Кому подчиняется ответственный за ИБ в компании

Назначить ответственного за информационную безопасность мало: если он отчитывается только руководителю ИТ, спор «выложить быстрее или закрыть дыру» почти всегда выигрывает срок релиза. Зафиксируйте, кому человек подчиняется, в каких случаях идёт напрямую к руководителю компании и где это написано. Ниже три рабочих варианта для небольшой компании без отдельного департамента ИБ и порядок записи в приказе, инструкции и схеме.

Это не юридическая консультация: штатное расписание и трудовые договоры согласуйте с кадрами. Статья опирается на логику направления «Организационная структура» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Зачем фиксировать линию подчинения

Подчинение определяет, кто ставит задачи, кто оценивает работу и кто разнимает конфликт с ИТ. Если линия только устная, при первом инциденте выясняется, что «все думали, что решает другой». Для персональных данных роль ответственного за организацию обработки по статье 22.1 закона № 152-ФЗ подотчётна исполнительному органу оператора: её нельзя «спрятать» внутри ИТ, даже если технически это тот же сотрудник. Разбор ролей: назначение ответственного и минимум оператора ПДн.

Три варианта для небольшой компании

Вариант	Когда уместен	Риск	Что обязательно дописать
Прямое подчинение руководителю компании	Есть отдельный человек на ИБ хотя бы на часть ставки	Руководитель может не выделять время на доклады	Слот в календаре и право эскалации без согласования ИТ
Административно — руководителю ИТ, функционально — руководителю компании	ИБ совмещает администратор, ставки нет	Линейный руководитель режет «неудобные» задачи	Прямой доклад по рискам и инцидентам, оценка роли не только через ИТ
Только внутри ИТ	Временно, пока нет второго человека	Конфликт интересов: сам себе контролёр	Зафиксировать как риск, ежегодная внешняя проверка, срок пересмотра схемы

Для гигиены подходит первый или второй вариант. Третий допустим как явный компромисс с датой пересмотра, а не как «так исторически сложилось». Не рисуйте на схеме вице-президента по кибербезопасности, если в штате один совмещающий администратор: документ перестанут воспринимать всерьёз.

Место функции в целом, а не конкретного человека, описывает положение о функции ИБ. Кто исполняет и кто отвечает в типовом решении — матрица ответственности. Этот материал закрывает только линию «кому подчиняется».

Где записать: три документа и схема

Приказ о назначении. Одна фраза: «подчиняется непосредственно ДОЛЖНОСТЬ» плюс, если нужен обход линейного руководителя, перечень случаев: критичный инцидент, отказ закрыть уязвимость, спор о выкладке.
Должностная инструкция. Тот же текст в разделе «Общие положения», иначе при проверке кадров смотрят инструкцию, а не приказ. Состав инструкции: отдельный разбор.
Штатное расписание и схема. На схеме — сплошная линия к тому, кто ставит задачи и подписывает отпуск, пунктир — к руководителю компании для докладов по ИБ. Если схемы нет, достаточно одной страницы: должности, линии, дата.

Три документа должны совпадать. Риск расхождения: сотрудник считает, что докладывает директору, а директор считает, что все вопросы закрывает руководитель ИТ, и квартальный отчёт никто не читает.

Выписка в приказ / инструкцию

1. Ответственный за информационную безопасность подчиняется
   ДОЛЖНОСТЬ_ЛИНЕЙНОГО_РУКОВОДИТЕЛЯ по вопросам организации труда.
2. По вопросам рисков, инцидентов и неснятых разногласий с ИТ
   ответственный докладывает непосредственно ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ_КОМПАНИИ
   без предварительного согласования текста доклада.
3. Оценка исполнения обязанностей по ИБ учитывает отзыв
   ДОЛЖНОСТЬ_РУКОВОДИТЕЛЯ_КОМПАНИИ, а не только линейного руководителя.

Если ответственный — руководитель ИТ

Совмещение не запрещено, его нужно назвать и компенсировать. Минимум: второй человек на ключевые решения (блокировка доступа, приём риска, исключение из правил) и прямой канал к руководителю компании. Иначе проверка сводится к самооценке. Для увольнений и отзыва прав держите отдельный процесс с кадрами: привилегированный доступ при увольнении.

Диагностика

Симптом	Причина и что делать
Доклад по ИБ правит руководитель ИТ до встречи	Нет права прямой эскалации. Добавьте пункт 2 выписки и проверяйте, что исходный текст сохраняется
На схеме ИБ висит внизу блока инфраструктуры	Схему рисовали по сетевым VLAN, а не по решениям. Перерисуйте линии подчинения отдельно от схемы сети
ПДн «курирует ИБ», а в приказе подотчётность не указана	Роль по 152-ФЗ не оформлена. Издайте отдельный пункт о подотчётности исполнительному органу
Два руководителя ставят противоречащие задачи	Не разведены административная и функциональная линии. Запишите, какая линия главная в конфликте

Где это в модели зрелости

Материал относится к направлению «Организационная структура» (хаб: организационная структура, карта: карта зрелости). Назначение человека — базовый уровень. Записанная линия подчинения и выход на руководителя компании — часть гигиенического: полномочия нельзя реализовать, если спор с ИТ некуда эскалировать. Следующий шаг — регулярный слот на совещании руководства, а не разовый доклад после инцидента.

Как проверить

В приказе, инструкции и на схеме одна и та же формулировка подчинения, даты документов не противоречат друг другу.
Сотрудник может назвать, к кому идёт при споре с ИТ, без подсказки.
Руководитель компании подтверждает, что принимает доклады по ИБ напрямую, и последний доклад был в срок.
Если роли ИБ и организации обработки ПДн совмещены, в приказе есть подотчётность исполнительному органу.
Совмещение с ИТ либо отсутствует, либо записано как риск со сроком пересмотра и вторым человеком на ключевые решения.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 22.1. Редакцию проверяйте по актуальной: consultant.ru.
Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
NIST Cybersecurity Framework 2.0, категория Roles, Responsibilities, and Authorities (GV.RR). Это не закон РФ: nist.gov/cyberframework.