ГОСТ Р ИСО ТО 13569— 2007
7.2.10 Должности, связанные с безопасностью
7.2.10.1 Введение
В настоящем пункте определяются три связанные с безопасностью должности в рамках программы
обеспечения информационной безопасности, которые наделяются разными уровнями обязанностей и фун
кциями. необходимыми для выполнения программы обеспечения информационной безопасности. Данные
должности функционально определены, хотя способы административного управления персоналом органи
зации могут различаться.
В некоторых организацияхотвечающей за информационную безопасность персонал может представ
лять собой отдельную структурную единицу, а вдругих организациях персоналу функциональных структур
(отделов, служб) могут быть поручены обязанности, связанные с обеспечением информационной безопас
ности в дополнение к собственным. Возможно также совмещение двух обязанностей.
Какую бы структуру не имела программа обеспечения информационной безопасности, должностные
лица и управляющие должны оказыватьданной программе поддержкудля повышения ее эффективности.
В больших организациях может быть полезно создатьдополнительныедолжности для эффективного вы
полнения специализированных функций, например, разработчик архитектуры безопасности. В более мел
ких организациях персоналу, вероятно, придется выполнять несколько обязанностей одновременно.
7.2.10.2 Руководительслужбы обеспечения информационной безопасности
Руководитель службы обеспечения информационной безопасности отвечает за проектирование, внед
рение программы обеспечения информационной безопасности и управлению ею. Под управлением руково
дителя службы обеспечения информационной безопасности персонал надругих уровнях выполняет обя
занности по осуществлению политики и практических приемов программы обеспечения информационной
безопасности. Руководитель службы обеспечения информационной безопасности может иметь специаль
ный штат и осуществлять административное управление персоналом, отвечающим за информационную
безопасность. Также руководитель службы обеспечения информационной безопасности можетосуществ
лять ограниченный оперативный контроль за персоналом, выполняющим обязанности, связанные с инфор
мационной безопасностью, в дополнение к своим основным обязанностям. Независимо от величины орга
низации или стиля руководства, руководитель службы обеспечения информационной безопасности являет ся
лицом, несущим всю ответственность перед советом директоров и управляющими за выполнение про
граммы обеспечения информационной безопасности.
Руководитель службы обеспечения информационной безопасности должен управлять выполнением
программы обеспечения информационной безопасности всоответствии сусловиями, определенными орга
низацией как необходимые для успеха в бизнесе. Руководитель службы обеспечения информационной
безопасности отвечает за:
- подготовку финансовой сметы и обоснование программы обеспечения информационной безопасно
сти перед управляющими;
- разработку архитектуры безопасности, которая согласуется со стратегией бизнеса;
- руководство персоналом разных уровней, который внедряет архитектуру безопасности и выполняет
связанные собеспечением информационной безопасности обязанности;
- проведение оценок риска, которые подтверждают правильность архитектуры безопасности, и рас
крытие недостатков, требующих особого внимания;
- придание огласке политики, практических приемов и процедур обеспечения безопасности и управ
ление программы повышения осведомленности о безопасности;
- осведомленность о текущих угрозах и уязвимости, а также новых методах и средствах обеспечения
информационной безопасности для противодействия этим угрозам и уязвимостям;
- обеспечение соответствующего вовлечения организации в деятельность по защите критической
инфраструктуры в странах, где организация ведет свой бизнес.
7.2.10.3 Ответственный за информационную безопасность
Ответственный за информационную безопасность — это любое лицо в организации, отвечающее за
разработку, внедрение и поддержку программы обеспечения информационной безопасности под руковод
ством руководителя службы обеспечения информационной безопасности. Лица, ответственные за инфор
мационную безопасность, могут входить вштат руководителя службы обеспечения информационной безо
пасности или быть внештатными сотрудниками, находясь вадминистративном подчинении вдругом струк
турном подразделении организации. Ответственный за информационную безопасность, имея обширные
знания и опыт, может быть назначен на особую должность, например на должность разработчика архитек
туры безопасности. Сотрудники, ответственные за информационную безопасность, могут обладать специа
лизированными значениями в области таких методов и средств обеспечения информационной беэопаснос-
6— 2590
17