Грифы конфиденциальности / секретности - недостающее звено в управлении информационной безопасностью, часть 2

(Окончание, начало см. https://rusrim.blogspot.com/2026/10/1_01189602972.html )

Использование облачных вычислений делает классификацию по степени конфиденциальности и грифы ещё более важными

Современные рабочие места в значительной степени полагаются на облачные платформы для совместной работы, такие как Microsoft 365, SharePoint Online, OneDrive, Google Workspace, Dropbox, Box, AWS и другие облачные сервисы.

Информация теперь беспрепятственно перемещается между ноутбуками, смартфонами, планшетами, рабочими пространствами для совместной работы и приложениями на базе искусственного интеллекта. В отсутствие единой системы классификации организации теряют возможность видеть и контролировать то, как обрабатывается информация.

Использование грифов позволяют облачным платформам автоматизировать такие меры и средства контроля и управления, как:

• грифы конфиденциальности;
  
  
• шифрование;
  
  
• ограничения доступа;
  
  
• водяные знаки;
  
  
• предотвращение утраты данных (Data Loss Prevention, DLP);
  
  
• политики установления и отслеживания сроков хранения;
  
  
• контроль обмена данными с внешними сторонами; и
  
  
• управление правами доступа.

Вместо того чтобы при принятии связанных с безопасностью решений полагаться исключительно на пользователей, организации могут встроить обработку грифов в автоматизированные процессы управления, что снижает количество человеческих ошибок и повышает степень соответствия законодательно-нормативным требованиям.

Электронная почта остаётся одним из самых больших источников риска

Несмотря на достижения в области кибербезопасности, электронная почта по-прежнему остается одним из тех мест, откуда чаще всего идут утечки информации.

Конфиденциальные документы регулярно пересылаются за пределы организации, загружаются в личные облачные хранилища и передаются другим сторонам без использования надлежащих мер защиты.

Надежная программа установления и использования грифов обеспечивает наследование, электронными письмами и их вложениями соответствующей классификации по степени конфиденциальности (секретности), давая возможность организациям автоматически применять шифрование, предотвращать несанкционированную пересылку, ограничивать скачивание, а также предупреждать пользователей до того, как конфиденциальная информация покинет организацию.

Использование грифов трансформирует усилия по обеспечению безопасности электронной почты из ретроспективно проводимого мониторинга в опережающее, профилактическое управление информацией.

Внедрение искусственного интеллекта повышает ставки

Быстрое внедрение генеративного ИИ создает новые проблемы для стратегического и оперативного управления информацией.

Сотрудники могут непреднамеренно раскрыть конфиденциальную или регламентируемую информацию, отправляя свои подсказки (запросы) в общедоступные сервисы ИИ, - не понимая при этом, как эта информация может быть обработана или сохранена.

Использование грифов обеспечивает практический механизм управления для ИИ посредством определения того, какие категории информации могут:

• вводиться в системы ИИ;
  
  
• храниться в одобренных внутренних ИИ-средах;
  
  
• требовать анонимизации перед использованием; или
  
  
• полностью запрещаться для обработки с помощью ИИ.

По мере того, как организации разрабатывают и внедряют концепции ответственного использованию ИИ, классификация информации станет одним из основных механизмов контроля и управления, поддерживающих безопасное и этичное внедрение ИИ.

Обеспечение информационной безопасности - ответственность каждого

Грифы эффективны только тогда, когда их использование поддерживается культурой ответственности за информацию.

Сотрудники должны понимать не только то, как классифицировать информацию, но и почему классификация важна. Регулярно проводимые программы повышения осведомленности должны закреплять надлежащие методы обработки информации - в системах электронной почты, на платформах для совместной работы, в облачных хранилищах, на мобильных устройствах и в бумажных документах.

Если сотрудники понимают деловую ценность информации и последствия ненадлежащего обращения с ней, то грифы становятся повседневно используемым инструментом принятия решений, а не просто бюрократическим упражнением.

Создание зрелой программы информационной безопасности

Грифы не должны существовать изолированно; они должны быть частью интегрированной программы управления информационной безопасностью, в рамках которой обеспечивается согласованность деятельности в сферах информационной безопасности, управления документами, защиты персональных данных, кибербезопасности, управление рисками и обеспечение непрерывности деловой деятельности.

При поддержке признанных в мировом масштабе стандартов, таких как ISO/IEC 27001, ISO/IEC 27002, ISO 15489, ISO 30301 и ISO 31000, грифы становится стратегическим механизмом управления, позволяющим организациям защищать свой самый ценный актив - информацию.

Технологические решения сами по себе не могут определить, какая информация важна. Это делают люди и система управления.

Грифы представляют собой «общий язык», связывающий управление информацией с кибербезопасностью, который позволяет организациям применять правильные меры контроля и управления, к правильной информации и в нужное время.

В современной цифровой среде использование грифов уже не является опциональным – они становятся ключевым по важности элементом.

А как Ваша организация интегрировала грифы конфиденциальности (секретности) в свою программу управления информационной безопасностью? Определяют ли грифы то, как и какие меры безопасности применяются - или же это просто пометки на документах? Я буду рад узнать Ваши мысли и познакомиться с Вашим опытом.

Эмерсон Брайан (Emerson Bryan)

Источник: LinkedIn
https://www.linkedin.com/pulse/protective-markings-missing-link-information-security-emerson-fghbe/ 

Грифы конфиденциальности / секретности - недостающее звено в управлении информационной безопасностью, часть 1

Данный пост специалиста по управлению информацией и знаниями из Барбадоса Эмерсона Брайана (Emerson Bryan - на фото) был опубликован 19 августа 2026 года в социальной сети LinkedIn.

По мере того, как организации ускоряют своё движение по пути цифровой трансформации, огромные инвестиции вкладываются в технологии кибербезопасности - межсетевые экраны, защиту конечных точек, многофакторную аутентификацию, архитектуры нулевого доверия и облачные платформы безопасности. Однако в то же время многие организации продолжают упускать из виду один из самых фундаментальных элементов эффективной программы менеджмента информационной безопасности – грифы конфиденциальности / секретности (protective markings).

Технологические меры могут защитить информацию только в том случае, если известно, что именно нуждается в защите. Грифы как раз и предоставляют эти сведения.

Грифы классифицируют информацию в соответствии со степенью её конфиденциальности (секретности) и потенциальными последствиями её несанкционированного раскрытия, изменения или уничтожения. Они способствуют применению организациями соразмерных организационных, физических и технических меры контроля и управления на протяжении всего жизненного цикла информации - от создания до уничтожения.

По сути, грифы дают ответ на простой, но критически важный вопрос: «Как следует обращаться с этой информацией?»

Не просто отметки

Грифы нередко ошибочно воспринимают просто как проставленные пометки «Конфиденциально» или «Секретно». На самом же деле они формирует концептуальную структуру стратегического управления, которая влияет на каждый аспект информационной безопасности.

Эффективный режим использования грифов определяет:

• кто может получить доступ к информации;
  
  
• где информация может храниться;
  
  
• требуется ли шифрование;
  
  
• каким образом может осуществляться передача информации;
  
  
• можно ли информацию передавать внешним сторонам;
  
  
• как долго информация должна храниться; и
  
  
• каким образом следует проводить безопасное уничтожение информации.

Эти требования в равной степени применимы к бумажным документам, электронной почте, платформам для совместной работы, облачным хранилищам, базам данных, мобильным устройствам, приложениям искусственного интеллекта и электронным архивам.

В отсутствие последовательного установления грифов, организации часто используют либо чрезмерные меры контроля, которые снижают производительность, либо недостаточные меры, которые подвергают конфиденциальную информацию ненужным рискам.

Фундамент обеспечения информационной безопасности на базе стандартов ИСО

Важность классификации информации по степени секретности / конфиденциальности признается всеми соответствующими стандарта ми Международной организации по стандартизации (ИСО).

Стандарт ISO/IEC 27001:2022 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни – Система менеджмента информационной безопасности – Требования» (Information security, cybersecurity and privacy protection - Information security management systems – Requirements, см. https://www.iso.org/standard/82875.html и https://www.iso.org/obp/ui/#iso:std:iso-iec:27001:ed-3:v1:en , а также мой пост https://rusrim.blogspot.com/2022/11/isoiec-270012022.html . В России стандарт адаптирован как ГОСТ Р ИСО/МЭК 27001-2021 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования», см. https://protect.gost.ru/gost/details/5e4acc56-cecf-41d4-a64f-95b3bac0d54f  - Н.Х.). 

Это международный стандарт для систем менеджмента информационной безопасности (СМИБ), который требует от организаций устанавливать меры контроля и управления информационной безопасности на основе оценки рисков. Грифы позволяют принимать решения на основе оценки рисков посредством указания уровня защиты, необходимого для каждого информационного актива.

Стандарт ISO/IEC 27002:2022 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Меры и средства обеспечения информационной безопасности» (Information security, cybersecurity and privacy protection - Information security controls, см. https://www.iso.org/standard/75652.html и https://www.iso.org/obp/ui/en/#!iso:std:75652:en , а также мой пост http://rusrim.blogspot.com/2023/06/isoiec-270022022.html . В России стандарт адаптирован как ГОСТ Р ИСО/МЭК 27002-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Свод норм и правил применения мер обеспечения информационной безопасности», см. https://protect.gost.ru/gost/details/be00167c-6e26-4042-ac31-36be8a9d6b2e , на основе редакции международного стандарта ISO/IEC 27002, выпущенной в 2013 году – Н.Х.).

Данный стандарт, содержащий рекомендации по внедрению мер безопасности, подчеркивает важность классификации информации, установления грифов, процедур обработки и соответствующих мер управления доступом для обеспечения того, чтобы меры защиты информации были соизмеримы с ее ценностью и конфиденциальностью.

Грифы также дополняют меры, предусмотренные стандартом ISO 31000:2018 «Менеджмент риска - Руководство» (Risk management – Guidelines, https://www.iso.org/standard/65694.html , см. также мой пост о нём https://rusrim.blogspot.com/2018/02/iso-310002018.html . В России стандарт адаптирован как ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Принципы и руководство», см. https://protect.gost.ru/gost/details/6a383140-61f9-458c-8663-e919a5782434 и мой пост https://rusrim.blogspot.com/2020/03/31000-2019.html - Н.Х.) – поддерживая структурированный подход к оценке влияния компрометации информации на деловую деятельность и к выбору соразмерных мер.

С точки зрения управления документами и информацией, стандарт ISO 15489-1:2016 «Информация и документация - Управление документами - Часть 1: Понятия и принципы» (Information and documentation - Records management - Part 1: Concepts and principles, см. https://www.iso.org/standard/62542.html и https://www.iso.org/obp/ui/en/#!iso:std:62542:en ; данный стандарт был адаптирован в России как ГОСТ Р ИСО 15489-1-2019 (ISO 15489-1:2016) «Система стандартов по информации, библиотечному и издательскому делу. Информация и документация. Управление документами. Часть 1. Понятия и принципы», см. https://protect.gost.ru/gost/details/2497916a-b91d-4248-a025-f898920fa001 - Н.Х.). - подчеркивает необходимость захвата документов вместе с достаточным количеством метаданных с целью обеспечения аутентичности, надежности, целостности, пригодности к использованию и контролируемого доступа. Грифы являются важным компонентом этих метаданных, обеспечивая надлежащую защиту документов на протяжении всего их жизненного цикла.

Организации, внедряющие стандарт ISO 30301:2019 «Информация и документация - Системы менеджмента документов - Требования» (Information and documentation - Management systems for records – Requirements, см. https://www.iso.org/standard/74292.html и https://www.iso.org/obp/ui/en/#!iso:std:74292:en , а также мой пост https://rusrim.blogspot.com/2019/02/iso-30301.html . Стандарт адаптирован в России дважды - как ГОСТ Р 7.0.101-2018 / ИСО 30301:2011 «Система стандартов по информации, библиотечному и издательскому делу. Информация и документация. Системы управления документами. Требования». см. https://protect.gost.ru/gost/details/a2fe605e-7c73-428b-b519-4fa57f633907 (мой пост о нём: https://rusrim.blogspot.com/2018/03/iso-30301.html ); и как ГОСТ Р ИСО 30301-2014 «Информация и документация. Системы менеджмента записей. Требования», см. https://protect.gost.ru/gost/details/326cfa1c-9701-4bf2-bb00-4d01e65f38d3 и мой пост https://rusrim.blogspot.com/2015/03/blog-post_98.html - Н.Х.)  - аналогичным образом выигрывают от интеграции грифов в управление документами, обеспечивая встраивание защиты информации в процессы организации, вместо того, чтобы рассматривать её как отдельное направление деятельности по обеспечению безопасности.

Мой комментарий: С моей точки зрения, автор незаслуженно забыл ещё один международный стандарт в двух частях:

• стандарт ISO 4669-1:2023 «Управление контентом - Установление грифов конфиденциальности информации, её маркировка и обработка – Часть 1: Требования» (Document management — Information classification, marking and handling - Part 1: Requirements), см. https://www.iso.org/standard/80233.html и https://www.iso.org/obp/ui/#!iso:std:80233:en, а также мой пост https://rusrim.blogspot.com/2023/06/iso-4669-12023-1.html 
  
  
• стандарт ISO 4669-2:2025 «Управление контентом - Установление грифов конфиденциальности информации, её маркировка и обработка – Часть 2: Функциональные и технические требования для ICMH-решений» (Document management - Information classification, marking and handling - Part 2: Functional and technical requirements for ICMH solutions), см. https://www.iso.org/standard/83478.html и https://www.iso.org/obp/ui/en/#!iso:std:83478:en , а также мой пост https://rusrim.blogspot.com/2025/05/iso-4669-22025-icmh.html .

(Окончание следует, см. http://rusrim.blogspot.com/2026/10/2_01773863656.html )

Эмерсон Брайан (Emerson Bryan)

Источник: LinkedIn
https://www.linkedin.com/pulse/protective-markings-missing-link-information-security-emerson-fghbe/