Ответственный за ИБ в небольшой компании: приказ и полномочия
Если за информационную безопасность отвечают «все понемногу», то фактически отвечает тот, кто первым заметил проблему, и только пока у него есть время. Первый шаг к порядку не требует денег: назначить одного человека, записать это в приказе и определить, что он вправе решать сам. Ниже порядок действий для компании, где нет отдельного подразделения ИБ: кого назначить, как составить приказ, какие полномочия закрепить и что сделать за первый месяц.
Статья опирается на логику направления «Организационная структура» из методики зрелости кибербезопасности Группы Сбер (источник). Это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Она не заменяет консультацию юриста и кадровой службы: формулировки приказа согласуйте внутри компании.
Что должно получиться
| Уровень | Что это значит на практике |
|---|---|
| 1. Базовый | Назначен конкретный человек, отвечающий за ИБ, и это закреплено документом |
| 2. Гигиенический | Описаны роли и полномочия: кто решает, кто согласует, кто исполняет; у ответственного есть выход на руководство и ресурсы; понятно, как он взаимодействует с ИТ и бизнесом |
Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.
Кого назначить
| Вариант | Плюсы | Риск |
|---|---|---|
| Руководитель компании | Есть полномочия и бюджет | Нет времени на повседневные задачи, роль остаётся формальной |
| Руководитель ИТ или главный администратор | Знает системы, быстро действует | Проверяет сам себя: конфликт между скоростью работы и безопасностью, некому оспорить его решения |
| Отдельный специалист по ИБ | Независимый взгляд, время на задачи | Нужен бюджет; без поддержки руководства превращается в «отдел запретов» |
| Внешний подрядчик | Опыт и доступность | Нужна внутренняя точка входа, иначе решения не доходят до исполнителей |
Для небольшой компании реалистичен гибрид: ответственным назначается сотрудник с выходом на руководителя (часто руководитель ИТ), а независимость обеспечивается двумя правилами: он докладывает руководителю компании напрямую, и ключевые изменения прав или правил проверяет второй человек. Если совмещение неизбежно, запишите это как риск и пересмотрите при росте.
Не смешивайте три роли
В вопросах персональных данных встречаются сходные, но разные обязанности. В небольшой компании их может исполнять один человек, но в документах они должны быть названы раздельно:
| Роль | Чем занимается |
|---|---|
| Ответственный за информационную безопасность | Правила, процессы и защита информации в целом: доступ, уязвимости, инциденты, обучение |
| Ответственный за организацию обработки ПДн | Выполнение требований закона о персональных данных; по статье 22.1 152-ФЗ подотчётен исполнительному органу оператора (по методике Сбера: базовый минимум оператора) |
| Ответственный за обеспечение безопасности ПДн в системах | Технические и организационные меры защиты информационных систем с ПДн: модель угроз, уровни защищённости, контроль |
Шаг 1. Выберите человека и согласуйте с руководителем
Перед приказом поговорите с кандидатом. Он должен понимать объём работы и получить время на неё: письменно определите, сколько часов в неделю отводится на ИБ (для небольшой компании это обычно часть недели, а не вся). Роль без выделенного времени не работает.
Шаг 2. Составьте приказ
Приказ короткий. Его цель: чтобы любой сотрудник мог увидеть, кто отвечает, за что и с какими правами. Шаблон (заменяйте значения в верхнем регистре; текст адаптируйте с кадровой службой):
ПРИКАЗ № НОМЕР
от ДАТА
О назначении ответственного за информационную безопасность
В целях организации защиты информации в НАЗВАНИЕ_ОРГАНИЗАЦИИ
1. Назначить ответственным за информационную безопасность ДОЛЖНОСТЬ ФИО.
2. Ответственный за информационную безопасность подчиняется непосредственно ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ.
3. Утвердить обязанности и полномочия ответственного согласно приложению.
4. Выделить на исполнение обязанностей не менее ЧИСЛО часов в неделю.
5. Руководителям подразделений оказывать содействие и предоставлять информацию по запросу ответственного.
6. Ответственному не реже одного раза в КВАРТАЛ докладывать руководителю о состоянии ИБ.
7. Контроль исполнения оставляю за собой.
РУКОВОДИТЕЛЬ ПОДПИСЬ ФИО
С приказом ознакомлен: ПОДПИСЬ ДАТАШаг 3. Опишите обязанности
В приложении к приказу или в должностной инструкции перечислите, что входит в роль. Для небольшой компании достаточно такого списка:
- вести реестр ИТ-активов и реестр рисков ИБ;
- поддерживать политику ИБ и инструкции для сотрудников;
- контролировать выдачу и отзыв доступа (минимальные права, MFA);
- следить за уязвимостями и сроками их закрытия: процесс управления уязвимостями;
- организовывать реагирование на инциденты и уведомления регуляторов: первые 24 часа;
- проводить инструктаж и проверки осведомлённости;
- участвовать в согласовании существенных изменений в системах;
- раз в квартал докладывать руководителю по показателям.
Шаг 4. Закрепите полномочия
Обязанности без полномочий дают ответственность без возможности действовать. Определите заранее, что ответственный решает сам, что согласует и о чём только уведомляет. Пример для небольшой компании:
| Действие | Решает сам | Согласует с руководителем | Согласует с владельцем системы |
|---|---|---|---|
| Заблокировать учётную запись при подозрении на компрометацию | Да, затем уведомляет | Нет | Нет |
| Изолировать сервер от сети при инциденте | Да при критическом инциденте, затем уведомляет | При длительной остановке | Уведомить немедленно |
| Требовать закрытия уязвимости в срок | Да | При отказе исполнителя | Срок и способ |
| Остановить выкладку изменения из-за риска ИБ | Да (право задержки) | При споре с бизнесом | Нет |
| Получить доступ к журналам событий | Да, на чтение | Нет | Нет |
| Привлечь подрядчика или купить средство защиты | Нет | Да, в пределах бюджета | Нет |
| Принять риск без устранения | Нет | Да, письменно | Да |
Важное правило: принять риск может только тот, кто отвечает за бизнес-последствия, то есть руководитель или владелец системы, а не сам ответственный за ИБ. Решение записывается с датой и сроком пересмотра.
Шаг 5. Определите взаимодействие с ИТ и бизнесом
- Точка входа. Одна почта или очередь заявок для вопросов ИБ, чтобы сообщения не терялись в личных чатах.
- Согласование изменений. Существенные изменения в системах проходят проверку ИБ до выполнения; как это организовать, описано в материалах по управлению изменениями.
- Приём и увольнение. Кадровая служба сообщает ответственному о приёме, переводе и увольнении в день события, чтобы права выдавались и отзывались вовремя.
- Регулярная встреча. Раз в месяц 30 минут с руководителем ИТ: открытые уязвимости, предстоящие изменения, инциденты.
- Отчёт руководителю. Раз в квартал одна страница: что сделано, главные риски, что нужно решить руководителю.
Первые 30 дней
| Срок | Результат |
|---|---|
| Неделя 1 | Подписан приказ, выделено время, создана точка входа для заявок |
| Неделя 2 | Составлен первый список серверов, сервисов и систем с персональными данными |
| Неделя 3 | Собраны контакты на случай инцидента вне корпоративной почты; определены полномочия по таблице выше |
| Неделя 4 | Проведена встреча с руководителем: топ-5 рисков, план на квартал, согласованный бюджет |
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Ответственный есть, но его просьбы игнорируют | Нет полномочий или поддержки руководителя. Добавьте пункт 5 приказа и право задержки изменений |
| Все решения упираются в одного человека | Нет заместителя. Назначьте его и передайте часть задач |
| Ответственный проверяет собственную работу | Конфликт интересов. Привлеките второго человека или внешнюю проверку раз в год |
| Приказ есть, но никто его не читал | Доведите до подразделений и добавьте в инструктаж при приёме |
Где это в модели зрелости
Материал относится к направлению «Организационная структура» (карта: карта зрелости). Уровень 1 закрывает приказ о назначении, уровень 2 добавляет роли и полномочия, взаимодействие с ИТ и бизнесом и доклад руководителю. Дальше полезны реестр активов и реестр рисков: на них опираются остальные направления.
Как проверить
- Любой сотрудник может назвать, к кому обращаться по вопросам ИБ.
- Приказ подписан и существует в актуальной редакции; у ответственного есть заместитель.
- Таблица полномочий утверждена руководителем, а не только описана.
- В календаре есть ежемесячная встреча и квартальный доклад, и последний доклад состоялся.
- Для персональных данных названы раздельно: ответственный за организацию обработки и ответственный за безопасность в системах.
Источники
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 22.1: текст; редакцию проверяйте по актуальной.
