ГОСТ Р ИСО ТО 13569—2007
7.2.5 Правовая функция
Организации могут полагаться на опыт своего юридическогоотдела в отношении некоторых аспектов
менеджмента информационном безопасности. Юридическому отделу может быть вменено вобязанность
осуществление мониторинга поправок в законодательстве, постановлениях и судебных делах, которые
могут влиять на программу обеспечения информационной безопасности организации.
От юридического отдела может потребоваться проверка контрактов, касающихся служащих, клиен
тов, провайдеров услуг, подрядчиков и поставщиков с тем. чтобы гарантировать адекватное рассмотрение
связанных с информационной безопасностью юридических проблем. Такие проверки могут включать в себя
вопросы неприкосновенности частной жизни или техники безопасности на рабочем месте, а также процеду
ры увольнения и рассмотрения жалоб служащих.
При рассмотрении правовых аспектов инцидентов безопасности и их влияния на организацию могут
потребоваться консультации юридического отдела. Организации могут затребовать экспертные заключе
ния при оценке последствий процедур урегулирования инцидентов безопасности и обеспечения их соответ
ствия правовым требованиям среды функционирования, так как в соответствии с юридическим статусом
организации правовые нормы могут иметь различия. Необходимо вовлекать юридический отдел в разра
ботку. поддержание и улучшение процедур обработки последствий инцидентов безопасности, таких как
сохранение свидетельств.
7.2.6 Должностные лица
Руководитель организации или управляющий как самое главное должностное лицо в организации
несет всю полноту ответственности за ее функционирование. Руководитель организации должен санкцио
нироватьсоздание программы обеспечения информационной безопасности в соответствии сдействующи
ми нормативно-правовыми документами и стандартами, оказывать поддержку в ее осуществлении, сле
дить за выполнением важных решений, связанных с оценкой риска, и участвовать в пропаганде значимо
сти обеспечения информационной безопасности.
В то время как во многих организациях имеются должности руководителя организации, финансовой
службы организации, технического отдела и административной службы, многие организации стали вводить
также дополнительные должности руководителя по информационным технологиям и руководителя службы
обеспечения информационной безопасности на верхнем уровнеструктуры организации. Хотя руководитель
технического отдела, руководитель по информационным технологиям и службы обеспечения информаци
онной безопасности выполняют много взаимозаменяемых функций, каждоефинансовое учреждение долж
но также иметь руководителя службы обеспечения информационной безопасности, который, в конечном
счете,должен быть подотчетен руководителю технического отдела или руководителю по информационным
технологиям.
7.2.7 Управляющие делами
Управляющие делами в частности и управляющие всей организации в целом должны осуществлять
надзор и мониторингдеятельности организации и ее работников, что делает их ключевыми участниками
программ обеспечения информационной безопасности. Каждый управляющийдолжен понимать и поддер
живать политику, практические приемы и процедуры организации, следовать им. а также обеспечивать
соответствующее поведение служащих, поставщиков и подрядчиков. Управляющие делами должны соз
давать в организации атмосферу, поощряющую служащих, поставщиков и подрядчиков сообщать о проб
лемах. связанных с информационной безопасностью.
7.2.8 Сотрудники
Требования программы обеспечения безопасности должны быть включены в контракты о найме слу
жащих. Весь персонал должен быть осведомлен о последствиях своих действий и действий окружающих в
отношении безопасности. Служащиедолжны незамедлительно сообщать обо всех подозрительных со
бытиях. связанных с информационной безопасностью.
7.2.9 Сотрудники (персонал), не относящиеся к организации
Требования программы обеспечения безопасности должны быть включены в соглашения с подрядчи
ками и поставщиками услуг. Подрядчики и поставщики услуг должны быть осведомлены о практических
приемах и процедурах обеспечения информационной безопасности организации и ее подразделений и
оказывать им поддержку. Они обязаны соблюдать политику информационной безопасности организации.
Так как по экономическим или иным причинам организации могут предпочесть привлечение внешних
ре сурсов для выполнения определенных банковских функций, менеджмент риска не может быть
передан сторонним организациям и должен оставаться подответственностью организации.
16