Как ответственному за ИБ попасть на совещания руководства
Квартальный отчёт в почте не заменяет присутствия: решения про бюджет, принятие риска и остановку релиза принимает руководитель компании, и их нет в переписке «на потом». Встройте ответственного за информационную безопасность в регулярные совещания руководства, а не вызывайте его только после инцидента. Ниже слот, повестка на четверть часа и признаки, что канал работает.
Статья опирается на логику направления «Организационная структура» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Назначение роли: приказ и полномочия. Линия подчинения, без которой доклад не доходит: кому подчиняется ответственный.
Зачем регулярный слот, а не доклад по случаю
После инцидента все слушают. В спокойный месяц слушают только если время уже стоит в календаре. Регулярность нужна, чтобы принимать риски письменно, а не молчаливым «потом закроем», и чтобы бюджет на ИБ не вырезали в конце квартала как «необязательное». Что показывать цифрами — в материале метрики для руководства; здесь — как попасть в комнату, где эти цифры решают.
Как включить в календарь
- Попросите руководителя компании не «иногда выступать», а повторяющуюся встречу: раз в месяц 15–20 минут или постоянный пункт на уже существующем оперативном совещании. Для небольшой компании достаточно одного слота, не отдельного «комитета по кибербезопасности».
- Запишите участие в приказе о назначении или в должностной инструкции: «не реже одного раза в месяц докладывает руководителю компании». Без этой фразы слот снимают при первой загрузке повестки.
- Назначьте заместителя на тот же слот. Риск одной командировки: месяц без доклада превращается в «ну раз пропустили, значит можно всегда».
- Критичный инцидент не ждёт слота: эскалация в тот же день по порядку первых суток, а ежемесячная встреча всё равно проходит, уже как разбор.
Повестка на 15 минут
| Минуты | Тема | Решение, которое нужно от руководителя |
|---|---|---|
| 0–3 | Статус: инциденты, просроченные уязвимости, срывы копий | Никакого, только общая картина |
| 3–8 | Один риск, который сам ИБ закрыть не может | Принять / снизить / выделить деньги или людей |
| 8–12 | Изменения и релизы на ближайший месяц | Подтвердить приоритет проверки ИБ или принять риск срыва срока |
| 12–15 | Поручения прошлого раза | Снять, продлить или эскалировать на владельца системы |
Не приносите двенадцать слайдов и ленту из SIEM. Одна страница: три числа, один риск, две просьбы. Шаблон страницы уже есть в статье про метрики; не дублируйте его второй презентацией. План на год и защита бюджета — отдельный разговор, его готовьте к циклу стратегии на год, а не втискивайте в ежемесячные 15 минут.
Карточка на слот (одна страница)
Дата: ДАТА
1. Три числа к прошлому месяцу: просроченные критичные уязвимости;
инциденты; успешные проверки восстановления.
2. Риск, который требует решения сегодня: ...
Предлагаемое решение: принять / снизить / перенести. Срок пересмотра: ...
3. Просьбы к руководителю (не больше двух): ...
4. Поручения прошлого слота и статус: ...Как фиксировать поручения
Устное «разберёмся» через неделю никто не вспомнит. После слота в тот же день отправьте руководителю три-пять строк: что решили, кто делает, срок. Копия — владельцу системы, если поручение на него. Принятие риска без срока пересмотра не считайте решением: верните пункт в повестку следующего месяца.
Если руководитель ИТ правит текст доклада до встречи, это уже вопрос подчинения, а не повестки: вернитесь к выписке о прямом докладе. Для споров «кто исполняет / кто отвечает» держите под рукой матрицу по решениям, но не разбирайте её на оперативке целиком.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Слот есть, ИБ ставят последним пунктом и «не успевают» | Пункт не защищён временем. Попросите фиксированные минуты в начале, не в хвосте |
| Ходят только после инцидентов | Нет повторяющейся встречи. Внесите в календарь руководителя и в инструкцию |
| Доклад слушают, поручений нет | Просьбы не сформулированы как решение. Оставляйте в карточке две явные опции |
| Руководитель просит «не пугать цифрами» | Много шума, мало выбора. Оставьте одно число, которое меняет приоритет на месяц |
Где это в модели зрелости
Материал относится к направлению «Организационная структура» (хаб: организационная структура, карта: карта зрелости). Гигиена — не должность в штатке, а регулярный выход на руководителя: риски обсуждают до ущерба, а не после письма регулятору. Цифры для слота даёт направление «Отчётность и метрики»; без слота метрики остаются файлом в почте.
Как проверить
- В календаре руководителя есть повторяющаяся встреча или постоянный пункт повестки, ответственный или заместитель в списке обязательных участников.
- За последние три месяца состоялись три слота либо зафиксированы причины переноса с новой датой в пределах недели.
- По каждому слоту есть короткая запись решений со сроком; принятые риски имеют дату пересмотра.
- Повестка укладывается в четверть часа и не подменяет годовое планирование бюджета.
- Критичные инциденты эскалируются вне слота, ежемесячная встреча при этом не отменяется.
Источники
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- NIST Cybersecurity Framework 2.0, функция Govern (oversight и роли). Это не закон РФ: nist.gov/cyberframework.
