Организационные процессы управления информационной безопасностью в КИИ: построение эффективной структуры ИБ-отдела

Ошибка в управлении объектом критической информационной инфраструктуры (КИИ) часто обходится дороже, чем единичный технический сбой сервера. Именно отдел информационной безопасности становится точкой, где сходятся право, технологии и управленческие решения. От того, как выстроены процессы и структура ИБ, зависит не только устойчивость систем, но и юридическая судьба организации.

Для чего нужен отдел информационной безопасности

В классическом понимании отдел ИБ — это обособленное структурное подразделение, отвечающее за защиту информационных ресурсов организации. Но на практике его роль шире: он формирует правила игры для всех, кто работает с данными и системами.

К ключевым задачам отдела относятся:

• организация комплексной защиты информации;
• координация мер безопасности между подразделениями;
• контроль соблюдения установленных требований персоналом;
• оценка эффективности применяемых мер и средств защиты;
• администрирование информационных систем в части требований ИБ;
• обеспечение корректной работы средств защиты информации. 

Набор функций напрямую зависит от масштаба организации, вида актуальных угроз ИБ, роли информационных систем в бизнес-процессах и позиции руководства по вопросам обеспечения информационной безопасности. В небольших компаниях эти задачи может выполнять один специалист или внешний подрядчик. В КИИ такой подход, как правило, неприемлем: требования законодательства и уровень рисков требуют системной и постоянной работы сразу нескольких специалистов.

Почему важно грамотно организовать отдел ИБ на объекте КИИ

Для объектов КИИ требования к управлению информационной безопасностью закреплены на уровне федерального законодательства. Базовым актом является Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Он прямо обязывает субъектов КИИ принимать организационные и технические меры по защите значимых объектов.

Неправильно выстроенный отдел ИБ приводит к размытию ответственности, конфликту интересов с ИТ-службой и поверхностному подходу к выполнению требований ФСТЭК России. Это повышает риск инцидентов и привлечения к ответственности по ст.13.12.1 КоАП РФ за нарушение требований ИБ.

Кроме того, для КИИ важны управляемые процессы: категорирование объектов, взаимодействие с ГосСОПКА, реагирование на компьютерные инциденты, ведение учета событий безопасности. Без четкой организационной структуры они либо не работают, либо существуют только на бумаге. В итоге страдает безопасность информационных систем, а вместе с ней — устойчивость ключевых бизнес- и технологических процессов.

Структура отдела ИБ

На практике департамент информационной безопасности либо подчиняется напрямую руководителю организации, либо входит в состав службы безопасности. Такой подход позволяет избежать конфликта интересов с ИТ-подразделением, для которого приоритетом, как правило, являются доступность и скорость функционирования систем, а не вопросы защиты.

Современная тенденция — вывод ИБ из структуры ИТ. Это особенно актуально для КИИ, где задачи защиты и задачи эксплуатации систем нередко противоречат друг другу. Руководит подразделением начальник отдела информационной безопасности, который несет персональную ответственность за построение и функционирование системы ИБ.

Для повышения эффективности внутри отдела могут быть выделены отдельные функциональные группы. Обычно это направление нормативной и организационной документации, администрирование и сопровождение систем, аудит и контроль состояния ИБ, а также внедрение и сопровождение средств защиты информации. Такое разделение позволяет выстроить управляемые процессы и снизить зависимость от конкретных сотрудников.

Какие специалисты должны быть в отделе ИБ

Состав отдела информационной безопасности на объекте КИИ зависит от категории значимости, архитектуры информационных систем и масштаба организации. Однако есть базовый набор ролей, без которых невозможно выстроить управляемые и юридически корректные процессы обеспечения информационной безопасности:

1. Руководитель отдела информационной безопасности — отвечает за стратегию ИБ, распределение ответственности, взаимодействие с руководством организации и регуляторами (ФСТЭК России, ФСБ России), а также за общее соответствие требованиям ФЗ № 187-ФЗ.
2. Специалист по организационной защите информации — разрабатывает и актуализирует локальные нормативные акты, политики, положения, модель угроз и нарушителя, участвует в категорировании объектов КИИ и обеспечивает методологическую основу деятельности отдела обеспечения информационной безопасности.
3. Специалист по безопасности информационных систем — отвечает за практическую реализацию мер защиты, контроль событий безопасности, участие в реагировании на компьютерные инциденты и взаимодействие с ГосСОПКА. Эта роль важна для устойчивой безопасности информационных систем.
4. Администратор средств защиты информации — настраивает, сопровождает и контролирует работу СЗИ, обеспечивает корректное журналирование, управление доступами и техническое выполнение требований регуляторов.
5. Специалист по аудиту и контролю информационной безопасности — оценивает соответствие процессов и систем требованиям законодательства и внутренних документов, выявляет несоответствия и риски, готовит предложения по их устранению.

В крупных организациях или при высокой категории значимости объектов КИИ функции могут быть распределены между несколькими сотрудниками или выделены в отдельные группы.