Дигитализацията на бизнес процесите, използването на облачни услуги, дистанционната работа и все по-големият обем информация, която организациите създават и обработват, поставят въпросите на сигурността сред важните управленски приоритети.
В този контекст понятията „киберсигурност“ и „информационна сигурност“ често се използват като взаимозаменяеми. Те са тясно свързани, но не са напълно идентични. Разбирането на разликата помага на организациите да определят по-точно какво трябва да защитават, от какви рискове и с какви мерки.

Какво е информационна сигурност?
Информационната сигурност е насочена към защитата на информацията, независимо от формата, в която тя съществува, или средата, в която се съхранява, обработва и предава.
Това означава, че обект на защита могат да бъдат не само електронни данни и информационни системи, но и документи на хартиен носител, договори, техническа документация, записи от срещи, информация, обменяна устно, както и други форми на информация, които имат стойност за организацията.
В основата на информационната сигурност традиционно стоят три основни характеристики:

• конфиденциалност – информацията да бъде достъпна само за тези, които имат право на достъп до нея;
• интегритет – да бъде защитена точността и пълнотата на информацията;
• наличност – информацията и свързаните с нея ресурси да бъдат достъпни, когато са необходими.

Тези принципи са в основата и на системите за управление на сигурността на информацията по ISO/IEC 27001. Стандартът разглежда информационната сигурност като управленски въпрос, който обхваща хората, процесите и технологиите, а не единствено техническата защита на информационните системи.

А какво е киберсигурност?
Киберсигурността поставя акцент върху защитата в цифровата среда и срещу заплахите, които възникват в нея.
Съгласно европейския Акт за киберсигурността – Регламент (ЕС) 2019/881, киберсигурността обхваща дейностите, необходими за защита на мрежите и информационните системи, техните потребители и други лица, засегнати от киберзаплахи. Самата киберзаплаха е свързана с потенциални обстоятелства, събития или действия, които могат да увредят, нарушат или по друг начин да окажат неблагоприятно въздействие върху тези системи, техните потребители и други лица.
На практика мерките за киберсигурност могат да бъдат насочени към заплахи като:

• фишинг и други форми на социално инженерство;
• зловреден софтуер и ransomware;
• неоторизиран достъп до системи и акаунти;
• атаки срещу мрежи и информационни системи;
• компрометиране на потребителски идентификационни данни;
• използване на уязвимости в софтуер, системи и устройства.

Следователно киберсигурността е силно свързана с технологичната среда, но не се изчерпва с техническите мерки. Поведението на потребителите, организационните правила, управлението на достъпа, реакцията при инциденти и отношенията с доставчици също могат да имат съществено значение.

Къде е разликата на практика?
Разликата се вижда най-лесно, когато разгледаме конкретни ситуации.
Ако поверителен договор на хартиен носител бъде оставен на място, достъпно за неоторизирани лица, е налице риск за информационната сигурност, независимо че не е засегната информационна система и няма кибератака.
Ако служител получи фишинг съобщение, предостави идентификационните си данни и чрез тях бъде получен неоторизиран достъп до корпоративна система, проблемът има ясно изразено измерение на киберсигурността, но същевременно може да засегне конфиденциалността, интегритета или наличността на информацията.
Загубата на служебен лаптоп е още един пример. Тя представлява физическа загуба на актив, но ако устройството съдържа чувствителна информация или позволява достъп до корпоративни системи, последствията могат да засегнат както информационната, така и киберсигурността.
Тези примери показват защо на практика между двете области има значително припокриване и защо невинаги е полезно рисковете да се разглеждат изолирано.

Информационната сигурност не е само задача на ИТ отдела
Една от честите грешки е сигурността на информацията да се възприема основно като техническа задача.
Антивирусният софтуер, защитните стени, многофакторната автентикация, резервните копия и други технически решения са важни, но сами по себе си не могат да осигурят ефективно управление на информационната сигурност.
Организацията трябва да разглежда и въпроси като:

• Коя информация е критична за дейността?
• Кой има достъп до нея и на какво основание?
• Как се предоставят, променят и прекратяват правата за достъп?
• Как служителите разпознават и докладват инциденти и подозрителни събития?
• Как се управляват рисковете, свързани с външни доставчици?
• Какво се случва при загуба на информация или прекъсване на ключова система?
• Как се защитава информацията извън цифровата среда?
• Как организацията проверява дали въведените мерки продължават да бъдат ефективни?

Това превръща информационната сигурност от чисто технически въпрос в част от управлението на организацията.

Къде е мястото на ISO/IEC 27001?
ISO/IEC 27001:2022 е международният стандарт, който определя изискванията за система за управление на сигурността на информацията (СУСИ).
Той предоставя рамка за систематично идентифициране, оценяване и третиране на рисковете за сигурността на информацията. Подходът не се ограничава до конкретна технология или определен вид киберзаплаха. Той интегрира информационната сигурност в процесите и управлението на организацията и обхваща взаимодействието между хора, процеси и технологии.
 
Киберсигурност и информационна сигурност – различни понятия, обща цел
Разграничението между киберсигурност и информационна сигурност има значение, но за организациите по-важният въпрос е дали рисковете се управляват последователно и систематично.
Киберзаплахите са съществена част от съвременната рискова среда, но информацията може да бъде компрометирана и по много други начини – вследствие на човешка грешка, неправилно предоставен достъп, физическа загуба, недостатъчно управление на доставчици или липса на подходящи организационни правила.
Затова ефективната защита не започва с избора на конкретна технология. Тя започва с разбирането коя информация е важна за организацията, какви рискове я застрашават и как тези рискове трябва да бъдат управлявани.
Именно този системен и основан на риска подход е в основата на управлението на сигурността на информацията по ISO/IEC 27001.