На планёрке у заказчика, в тендере и даже в описании вакансии «информационная защита» и «информационная безопасность» звучат как синонимы. Проблема в том, что с такой установкой легко получить не то, что хотели: просили «обеспечить информационную безопасность», а по факту поставили антивирус на 50 хостов и назвали это комплексом. Разложим термины по местам — не ради академической точности, а потому что от этого зависят ТЗ, бюджет и перечень требований, которые вообще можно проверить.
Что написано в документах, если читать буквально
Начнём с нормативки — именно там термины и расходятся.
Защита информации. ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения» описывает её как деятельность, направленную на предотвращение утечки защищаемой информации, а также несанкционированных и непреднамеренных воздействий на неё. Ключевое слово — деятельность. То есть набор мер, процедур и средств, приложенных к конкретному объекту.
В 149-ФЗ «Об информации, информационных технологиях и о защите информации» (ст. 16) логика та же: защита информации — принятие правовых, организационных и технических мер против неправомерного доступа, уничтожения, модифицирования, блокирования, копирования и распространения информации, а также соблюдение конфиденциальности информации ограниченного доступа.
Информационная безопасность. Здесь акцент на состоянии, а не на действиях. ISO/IEC 27000 определяет ИБ как сохранение конфиденциальности, целостности и доступности информации — та самая триада CIA. А Доктрина информационной безопасности РФ (Указ Президента № 646 от 5 декабря 2016 года) говорит об ИБ как о состоянии защищённости национальных интересов в информационной сфере. Чувствуете масштаб? Там уже не только утечки и разграничение доступа, но и информационно-психологические воздействия, устойчивость инфраструктуры, защита критической информационной инфраструктуры.
Итого: защита информации — про меры и активы, информационная безопасность — про состояние защищённости и приемлемый риск. Первое — инструмент, второе — рамка, в которой инструмент вообще имеет смысл.
Три уровня, на которых термины расходятся
- Система или объект. «Защита информации в ИСПДн» — это модель угроз, разграничение доступа, журналирование, СЗИ. Локальная и измеримая история с понятной приёмкой.
- Компания. ИБ включает защиту информации, но плюс к ней — непрерывность бизнеса, управление подрядчиками, осведомлённость сотрудников, реагирование на инциденты, отношения с регулятором и репутацию.
- Государство. Доктрина ИБ — про национальные интересы: суверенитет, устойчивость инфраструктуры, противодействие деструктивному контенту. К защите конкретной базы клиентов это относится лишь косвенно.
Смежные термины, которые путают чаще всего
- Кибербезопасность — про IT/OT-инфраструктуру и атаки на неё. Уже ИБ по охвату, но организационно шире узкой «защиты информации».
- Техническая защита информации (ТЗИ) — подмножество защиты информации: технические каналы утечки, СЗИ, лицензируемая деятельность по линии ФСТЭК.
- Защита персональных данных — частный случай защиты информации ограниченного доступа, но со своим регулированием: 152-ФЗ, приказ ФСТЭК № 21.
- Непрерывность бизнеса и отказоустойчивость — про доступность. В триаду защищаемых свойств входят, но регуляторно живут в других документах и у других людей.
Откуда взялась путаница: перевод и советское наследие
В английском терминов больше, и с нашими они не совпадают один в один: information security — это примерно наша ИБ, cybersecurity — про инфраструктуру и атаки, data protection — про персональные данные в смысле GDPR, то есть ровно то, что у нас называют защитой информации ограниченного доступа. Когда читаете импортную «Information Security Policy», держите в голове: там про CIA и управление рисками, а не про Доктрину.
Второй источник путаницы — история. В СССР и в девяностые «защита информации» формировалась вокруг технических каналов утечки и режима секретности, отсюда лицензии на ТЗИ и целая культура допусков. Термин «информационная безопасность» пришёл позже, вместе с интернетом и бизнес-рисками. Отсюда и разница в людях: инженер по ТЗИ и security-инженер из SOC часто описывают одну задачу совершенно разными словами — и не понимают друг друга на совещании.
Есть и позиция, что различие надуманное: в команде из трёх человек всё равно сваливается в один бэклог, и спорить о формулировках — трата времени. Отчасти справедливо. Но как только дело доходит до договора, лицензии или требований регулятора, разница проявляется мгновенно — там каждое слово имеет юридический вес.
Почему это не филология: пять практических последствий
- ТЗ в тендере. Формулировка «выполнить работы по обеспечению информационной безопасности» непроверяема. Нормальное ТЗ перечисляет объекты защиты, модель угроз, класс защищённости, перечень мер и критерии приёмки. Иначе спор о том, что такое «комплекс», будет решаться в суде.
- Лицензии и сертификаты. ФСТЭК выдаёт лицензии на техническую защиту конфиденциальной информации и на разработку либо производство средств защиты; отдельной «лицензии на ИБ» не существует. Криптография — это уже ФСБ. Смотрите, что именно написано в лицензии, прежде чем верить в «сертифицированный комплекс под ключ».
- Модель угроз. Для ИСПДн — приказ ФСТЭК № 21, для ГИС — № 17, для значимых объектов КИИ — № 239, для финансового сектора — ГОСТ Р 57580.1. Это разные документы с разными перечнями угроз, и шаблон из одного в другой не переносится.
- Метрики. Защиту информации измеряют инцидентами несанкционированного доступа и утечками. ИБ — ещё и доступностью сервисов, временем обнаружения и реагирования, результатами фишинговых учений. Если вы обещаете руководству ИБ, а показываете только антивирусную статистику, вас поймают на первом же вопросе «сколько нам стоил простой».
- Бюджет на людей. Обучение сотрудников, регламент реагирования, соглашение о конфиденциальности с подрядчиком — это ИБ. К защите информации в узком смысле их не отнести, поэтому они регулярно выпадают из бюджета ТЗИ-проектов.
Пример, на котором разница видна
Компания теряет базу клиентов через дыру в самописном API. С точки зрения защиты информации провалены меры: не было валидации входных данных, не настроен контроль исходящих соединений, персональные данные лежали в базе в открытом виде. Всё это чинится технически и вполне измеримо.
Но инцидент в терминах ИБ шире. Нужно уведомить Роскомнадзор: с 1 сентября 2022 года уведомление об утечке персональных данных обязательно — в течение 24 часов с момента обнаружения, а в течение 72 часов передаются результаты внутреннего расследования (поправки, внесённые 266-ФЗ). Дальше — оценка репутационного ущерба, разговор с клиентами, пересмотр модели угроз, коммуникация и, возможно, претензии. Код починили за два дня, последствия разгребали три месяца. Вот это и есть разница между «защитой информации» и «ИБ» на практике.
Как не путаться в работе
- Разделяйте вопросы: «что защищаем и от чего» — это защита информации; «какое состояние считаем безопасным и кому это важно» — это ИБ.
- В ТЗ и договоре пишите проверяемые пункты: объект, класс защищённости, модель угроз, перечень мер, метрики.
- Модель угроз стройте от бизнес-рисков, а регуляторную накладывайте сверху, а не наоборот.
- Не путайте лицензию, сертификат и реальную защищённость — это три разные сущности, и совпадают они далеко не всегда.
- Держите две отчётности: техническую (инциденты, патчи, доступы) и управленческую (риски, простои, уведомления регулятору).
- Называйте роли честно: инженер по ТЗИ и security-инженер — не всегда взаимозаменяемы, даже если в вакансии написано «ИБ».
Вывод
Защита информации отвечает на вопрос: какие меры приложить к информации, чтобы она не утекла и не испортилась. Информационная безопасность — на вопрос: в каком состоянии должны находиться система, данные и бизнес, чтобы риски оставались приемлемыми. Вторая рамка шире и включает первую как составную часть.
Для практики хватает одного правила. Прежде чем согласовывать ТЗ или отвечать на вопрос «а у нас всё по ИБ?», уточните, о чём именно речь — о перечне мер или о состоянии и рисках. Этот уточняющий вопрос экономит больше денег, чем половина технических советов в интернете.
