Срок рассмотрения заявки на изменение: как задать и проверить
Заявка лежит в трекере третий день, окно работ уже сегодня вечером, ИБ «ещё смотрит». Без срока это не процесс, а очередь с неопределённым концом. Зафиксируйте, за сколько часов какой тип изменения должны рассмотреть, с какой минуты идут часы и куда эскалировать. Какие работы ИБ вообще обязана видеть — в перечне. Как выглядит карточка и откат — в карточке изменения.
Статья опирается на логику направления «Управление изменениями» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. NIST SP 800-128 требует, чтобы правила управления конфигурацией включали порядок и контроль изменений, а конкретные часы задаёт организация: SP 800-128. Это не российский закон.
Часы по типу, не «как успеем»
| Тип | Срок ответа ИБ и владельца системы | Что считать ответом |
|---|---|---|
| Стандартное | Не ждут согласования: процедура уже утверждена | Строка в реестре в тот же день |
| Обычное | Два рабочих дня с момента полной карточки | Отметка «можно в окно» / список замечаний / отказ с причиной |
| Срочное (дыра, простой) | В тот же рабочий день; ночью — дежурный по телефону, карточка до конца следующего рабочего дня | Устное «да» с именем, потом запись |
| Крупное | По плану проекта, не из этой таблицы | Отдельное согласование руководителя |
Два рабочих дня — разумный старт для небольшой компании, где ИБ совмещает роли. Если все изменения «обычные», срок сорвёте: расширьте стандартные в перечне. Релиз кода с зелёным конвейером не обязан ждать те же двое суток, что новый VPN: приёмка релиза.
Когда стартуют часы
Часы идут не от сообщения в чате «надо открыть порт», а от карточки с обязательными полями: что, зачем, системы, окно, план отката, есть ли ПДн. Неполная карточка возвращается автору; срок не начался. В трекере это статус «на рассмотрении» с датой-временем — иначе потом не докажете просрочку.
Риск: автор ставит окно «сегодня в 18:00» в карточке, поданной в 17:40. Это не срочное изменение, а плохой календарь. Откажите в окне, предложите ближайший слот внутри срока, либо переведите в срочное с решением руководителя ИТ.
Заявка на доступ человека — другой процесс и свои сроки: заявка на доступ. Не считайте её заявкой на изменение firewall.
Если ИБ молчит
- За час до истечения срока — напоминание в том же тикете, не в личке.
- После срока — руководитель ИТ (или владелец системы) эскалирует ответственному за ИБ и его руководителю.
- Молчание не равно согласие. Выполнить обычное изменение без отметки нельзя.
- Срочное: если ИБ недоступна, решение принимает руководитель компании или ИТ с записью «ИБ не ответила, причина, как закрываем карточку завтра».
Раз в месяц посмотрите долю заявок, рассмотренных позже срока, и долю возвратов «карточка пустая». Если больше четверти — чините шаблон, не людей.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Все заявки помечают срочными | Обычный срок слишком длинный или окна не планируют. Сожмите обычное до двух дней и запретите срочное без имени руководителя |
| Часы считают от сообщения в Telegram | Нет точки старта. Только статус «на рассмотрении» после полной карточки |
| ИБ ставит «ок» без чтения | Срок давит. Верните право вернуть карточку без сжигания срока автора |
| Окно срывается каждую пятницу | Заявки прилетают в четверг вечером. Правило: обычное изменение не в тот же день, что подача |
Где это в модели зрелости
Материал относится к направлению «Управление изменениями» (хаб: изменения, карта: карта зрелости). Гигиена уровня 2 — не только «ИБ видит до выполнения», но и предсказуемое время ответа. Без срока перечень классов остаётся плакатом, а реестр — кладбищем просроченных тикетов.
Как проверить
- В порядке изменений есть таблица сроков и правило, с какой минуты идут часы.
- В трекере у заявок «на рассмотрении» видно дату старта.
- Из последних десяти обычных заявок не меньше восьми закрыты в срок либо возвращены как неполные (срок не шёл).
- Нет правила «если ИБ молчит — выкладываем».
- Срочное без имени руководителя в карточке за месяц не встречается.
Источники
- NIST SP 800-128, Security-Focused Configuration Management: csrc.nist.gov.
