Положение о подразделении ИБ: разделы и шаблон

Статья «Ответственный за ИБ в небольшой компании» разбирает назначение конкретного человека. Положение — документ более общего уровня: он описывает подразделение или функцию в целом и переживает смену конкретных людей на этой роли. Без него полномочия ответственного существуют только пока их помнят лично, и любой спор с другим подразделением решается не по документу, а по должностному весу спорящих.

Статья опирается на логику направления «Организационная структура» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Уровень	Что это значит на практике
2. Гигиенический	Полномочия и задачи функции ИБ закреплены документом, утверждённым руководством, а не существуют только в устной договорённости

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Обязательные разделы

Цель и задачи. Зачем функция существует и что конкретно она делает (не «обеспечивает информационную безопасность компании» — абстракция без содержания, а перечень: защита данных клиентов, соответствие 152-ФЗ, координация реагирования на инциденты).
Место в структуре. Кому подчиняется, с кем на одном уровне, есть ли право прямого обращения к руководству компании в обход линейного руководителя для критичных вопросов — этот пункт решает споры о подчинённости, пока они не возникли в реальном конфликте.
Полномочия. Что подразделение или ответственный вправе делать: запрашивать информацию у других подразделений, приостанавливать доступ при подозрении на инцидент, согласовывать закупку систем с доступом к данным, устанавливать сроки устранения находок. Каждое полномочие — отдельным пунктом, не общей фразой.
Взаимодействие с другими подразделениями. ИТ обязано предоставлять доступ для аудита, HR уведомляет об увольнениях заранее, юридический отдел согласовывает договоры с пунктами про ИБ. Без этого раздела каждое взаимодействие превращается в переговоры заново.
Ответственность. Что происходит, если задача не выполнена (эскалация, а не абстрактная «ответственность» без механизма).
Порядок утверждения и пересмотра. Кто утверждает документ и когда он пересматривается (не реже раза в год или при изменении структуры).

Формулировки, которые дают реальные полномочия

Разница между декларацией и работающим документом — в конкретности формулировок:

Декларация (не работает)	Рабочая формулировка
«Обеспечивает информационную безопасность компании»	«Согласовывает подключение новых информационных систем с доступом к персональным данным клиентов»
«Взаимодействует с другими подразделениями»	«Имеет право запросить у любого подразделения информацию, необходимую для расследования инцидента, в срок не более одного рабочего дня»
«Несёт ответственность за соблюдение требований»	«При выявлении критичного нарушения вправе инициировать приостановку доступа к системе до устранения, уведомив руководителя подразделения в тот же день»

Шаблон документа

ПОЛОЖЕНИЕ
о функции информационной безопасности

1. Общие положения
   1.1. Цель функции: ...
   1.2. Задачи: ...
   1.3. Документ утверждён приказом № ... от ...

2. Место в структуре
   2.1. Функция подчиняется: ...
   2.2. Право прямого обращения к руководителю компании: да/нет, в каких случаях

3. Полномочия
   3.1. ...
   3.2. ...

4. Взаимодействие с подразделениями
   4.1. ИТ: ...
   4.2. HR: ...
   4.3. Юридический отдел: ...

5. Ответственность и эскалация
   5.1. ...

6. Порядок пересмотра
   6.1. Документ пересматривается не реже одного раза в год
        и при изменении организационной структуры.

Как внедрить, а не оставить документом в папке

Согласуйте разделы 3 и 4 с руководителями подразделений, которых они касаются, до утверждения — согласие на бумаге без реального разговора приведёт к спору при первом применении.
Сошлитесь на положение в конкретных ситуациях сразу после утверждения (например, в переписке о сроках предоставления доступа для аудита), чтобы оно начало использоваться как рабочий документ, а не лежать неприменённым.
При изменении полномочий вносите правку сразу, а не откладывайте до планового пересмотра — иначе реальная практика разойдётся с документом, и он перестанет быть источником истины.

Диагностика

Симптом	Причина и что делать
Положение утверждено, но на него никто не ссылается	Формулировки слишком общие, чтобы на них можно было опереться в конкретном споре. Перепишите раздел полномочий конкретнее
Другое подразделение оспаривает право ответственного на действие	Полномочие не было явно прописано. Добавьте его в следующую редакцию после разбора конкретного случая
Документ не менялся два года, хотя всё изменилось	Нет триггера на пересмотр. Привяжите к ежегодному циклу планирования или к изменению структуры

Где это в модели зрелости

Материал относится к направлению «Организационная структура» (материалы направления, карта зрелости). Уровень 2 требует, чтобы роли и полномочия были закреплены документально, а не держались на личном авторитете конкретного человека: положение — тот документ, на который можно сослаться, когда полномочия оспариваются, а матрица ответственности уточняет его на уровне конкретных повторяющихся решений.

Как проверить

Положение утверждено руководством и доступно сотрудникам, которых оно касается.
Разделы о полномочиях и взаимодействии содержат конкретные формулировки, а не общие декларации.
Руководители смежных подразделений согласовали касающиеся их пункты, а не узнали о них постфактум.
Документ пересматривался в течение последнего года или с момента последнего изменения структуры.