Штатная ИБ‑структура в вузе: от разрозненных требований к работающей модели

Современный вуз управляет разнородной цифровой и инженерной инфраструктурой: информационными системами образовательного и административного назначения, базами научных данных, личными кабинетами, системами видеонаблюдения и контроля доступа, а также автоматизированными системами управления инженерными и технологическими процессами. В этих системах могут обрабатываться персональные данные, коммерческая тайна, интеллектуальная собственность и иная информация ограниченного доступа. Отдельные объекты могут относиться к критической информационной инфраструктуре и (или) содержать в составе средства криптографической защиты информации. Поэтому штатная структура ИБ должна учитывать не один формальный статус, а всю совокупность применимых требований и ответственности.

Зачастую функции ИБ подразделения распределяются между ИТ-отделом, лицами, обрабатывающими персональные данные, подразделениями эксплуатации зданий, кадровой и юридической службами, владельцами систем(подразделениями) и работниками учебной части. При этом не всегда определено, кто ведёт учёт информационных систем, информационных активов и средств защиты информации, в том числе СКЗИ и ключевых документов, кто разрабатывает, внедряет и контролирует меры защиты, кто категорирует объекты КИИ, кто организует мониторинг, реагирование на инциденты, резервное копирование и осуществляет взаимодействие с внешними организациями по вопросам ИБ. В результате этого «контролируемого» хаоса полномочия дублируются, пересекаются, отсутствуют или остаются незакреплёнными, пухнет бюджет, а работа стоит.

Как формируется штатная структура ИБ

Процесс создания штатной структуры ИБ представляет собой организационное проектирование, в рамках которого анализируется инфраструктура вуза, определяются регуляторные контуры и фактически выполняемые функции, оценивается кадровая обеспеченность и формируется целевая модель управления безопасностью. Результатом становится не типовой перечень должностей, а обоснованная структура с понятными полномочиями, компетенциями, порядком взаимодействия и бюджетированием.

Основные этапы проекта

В ходе проекта по созданию штатной структуры ИБ проводятся следующие работы:

• формирование матрицы применимости требований к ИС, ИСПДн, СКЗИ, АСУ ТП и объектам КИИ;
• инвентаризация систем, существующих ролей, функций и организационных документов;
• выявление отсутствующих, незакреплённых, дублирующихся и несовместимых функций ИТ и ИБ;
• расчёт трудоёмкости, численности и требований к квалификации специалистов;
• разработка схемы подчинённости и матрицы ответственности;
• подготовка проектов штатного расписания, положения о подразделении, должностных инструкций и регламентов взаимодействия.

Сбор информации и разграничение функций ИТ и ИБ

Сбор информации проводится на основании уже существующих в вузе организационных документов и интервью с руководством, ИТ-службой, владельцами информационных систем, ответственными за обработку персональных данных, эксплуатацию СКЗИ и инженерной инфраструктуры. Отдельное внимание уделяется разграничению функций ИТ и ИБ: эксплуатация систем не должна подменять независимый контроль выполнения требований, оценку рисков и координацию реагирования. Учитываются филиальная структура, режим работы систем и фактическая загрузка работников, возможность заключения договора с внешней организации на критические позиции.

Возможности привлечения внешней организации

Привлечение внешней организации не означает передачу ей ответственности руководства вуза или замену работников, наличие которых требуется законодательством. Передача отдельных работ на аутсорсинг предусматривается только там, где это допустимо, а необходимые внутренние полномочия, управление и контроль закрепляются в вузе.

Результаты создания штатной структуры ИБ

Такой подход позволяет планировать бюджет, и подбор специалистов, подготовиться к внедрению мер защиты информации и последовательно защищать образовательные, научные, административные и технологические процессы.

По итогам проекта вуз получает карту регуляторных контуров, целевую организационную схему, обоснование численности, перечень функций и компетенций, матрицу ответственности, проекты штатного расписания, положения о подразделении ИБ и должностных инструкций.