Должностная инструкция ответственного за ИБ: обязанности и пересмотр

Приказ о назначении называет человека, а должностная инструкция говорит, что он делает каждый день, на что имеет право и за что отвечает лично. Без неё обязанности живут в переписке и в памяти руководителя: при отпуске, больничном или смене сотрудника их приходится собирать заново. Ниже составьте рабочий документ для небольшой компании, согласуйте его с кадрами и ознакомьте сотрудника под подпись.

Это не юридическая консультация. Формулировки сверьте с кадровой службой и актуальной редакцией Трудового кодекса. Статья опирается на логику направления «Организационная структура» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Чем инструкция отличается от приказа и положения

Трудовой кодекс не требует именно «должностную инструкцию» как отдельный вид документа. Трудовая функция должна быть в трудовом договоре (статья 57). Инструкция удобна тем, что её можно уточнять без каждого раза переписывать договор, если кадры так ведут документы. Не копируйте в инструкцию чужой шаблон «CISO крупного банка»: там штат, бюджет и полномочия, которых у вас нет.

Какие разделы нужны

1. Общие положения. Должность по штатному расписанию, кому подчиняется, кто замещает в отсутствие, на основании каких документов действует (приказ о назначении, положение о функции, локальные акты по ИБ).
2. Обязанности. Глаголы и объекты: «ведёт реестр активов», «инициирует блокировку учётки при инциденте», «готовит квартальный доклад», а не «обеспечивает безопасность». Свяжите пункты с уже существующими процессами: уязвимости, инциденты, осведомлённость.
3. Права. Что можно сделать без отдельного разрешения руководителя: запросить журналы, задержать выкладку, потребовать закрытия уязвимости в срок. Без этого блока обязанности остаются просьбами.
4. Ответственность. За что сотрудник отвечает лично (срыв срока доклада, отсутствие плана реагирования), а что остаётся за владельцем системы и руководителем компании (принятие риска, бюджет).
5. Взаимодействие. Кадры сообщают о приёме и увольнении в день события; ИТ даёт доступ на чтение к журналам; юридическая служба смотрит договоры с обработкой данных.
6. Пересмотр. При изменении функций — сразу; планово — не реже одного раза в три года или при смене структуры. Дата следующей проверки стоит в шапке документа.

Не смешивайте в одном тексте роль ответственного за ИБ и роль ответственного за организацию обработки персональных данных. Если это один человек, назовите обе роли раздельно и дайте отсылку к базовому минимуму оператора.

Шаблон документа

Заменяйте значения в верхнем регистре. Перед утверждением пройдите текст с кадрами: риск в том, что слишком широкая формулировка («отвечает за всю безопасность компании») потом используется против сотрудника при любом инциденте.

ДОЛЖНОСТНАЯ ИНСТРУКЦИЯ
ответственного за информационную безопасность

1. Общие положения
1.1. Должность: ДОЛЖНОСТЬ по штатному расписанию.
1.2. Подчиняется: ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ.
1.3. Заместитель на период отсутствия: ДОЛЖНОСТЬ_ЗАМЕСТИТЕЛЯ.
1.4. Назначение оформлено приказом № НОМЕР от ДАТА.

2. Обязанности
2.1. Вести реестр ИТ-активов и реестр рисков ИБ и актуализировать их.
2.2. Готовить и пересматривать политику ИБ и инструкции для сотрудников.
2.3. Контролировать выдачу, пересмотр и отзыв доступа.
2.4. Организовывать выявление и закрытие уязвимостей в согласованные сроки.
2.5. Организовывать реагирование на инциденты и уведомление руководства.
2.6. Проводить инструктаж по ИБ и фиксировать ознакомление.
2.7. Согласовывать существенные изменения в системах до их выполнения.
2.8. Не реже одного раза в КВАРТАЛ докладывать руководителю о состоянии ИБ.

3. Права
3.1. Запрашивать у подразделений сведения, нужные для расследования, в срок один рабочий день.
3.2. Получать доступ на чтение к журналам событий ключевых систем.
3.3. Инициировать блокировку учётной записи и изоляцию узла при инциденте с немедленным уведомлением.
3.4. Задержать выкладку изменения при риске ИБ до решения руководителя.
3.5. Не принимать риск самостоятельно: фиксировать предложение и передавать решение руководителю.

4. Ответственность
4.1. За своевременность докладов, актуальность реестров и наличие плана реагирования.
4.2. Принятие риска и выделение бюджета остаются за руководителем компании.

5. Пересмотр
5.1. Инструкция пересматривается при изменении функций, структуры или состава систем.
5.2. Плановый пересмотр: не реже одного раза в три года. Следующая дата: ДАТА.

Ознакомлен: ФИО, ПОДПИСЬ, ДАТА

Как ввести в работу

1. Согласуйте разделы 3 и 4 с руководителем компании: права без его подписи не действуют в споре с ИТ.
2. Издайте приказ об утверждении инструкции или приложите её к уже существующему приказу о назначении.
3. Ознакомьте сотрудника под подпись до того, как начнёте спрашивать с него сроки. Второй экземпляр — в личное дело.
4. Положите дату пересмотра в календарь руководителя, а не в папку «локальные акты».

Диагностика

Где это в модели зрелости

Материал относится к направлению «Организационная структура» (хаб: организационная структура, карта: карта зрелости). Приказ закрывает назначение человека. Инструкция закрывает гигиенический уровень: обязанности и полномочия записаны, с ними ознакомили, есть срок пересмотра. Дальше имеет смысл закрепить подчинение в структуре и участие в совещаниях руководства.

Как проверить

1. Файл инструкции утверждён, в шапке есть номер, дата и дата следующего пересмотра.
2. Есть подпись сотрудника об ознакомлении, дата не позже выхода на роль.
3. Каждый пункт обязанностей можно проверить по артефакту: реестр, доклад, журнал ознакомления, карточка изменения.
4. В правах явно сказано, что принятие риска — не полномочие ответственного за ИБ.
5. Трудовая функция в договоре не противоречит инструкции; при расхождении кадры выпускают одну согласованную редакцию.

Источники

• Трудовой кодекс Российской Федерации, статья 57 (трудовая функция в договоре). Редакцию проверяйте по актуальной: consultant.ru.
• Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
• NIST Cybersecurity Framework 2.0, функция Govern, категория Roles, Responsibilities, and Authorities (GV.RR). Это не закон РФ и не замена внутренних актов: nist.gov/cyberframework.