Владелец риска ИБ: кто это и что с него спрашивать
Назначьте в реестре владельца риска — человека, которому больно, если сценарий случится, и который может сказать «делаем» или «живём с этим». Если в колонку по умолчанию ставят ответственного за информационную безопасность (ИБ), решения «принять / снизить» зависают: у ИБ нет бюджета и нет права остановить процесс. Как вести таблицу и шкалы — не здесь: реестр рисков. Кто исполняет типовые решения доступа и изменений — матрица ответственности, это другой документ.
Статья опирается на логику направления «Риск-ориентированный подход» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. NIST SP 800-30 относит решения по риску к руководителям, а не только к службе оценки: SP 800-30 Rev. 1. Это не российский закон.
Кого ставить
| Риск (смысл) | Владелец | ИБ делает |
|---|---|---|
| Остановка продаж / производства из‑за шифрования | Руководитель бизнеса или производства | Считает сценарий, предлагает меры, ведёт строку |
| Утечка клиентской базы | Владелец процесса «клиенты» (коммерция, сервис) | Сроки 152-ФЗ, канал уведомлений |
| Потеря бухгалтерии | Главбух / финансовый директор | Копии, доступ, журнал |
| Дыра на периметре из‑за «откроем на час» | Руководитель ИТ (он даёт окно) плюс владелец системы | Перечень изменений, эскалация |
| «Не знаем, какие у нас серверы» | Может быть ИБ или ИТ — это их процесс | Тогда ИБ — владелец именно этого риска реестра |
Правило: владелец может выделить людей или деньги либо письменно принять остаток. Если не может — выбрали не того. Подрядчик владельцем не бывает: ему не больно вашей репутацией. Профиль, от кого сценарий: профиль нарушителя.
Что спрашивать раз в квартал
- Меры со сроком в прошлом квартале сделаны? Если нет — оставляем риск высоким или меняем решение.
- Остаточный риск ещё принимаете? Нужна новая подпись и дата, не молчание.
- Оценка вероятности/ущерба устарела после инцидента или нового облака?
- Что нужно от директора (деньги, запрет процесса) — это уйдёт в отчёт директору, не в переписку ИБ с собой.
Встреча 20 минут на верхние пять строк, не комитет. ИБ секретарь: повестка, протокол, обновление реестра. Риск: владелец «согласен» в чате без даты пересмотра. Для принятия риска в реестре уже есть правило оформления — следуйте ему, не изобретайте вторую бумагу.
Не путайте с KPI ответственного за ИБ: его спрашивают за процесс и эскалацию, не за то, что коммерция не дала денег на MFA. Личные цели — KPI на год.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Во всех строках владелец — ИБ | Нет решений. Перепишите владельцев по таблице |
| Владелец «отдел» | Нельзя спросить человека. ФИО |
| Владелец не знает, что он владелец | Не было разговора. Покажите строку и спросите решение |
| Принятие риска без срока | Это не решение. Поставьте дату пересмотра |
Где это в модели зрелости
Материал относится к направлению «Риск-ориентированный подход» (хаб: риск, карта: карта зрелости). Реестр без живого владельца — список страхов ИБ. Матрица ответственности закрывает типовые операции, не принятие остаточного риска по сценарию.
Как проверить
- У каждого риска выше среднего в реестре есть ФИО, не «ИБ» по умолчанию (кроме рисков самого процесса ИБ).
- Владелец может назвать решение по своей строке без подсказки.
- За квартал по верхним пяти есть отметка разговора или письма.
- Принятые риски имеют дату пересмотра.
- Колонка владельца не совпадает слепо с матрицей «кто согласует заявку».
Источники
- NIST SP 800-30 Rev. 1: csrc.nist.gov.
