It на службе безопасности

[Loo]

Уважаемый Оззи! Вот категорически не согласен. И в части задач ИТ по "максимально простому" предоставлению информации, и в части подчинения. Для правильного спора надо конкретизировать условия (что за компания, какие услуги, и т.п.) :о)))

[Оззи]

Уважаемый Оззи! Вот категорически не согласен. И в части задач ИТ по "максимально простому" предоставлению информации, и в части подчинения. Для правильного спора надо конкретизировать условия (что за компания, какие услуги, и т.п.) :о)))

 

Мне нужно было сделать оговорку, что я максимально загрубил ситуацию. Конечно я очень сильно утрировал.

 

Вполне вероятно, что Вы основываетесь на своих практиках, но я лично не сталкивался со случаями, когда подчинение ИТ службы службе ИБ хотя бы всерьез обсуждалось как вариант. Совмещение функций у сотрудников ИТ и возложение на них части ИБ задач - да, безусловно, совместная работа при проектном методе - тоже. Если нужно - пусть ИБ "сядет" на АТС и провайдеров, например, забрав часть инфраструктуры из-под юрисдикции ИТ. Но не более.

 

Руководство службой предполагает распределение бюджета, определение приоритетов развития, развитие новых сервисов. Если одна служба будет подчинена другой - неизбежно будет перекос в пользу одной из них. Там, где ИТ имеет второй уровень подчинения (типа лежит под финансами или технологами или еще кем ) - везде имеет бледный вид, как минимум становится зависимой от личной эрудиции шефа, у которого ИТ становится подсобной службой, либо обузой. Как правило, ИТ в настоящее время связывает в целое все подразделения компании, поэтому не нужно ИТ подчинять одному из них.

 

Две структуры, два бюджета.

 

Помимо этого, при подчинении ИТников ИБ или наоборот нарушается один из оргпринципов - принцип разделения функций и полномочий, а также принцип взаимного контроля.

 

ИТ - отдельная область. Ведь никто не пытается подчинять отдел продаж безопасникам? Именно подчинять организационно?

 

ИБ и так должна иметь возможность влияния на остальные службы и подразделения, с помощью реализации контрольной, консультативной и методической функций, которые являются ОСНОВНЫМИ. Реализация их возможна тогда, когда ИБ служба максимально "развязана" с остальными подразделениями.

 

Помимо этого должен работать так называемый форум или совет безопасности состоящий из топов и руководителей подразделений. На нем должны обсуждаться вопросы безопасности, его решения утверждает руководитель организации и как правило этого достаточно, чтобы диктовать минимально необходимые условия всем структурам.

 

Эта логика не противоречит стандартам ИБ.

 

Так что я остаюсь при своем мнении. Даешь независимость мух от котлет! :-)

 

ПС Еще раз повторюсь - насчет привязки к конкретике - согласен. Допускаю, что специфика может вынудить к самым причудливым вариантам структурных решений.

[terr]

Кстати, если сами не спецы в какой-то области, то всегда можно нанять стороннюю организацию проверить своих ИТэшников. Мы у себя пробывали организовать взлом, а потом предоставили информацию руководству. А затем усилили защиту.