ГОСТ Р ИСО/МЭК 13335-1 — 2006
тью, включая принятие решений по управлению рисками. Отдельные ее факторы, такие как тип. форма
регистрации, размер и структура организации, повлияют на то. на каком уровне будут определены эти
обязанности. Безопасность ИТТ— это междисциплинарная тема, относящаяся к каждому проекту ИТТ и ко
всем пользователям внутри организации. Надлежащее определение и разграничение подотчетности, спе
цифических служебныхобязанностей и ответственностидолжно обеспечиватьэффективное и квалифици
рованное выполнение всех важных задач. В малых организациях их руководство может исполнять обязан
ности. связанные с безопасностью, либо другие сотрудники могут выполнять две и более функций безо
пасности. В подобных случаях для исключения конфликта интересов и обеспечения необходимого разде
ления служебныхобязанностей нужны независимые ревизии.
Хотя эта цель может быть достигнута при помощи различных организационных схем, зависящих от
размера и структуры организации, в каждой организациидолжны присутствовать следующие служебные
обязанности:
- совет по безопасности ИТТ. который обычно решает междисциплинарные вопросы, дает консульта
ции и рекомендует стратегии, одобряет политики и процедуры;
- администратор безопасности ИТТ. который связывает воедино все аспекты безопасности внутри
организации.
Совет по безопасности и администратор безопасности должны иметь строго определенные и четко
сформулированные обязанности и достаточные полномочиядля обеспечения выполнения политики безо
пасности ИТТ. Организация обязана предоставить администраторубезопасности четкие механизмы взаи
модействия. обязанности и полномочия, а его обязанностидолжны быть одобрены советом по безопасно
сти ИТТ. Выполнение этих функций может бытьдополнено привлечением внешних консультантов.
Пример отношений междуадминистратором безопасности ИТТ.советом по безопасности ИТТ и пред
ставителями других структур в рамках организации, таких как пользователи и персонал ИТТ. показан на
рисунке 4. Эти отношения могут носить управленческий или функциональный характер. В представленном
на рисунке 4 примере организации безопасности ИТТ показаны три организационных уровня. Они в целом
вытекают из классической организационной структуры, такой каккорлорация/департамент или центр/биз-
нес-лодраэделение. но могут быть легко адаптированы применительно к любой организации увеличением
или уменьшением числа уровней в соответствии с потребностями организации. Малые или средние орга
низации могут возложить на администратора безопасности ИТТ все обязанности, связанные с безопаснос
тью. Когда обязанности объединяются, важно обеспечить сохранение соответствующего контроля и ба
ланса. чтобы избежать концентрации в одних руках слишком большой ответственности без возможности
оказывать влияние или осуществлять контроль обязанностей.
5.1.2 Совет по безопасности информационно-телекоммуникационных технологий
В совет по безопасности ИТТдолжны входить люди, обладающие достаточной квалификацией, что
бы давать консультации и рекомендации в отношении стратегий, определять требования, формулировать
политику, разрабатывать программу безопасности, проверять их выполнение и руководитьадминистрато
ром безопасности ИТТ. Совет может уже существовать в рамках организации или. что предпочтительнее,
может быть создан отдельный совет по безопасности ИТТ. В обязанности такого совета или комитета вхо
дит;
- консультирование управляющего комитета ИТТ по вопросам стратегического планирования в сфе
ре безопасности;
- формулирование политики безопасности ИТТ в поддержку стратегии ИТТ и согласование с управля
ющим комитетом по ИТТ (если существует);
- транслирование политики безопасности впрограмму безопасности ИТТ;
- мониторингреализации программы безопасности ИТТ;
- анализ эффективности политики безопасности ИТТ;
- повышение осведомленности о вопросах безопасности ИТТ;
- консультирование относительно ресурсов (людских, денежных, научных и т. д.)для поддержания
процесса планирования и реализации программы безопасности ИТТ;
- решение межотраслевых проблем.
Для большей эффективности совет должен включать в свой состав членов, имеющих подготовку в
области безопасности и техническихаспектов ИТТ. а также представителей провайдеров и пользователей
ИТТ. Знания и опыт в этих сферах необходимы для разработки политики безопасности ИТТ.
13