Спросите у десяти айтишников, чем отличается защита информации от информационной безопасности, и получите десять разных ответов — от «это одно и то же» до пространных рассуждений про Доктрину. Формально это действительно не синонимы, и разница вылезает не только в учебниках: она видна в лицензиях ФСТЭК, в текстах договоров, в должностных инструкциях и в том, как вы отчитываетесь перед директором. Ниже — версия без академической воды: что написано в нормативке, где проходит граница и почему её стоит держать в голове.
Что реально написано в документах
ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения» описывает защиту информации как деятельность, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на неё. Ключевое слово — деятельность. Там же отдельно фигурирует «безопасность информации» — уже как состояние защищённости. Формулировки передаю близко к тексту, но если вы цитируете термин в приказе или договоре, открывайте первоисточник: у редакций и стандартов бывают нюансы, а ссылка на статью в блоге комиссию не убедит.
Доктрина информационной безопасности РФ (утверждена Указом Президента в декабре 2016 года) идёт дальше и говорит об ИБ как о состоянии защищённости личности, общества и государства от внутренних и внешних информационных угроз. Обратите внимание на объект: не только информация, но и люди, и государство. Это уже другой масштаб ответственности.
В 149-ФЗ «Об информации, информационных технологиях и о защите информации» есть отдельная статья 16 — «Защита информации», и это снова про комплекс правовых, организационных и технических мер. В 152-ФЗ используется свой термин — «безопасность персональных данных» (статья 19), и он тоже про меры. А вот определения «информационная безопасность» в 149-ФЗ нет: оно живёт в доктринальных документах и стандартах, а не в законе об информации.
Почему так вышло исторически? «Защита информации» — наследство отечественной школы: ПЭМИН, защита от утечки по техническим каналам, режим, аттестация объектов. «Информационная безопасность» пришла в практику вместе с ISO 27001 и риск-менеджментом, где в центре не носитель и не канал, а актив и вероятность ущерба. Два разных корня — два разных словаря. Отсюда и путаница: люди говорят об одном и том же процессе, но из разных систем координат.
Процесс против состояния: аналогия с замком
Замок на двери — это защита: конкретная деятельность, которую можно купить, установить и предъявить комиссии. А насколько вы уверены, что в квартиру не залезут, — это уже состояние, и зависит оно не только от замка: от соседей, от вашего поведения в сети, от реакции на шум ночью. Замок купить можно. Безопасность — только поддерживать.
Отсюда практическое следствие. Защита информации отвечает на вопрос «что мы сделали». Информационная безопасность — на вопрос «насколько мы в порядке и что нас ждёт». Первое измеряется списком выполненных мер и актами проверки, второе — оценкой риска и деньгами.
Пять различий, которые видны на практике
Если убрать теорию, остаётся пять пунктов, по которым термины расходятся без вариантов.
- Характер. Защита информации — деятельность и процесс. ИБ — состояние и характеристика системы.
- Объект. В узком смысле защищают информацию: носители, каналы, данные. В Доктрине объект шире — личность, общество, государство, включая информационно-психологическое воздействие, фейки и влияние на поведение людей.
- Рамки. Защита информации чаще про конфиденциальность и про требования регулятора. ИБ — про триаду «конфиденциальность — целостность — доступность» и про баланс между защитой и удобством работы.
- Чем измеряется. Защита информации — соответствием: модель угроз, аттестация, проверки, отсутствие замечаний. ИБ — риском: вероятность на ущерб, время до обнаружения, доля покрытых активов.
- Документы. С одной стороны — система защиты информации (СЗИ), модель угроз, акты классификации и технические паспорта. С другой — система менеджмента ИБ по ГОСТ Р ИСО/МЭК 27001, реестр рисков, метрики и планы лечения рисков.
Где путаница начинает стоить денег
Терминология — не предмет для спора на кухне. Вот три сценария, где неверное слово бьёт по бюджету и по срокам.
Лицензии и договоры
ФСТЭК лицензирует деятельность по технической защите конфиденциальной информации. Если в договоре вы обещаете «услуги по информационной безопасности» в широком смысле, а по факту выполняете работы, подлежащие лицензированию, вопросы появятся не у заказчика, а у регулятора. Формулировка в шапке договора определяет, что вы имеете право делать и чем отвечаете.
Должности и KPI
«Специалист по защите информации» и «аналитик ИБ» в разных компаниях означают разное, и это ломает найм. Первый часто сидит на регуляторике, аттестации и согласовании документов, второй — на архитектуре, рисках и реагировании на инциденты. Пишите в вакансии задачи, а не магическое слово: иначе получите человека, который три года согласовывал паспорт помещения, на позицию, где нужен опыт в DevSecOps.
Пресейл вендора
Вам продают «платформу ИБ» с красивым дашбордом, а в вашей модели угроз двенадцать пунктов, из которых продукт закрывает три. Состояние защищённости после покупки не наступает: инструмент — часть деятельности, а не её результат. Покупка — это мера, а не безопасность.
Как это выглядит в структуре компании
В крупных организациях термины закреплены организационно: отдел защиты информации обычно живёт рядом с режимом, кадрами и службой безопасности, а департамент ИБ — рядом с ИТ или подчиняется напрямую директору. Первый отвечает за соответствие требованиям и документы, второй — за инциденты и риски. На практике они регулярно спорят: «почему не закрыли замечание по аттестации» против «почему вы не дали нам бюджет на сегментацию». Это нормально, пока у обоих есть общая модель угроз.
В малом бизнесе эту роль играет один человек или подрядчик, и здесь смешение терминов почти безвредно. Вред начинается, когда компания подписывает договор с заказчиком, у которого в требованиях прямо написано «лицензиат ФСТЭК».
Смежные термины, с которыми путаницы ещё больше
- Кибербезопасность — про киберпространство, атаки и атакующих. Пересекается с ИБ, но не равно ей: пожар в серверной не кибератака, а доступность данных всё равно страдает.
- Безопасность информации — по ГОСТу состояние защищённости информации; часто используется как синоним ИБ в узком, техническом смысле.
- Защита персональных данных — частный случай защиты информации с отдельным регулятором (Роскомнадзор) и отдельным набором документов, уведомлений и сроков.
- Privacy — про права субъекта данных, а не про ваши активы. С 152-ФЗ цели иногда совпадают, но логика другая: там защищают человека, а не инфраструктуру.
Что с этим делать: короткий чек-лист
- В приказах, договорах и лицензиях используйте термин из нормативки, а не привычный сленг.
- Разделите зоны ответственности: соответствие требованиям (защита информации) и управление рисками (ИБ) — разные бюджеты, разные метрики, разные люди.
- В модели угроз не ограничивайтесь утечкой: целостность, доступность и воздействие на людей — тоже ваши угрозы.
- У вендора спрашивайте прямо: какую конкретную меру из вашей модели угроз закрывает продукт и как вы это проверите на своём стенде.
- Отчитывайтесь метриками состояния, а не списком купленного: покрытие MFA, среднее время до обнаружения, доля систем с актуальными патчами.
Вывод
Разница между защитой информации и информационной безопасностью — не спор о словах ради педантизма. Это разница между «мы выполнили мероприятия» и «нам не страшно». Первое проверяет инспектор, второе — реальность.
При этом не превращайте терминологию в культ. Если подрядчик называет всё подряд «ИБ», но приносит рабочую модель угроз, честно показывает слабые места и закрывает ваши риски — это полезнее, чем идеально соответствующий ГОСТу пакет документов, который лежит в шкафу и никому не мешает. Слова важны ровно настолько, насколько они меняют ваши решения. Источники для тех, кто пойдёт проверять: 149-ФЗ «Об информации…», 152-ФЗ «О персональных данных», Доктрина информационной безопасности РФ и сайт ФСТЭК России.
