Напомню, что всего их 7: 1.Principles, Policies and Frameworks (про них писал тут ); 2.Processes; 3.Organisational Structures; 4.Culture, Ethics and Behaviour; 5.Information; 6.Services, Infrastructure and Applications (про них писал тут ); 7.People, Skills and Competencies
name='more'>
Общая информация
В данном блоке описана рекомендуемая структура ИБ. В частности, ISACA предлагает использовать следующие функциональные единицы / роли:- Chief information security officer (CISO)
- IS steering committee (ISSC)
- IS manager (ISM)
- Enterprise risk management (ERM) committee
- Information custodians/business owners
- Information security administrators
- Information security architects
- Information security compliance and auditing officers
- Composition // Состав (только для комитетов)
- Mandate, operating principles, span of control and authority level // "Уровень власти"
- High-level RACI chart // Высокоуровневое распределение ответственности (матрица RACI)
- Inputs/Outputs // Входы и выходы
Общие выводы
- Представленный перечень ролей/комитетов ИБ достаточно интересный, но слишком высокоуровневый. Для решения определенных операционных задач потребуется его расширять. В частности, необходимы будут следующие роли: "Ответственный за обработку и обеспечение безопасности ПДн", "Аудитор", "Менеджер по непрерывности бизнеса", да и в части управления инцидентами появятся дополнительные роли. Также я обычно выделяю такую роль, как "Пользователь".
- Приятно, что для описания ролей используется инструмент RACI-chart. Интересен и сам перечень "Process Practice" (областей/функций) за которые распределяется ответственность.
Я бы рекомендовал относиться к этой таблице не столько как к руководству к действию, а скорее как к возможному варианту. Для своих нужд, я бы немного переделал.
Напомню суть. RACI-chart - это таблица, в которой визуально отображена ответственность каждой роли за определенные функции. На пересечении ролей и функций проставляется определенный символ ("R","A","C","I", или его отсутствие), что означает: - R - Responsible (исполняет)
- A - Accountable (несет ответственность, присваивается только 1 роли в рамках функции/процесса)
- C - Consult before doing (консультирует до исполнения)
- I - Inform after doing (оповещается после исполнения)
- отсутствие символа - не участвует в процессе/функции
- Итого, данная часть документа достаточно интересна и пригодится когда вы будете планировать структуру ролей ИБ, в особенности это касается всевозможных комитетов/групп.
