Матрица ответственности по ИБ: кто за что отвечает

Статья «Ответственный за ИБ в небольшой компании» разбирает, как назначить одного человека на эту роль. Но даже с назначенным ответственным остаются вопросы по конкретным решениям: кто одобряет исключение из парольной политики, кто обязан быть в курсе при объявлении инцидента, кто физически выполняет действие. Матрица ответственности отвечает на эти вопросы один раз письменно, а не каждый раз в рабочем чате.

Статья опирается на логику направления «Организационная структура» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Уровень	Что это значит на практике
2. Гигиенический	Для повторяющихся решений по ИБ заранее определено, кто исполняет, кто отвечает, с кем согласовывать и кого информировать

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Четыре роли в одном решении

Для каждого повторяющегося решения по ИБ полезно заранее развести четыре роли:

Исполнитель — кто физически делает работу. Может быть несколько человек.
Отвечающий за результат — кто отчитывается перед руководством, если решение оказалось неверным. Ровно один человек на решение, иначе ответственность размывается.
Согласующий — с кем советуются до решения; его мнение учитывается, но не блокирует решение.
Информируемый — кого ставят в известность по факту, без права влиять на решение.

Частая ошибка — делать отвечающим сразу нескольких человек «на всякий случай»: в итоге при проблеме каждый считает, что решение принимал кто-то другой.

Шаблон матрицы для типовых решений

Решение	Исполнитель	Отвечает	Согласует	Информируется
Выдача доступа к продуктивной базе данных	Администратор БД	Руководитель отдела, где работает сотрудник	Ответственный за ИБ	Владелец данных
Исключение из парольной политики для сервисной учётной записи	Системный администратор	Ответственный за ИБ	Владелец системы	ИТ-директор
Объявление инцидента ИБ	Дежурный, обнаруживший инцидент	Ответственный за ИБ	Руководитель затронутого подразделения	Руководитель компании (для значимых инцидентов)
Подключение нового поставщика с доступом к данным	Закупающее подразделение	Ответственный за ИБ	Юридический отдел	ИТ-директор
Публикация нового сервиса в интернет	Команда разработки	Технический руководитель	Ответственный за ИБ	Служба поддержки
Решение о раскрытии инцидента клиентам или регулятору	Ответственный за ИБ (готовит текст)	Руководитель компании	Юридический отдел, ответственный за ИБ	Все затронутые подразделения

Это отправная точка, не готовая норма: в компании из пяти человек роли совмещаются, и это нормально — главное, чтобы A было вписано конкретным именем или должностью, а не оставалось «кто-нибудь разберётся», а не на роли вообще.

Как составить для своей компании

Возьмите за основу шаблон выше и вычеркните неприменимое (нет своей разработки — нет строки про публикацию сервиса).
Добавьте решения, специфичные для вашей отрасли: для компании с персональными данными — ответ на запрос субъекта, для компании с КИИ — категорирование объекта.
Для каждой строки впишите конкретное имя или должность, а не отдел целиком. «Отдел ИТ» в колонке A означает, что ответственного фактически нет.
Согласуйте с руководителями подразделений, которые попадают в матрицу: без их согласия матрица — бумага, которую никто не будет соблюдать при реальном решении.
Разместите матрицу там, где её увидят в момент решения: внутренняя база знаний, а не файл в папке, которую никто не открывает.

Когда пересматривать

При смене человека на любой из ролей — не откладывайте правку матрицы до следующего инцидента.
После инцидента, где матрица не сработала (решение принимали дольше обычного или не тем человеком) — разберите, в чём была неточность формулировки.
При появлении нового типа решения, которого раньше не возникало — добавьте строку сразу, а не постфактум.

Диагностика

Симптом	Причина и что делать
В колонке A несколько человек	Ответственность размыта. Оставьте одного, остальных перенесите в C или I
Решения всё равно принимаются в общем чате без привязки к матрице	Матрица не согласована с руководителями или не на виду. Согласуйте и разместите заметно
Матрица не менялась больше года, хотя люди сменились	Нет триггера на пересмотр. Привяжите обновление к процессу увольнения и найма на ключевые роли
Для инцидента нет однозначного A	Самый частый пробел — впишите отвечающего в первую очередь, инцидент не время для выяснения, кто отвечает

Где это в модели зрелости

Материал относится к направлению «Организационная структура» (материалы направления, карта зрелости). Уровень 2 требует, чтобы роли и полномочия были закреплены письменно, а не держались в голове у одного человека: матрица ответственности переводит это из устной договорённости в документ, на который можно сослаться при разборе любого решения.

Как проверить

Матрица покрывает повторяющиеся решения по ИБ, актуальные для компании.
В каждой строке ровно один подотчётный (A), указанный конкретным именем или должностью.
Руководители подразделений, упомянутые в матрице, с ней согласились.
Матрица доступна в момент принятия решения, а не только архивирована в документах.
После последней смены ключевого сотрудника матрица была обновлена.