шифровальщика, а модный EDR не закроет требования регулятора.
Вывод и короткий чек-лист
- Определите, о чём речь: о защите конкретной информации в режиме (гостайна, ПДн, коммерческая тайна) или о безопасности всей системы целиком — от сетей до людей.
- Составьте перечень защищаемой информации и назначьте её владельцев.
- Отдельно выпишите требования регулятора — что именно и в какой форме от вас ждут.
- Отдельно оцените риски бизнеса: что хуже — утечка, простой на сутки или испорченные данные?
- Стройте ИБ так, чтобы она покрывала оба контура, и не подменяйте одно другим.
Коротко ещё раз: защита информации — часть информационной безопасности, причём самая нормированная законом. ИБ шире: она включает и её, и все остальные слои от физики до процессов и людей. Нет «более правильного» термина — есть задача, под которую вы подбираете инструмент. Как только вы разделяете это в голове, требования ФСТЭК, СУИБ и ваши собственные риски перестают конфликтовать друг с другом.
