08.11.2021
Специальная публикация NIST (Национального института стандартов и технологий США) 800-12 «Введение в информационную безопасность» (часть 3)

3 Роли и обязанности

В следующей главе описаны конкретные организационные роли и их соответствующие обязанности. Четко определенные роли и обязанности помогают организации и ее сотрудникам работать более эффективно, определяя ответственных за выполнение определенных задач. В большой организации это поможет, гарантируя, что ни одна задача не будет упущена из виду. В небольшой, менее структурированной организации рабочая нагрузка может быть распределена более равномерно, поскольку от сотрудника может потребоваться выполнение нескольких задач. Приведенный ниже список не является исчерпывающим списком всех возможных ролей в организации. Каждая организация может определять свои собственные конкретные роли или иметь другое соглашение о названиях должностей в зависимости от своей миссии или организационной структуры. Однако основные функции остаются прежними. Для более подробного описания обязанностей, назначенных каждой роли, см. приложение D в NIST SP 800-37.

3.1 Функция управления рисками (высшее руководство)

Функция управления рисками - это отдельное лицо или группа (например, члены совета директоров, генеральный директор (CEO), ИТ-директор (CIO) в организации, ответственные за обеспечение того, чтобы: (i) связанные с рисками соображения для отдельных систем рассматривались с точки зрения всей организации с учетом общие стратегические цели организации при выполнении ее основных миссий и бизнес-функций, и (ii) управление рисками безопасности, связанными с системой, является единообразным для всей организации, отражает терпимость к рискам организации и рассматривается вместе с другими типами рисков по порядку для обеспечения успеха миссии/бизнеса. Обязанности включают, но не ограничиваются:

  • Определение целостного подхода к устранению рисков во всей организации;
  • Разработка стратегии управления рисками организации;
  • Поддержка обмена информацией между уполномоченными должностными лицами и другими старшими руководителями внутри организации; а также
  • Надзор за деятельностью, связанной с управлением рисками, в масштабах всей организации.


3.2 Главный исполнительный директор (CEO)

Главный исполнительный директор - это высшее должностное лицо или руководитель высшего звена в организации, несущее общую ответственность за обеспечение защиты информации, соизмеримой с риском и величиной ущерба (т. е. воздействия) на операционные активы организации, отдельных лиц или другие организации, которые могут возникнуть в результате несанкционированного доступа, использования, раскрытия, нарушения, модификации или уничтожения: (i) информации, собираемой и хранимой организацией или от ее имени; и (ii) системы, используемые или управляемые агентством, подрядчиком агентства или другой организацией от имени агентства. Обязанности включают, но не ограничиваются:

  • Обеспечение интеграции процессов управления информационной безопасностью с процессами стратегического и операционного планирования;
  • Убедиться, что информация и системы, используемые для поддержки операций организации, имеют надлежащие меры защиты информации; а также
  • Подтверждение того, что обученный персонал соблюдает соответствующее законодательство, политики, директивы, инструкции, стандарты и руководящие принципы в области информационной безопасности.

3.3 Директор по информационным технологиям (CIO)

Директор по информационным технологиям - это должностное лицо организации, ответственное за: (i) назначение старшего сотрудника по информационной безопасности; (ii) разработка и поддержка политик, процедур и методов контроля безопасности для удовлетворения всех применимых требований; (iii) надзор за персоналом, несущим значительную ответственность за информационную безопасность, и обеспечение надлежащего обучения персонала; (iv) оказание помощи старшим должностным лицам организации в выполнении их обязанностей по обеспечению безопасности; и (v) в координации с другими старшими должностными лицами, ежегодные отчеты об общей эффективности программы информационной безопасности организации, в том числе о ходе корректирующих действий. Обязанности включают, но не ограничиваются:

  • Выделение ресурсов, предназначенных для защиты систем, поддерживающих миссию и бизнес-функции организации;
  • Обеспечение защиты систем утвержденными планами безопасности и разрешения на работу; а также
  • Обеспечение эффективной реализации программы информационной безопасности в масштабах всей организации.

3.4 Владелец информации/стюард

Владелец информации/стюард - это должностное лицо организации, имеющее законодательные, управленческие или оперативные полномочия в отношении указанной информации, которое отвечает за разработку политик и процедур, регулирующих ее создание, сбор, обработку, распространение и удаление. Обязанности включают, но не ограничиваются:

  • Установление правил надлежащего использования и защиты предметной информации; а также 
  • Предоставление информации владельцам систем относительно требований безопасности и мер безопасности, необходимых для адекватной защиты информации о предмете.

3.5 Старший сотрудник агентства по информационной безопасности (SAISO)

Старший сотрудник по информационной безопасности агентства является должностным лицом организации, ответственным за: (i) выполнение обязанностей главного сотрудника по информационной безопасности в соответствии с FISMA; и (ii) выполнение функций основного связующего звена между главным информационным директором и уполномоченными должностными лицами организации, владельцами систем, поставщиками общих средств контроля и сотрудниками службы безопасности системы. В некоторых организациях эта роль может также быть известна как руководитель по информационной безопасности (CISO). Обязанности включают, но не ограничиваются:

  • Управление и реализация общеорганизационной программы информационной безопасности; а также
  • Принятие на себя роли уполномоченного официального представителя или специалиста по контролю безопасности, когда это необходимо.

3.6 Уполномоченное должностное лицо (АО)

Уполномоченное должностное лицо - это высшее должностное лицо или должностное лицо, наделенное полномочиями формально брать на себя ответственность за эксплуатацию системы с приемлемым уровнем риска для операций и активов организации, отдельных лиц и других организаций. Обязанности включают, но не ограничиваются:

  • Утверждение планов безопасности, меморандумов о соглашении или взаимопонимании, планов действий и основных этапов, а также определение того, требуют ли значительные изменения в системе или рабочей среде повторной авторизации; а также
  • Обеспечение того, чтобы уполномоченные официальные представители выполняли все действия и функции, связанные с авторизацией безопасности.

3.7 Уполномоченный официальный представитель

Уполномоченный официальный представитель - это должностное лицо организации, которое действует от имени уполномоченного должностного лица для координации и проведения необходимых повседневных действий, связанных с процессом авторизации безопасности. Назначенный представитель выполняет функции АО, но не может принимать на себя риск для системы. Обязанности включают, но не ограничиваются:

  • Выполнение обязанностей уполномоченного должностного лица по назначению;
  • Принятие решений в отношении планирования и обеспечения ресурсами процесса авторизации безопасности, утверждения плана безопасности, утверждения и мониторинга реализации планов действий и контрольных точек, а также оценки и/или определения риска; а также
  • Подготовка окончательного пакета разрешений, получение подписи уполномоченного должностного лица на документе с решением о разрешении и передача пакета разрешений соответствующим должностным лицам организации.

3.8 Старшее должностное лицо агентства по вопросам конфиденциальности (SAOP)

Старшее должностное лицо агентства по вопросам конфиденциальности - это старшее должностное лицо организации, которое несет общую ответственность и подотчетность за обеспечение реализации агентством мер защиты конфиденциальности информации, включая полное соблюдение агентством федеральных законов, постановлений и политик, касающихся конфиденциальности информации, таких как закон «О неприкосновенности частной жизни». Обязанности включают, но не ограничиваются:

  • Контроль, координация и содействие усилиям агентства по соблюдению конфиденциальности; 
  • Изучение процедур обеспечения конфиденциальности информации агентства, чтобы убедиться, что они являются исчерпывающими и актуальными; а также
  • Обеспечение, того чтобы сотрудники и подрядчики агентства прошли соответствующую подготовку и образовательные программы в отношении законов, постановлений, политик и процедур, регулирующих обращение агентства с личной информацией.

3.9 Поставщик общих элементов управления

Поставщик общих элементов управления - это лицо, группа или организация, ответственные за разработку, внедрение, оценку и мониторинг общих элементов управления (т. е. элементов управления безопасностью, унаследованных системами). Обязанности включают, но не ограничиваются:

  • Документирование определенных в организации общих средств контроля в плане безопасности (или эквивалентном документе, предписанном организацией); а также
  • Обеспечение того, чтобы требуемые оценки общих средств управления выполнялись квалифицированными оценщиками с соответствующим уровнем независимости, определенным организацией.

3.10 Владелец системы

Владелец системы - это должностное лицо организации, ответственное за закупку, разработку, интеграцию, модификацию, эксплуатацию, обслуживание и утилизацию системы. Обязанности включают, но не ограничиваются:

  • Учет эксплуатационных интересов сообщества пользователей (т. е. пользователей, которым требуется доступ к системе для выполнения миссии, бизнеса или эксплуатационных требований);
  • Обеспечение соблюдения требований информационной безопасности; а также
  • Разработка и поддержание плана безопасности системы и обеспечение того, чтобы система была развернута и эксплуатировалась в соответствии с согласованными мерами безопасности.

3.11 Офицер безопасности системы (SSO)

Офицер по безопасности системы отвечает за обеспечение надлежащего состояния операционной безопасности для системы и, как таковой, работает в тесном сотрудничестве с владельцем системы. Обязанности включают, но не ограничиваются:

  • Наблюдение за повседневными операциями по обеспечению безопасности системы; а также
  • Помощь в разработке политик и процедур безопасности и обеспечение соблюдения этих политик и процедур.

3.12 Архитектор информационной безопасности

Архитектор информационной безопасности - это физическое лицо, группа или организация, отвечающая за обеспечение того, чтобы требования информационной безопасности, необходимые для защиты основных миссий и бизнес-процессов организации, адекватно учитывались во всех аспектах архитектуры предприятия, включая эталонные модели, модели сегментов и решений, а также итоговые системы, поддерживающие эти миссии и бизнес-процессы. Обязанности включают, но не ограничиваются:

  • Служит связующим звеном между архитектором предприятия и инженером по информационной безопасности; а также
  • Координация с владельцами систем, поставщиками общих средств контроля и сотрудниками службы безопасности системы по выделению средств контроля безопасности как специфичных для системы, гибридных или общих средств контроля.

3.13 Инженер по безопасности системы (SSE)

Инженер по безопасности системы - это физическое лицо, группа или организация, ответственные за выполнение работ по проектированию безопасности системы. Обязанности включают, но не ограничиваются:

  • Проектирование и разработка организационных систем или обновление унаследованных систем; а также
  • Координация деятельности, связанной с безопасностью, с архитекторами информационной безопасности, старшими офицерами информационной безопасности агентства, владельцами систем, поставщиками общих средств контроля и офицерами системной безопасности.

3.14 Оценщик контроля безопасности

Оценщик средств контроля безопасности - это лицо, группа или организация, ответственные за проведение всесторонней оценки управленческих, эксплуатационных и технических средств контроля безопасности и улучшений контроля, используемых в системе или унаследованных ею, для определения общей эффективности средств контроля (т. Е. степень, в которой средства управления реализованы правильно, работают по назначению и дают желаемый результат в отношении выполнения требований безопасности для системы). Обязанности включают, но не ограничиваются:

  • Обеспечение оценки для выявления слабых мест или недостатков в системе и среде ее работы;
  • Рекомендации корректирующих действий для устранения выявленных уязвимостей; а также
  • Подготовка отчета об оценке безопасности, содержащего результаты и выводы оценки.

3.15 Системный администратор

Системный администратор - это физическое лицо, группа или организация, отвечающая за настройку и обслуживание системы или определенных компонентов системы. Обязанности включают, но не ограничиваются:

  • Установка, настройка и обновление оборудования и программного обеспечения;
  • Создание и управление учетными записями пользователей;
  • Контроль за задачами резервного копирования и восстановления; а также
  • Внедрение технических мер безопасности.

3.16 Пользователь

Пользователь - это физическое лицо, группа или организация, которым предоставлен доступ к информации организации для выполнения возложенных на него обязанностей. Обязанности включают, но не ограничиваются:

  • Соблюдение политик, регулирующих допустимое использование организационных систем;
  • Использование ИТ-ресурсов, предоставленных организацией, только для определенных целей; а также
  • Сообщение об аномалиях или подозрительном поведении системы.


Читайте также


Комментарии 0