Разделение функций между Информационной безопасностью и ИТ безопасностью.

[mation2001]

Доброго времени суток, коллеги.

Остро стал вопрос о разделении функционала между двумя подразделениями - Информационной безопасности (в подчинении CSO) и ИТ безопасности (в подчинении COO через директора ИТ).
Какие будут мысли по данному вопросу?

[tomato]

Мысли можно формулировать когда обсуждение предметное. Давайте список обязанностей, которые разделить между отделами нужно, тогда и свои мысли народ без проблем отпишет

[box_roller]

to
mation2001,

Я бы начал с определений. Точнее с приведения определений к общему знаменателю, разделяемыми всеми заинтересованными сторонами.
Что есть "информационная безопасность", и что есть "IT безопасность" в понимании CIO, COO, CSO и прочее.. ?

[Алексей Лукацкий]

А я бы начал с чтения форума ;-) Тут эту тему раз в полгода поднимают и есть несколько веток по данному вопросу ;-)

[Алексей Лукацкий]

А-а-а, да, сразу резюмирую, что единого ответа нет и быть не может ;-)

[Александр Бондаренко]

Прежде чем давать какие-то рекомендации хотелось бы понять

а) с чем связана "острая необходимость"
б) существуют ли эти подразделения уже или только планируется их создание
в) если уже существуют, то как сейчас распределены полномочия

[mation2001]

Алексею Лукацкому:
Форум я изучил вдоль и поперек ))
действительно тема поднималась, но немного в другом контексте, а именно, обязаности отдела ИБ как такового, если он в организации один, в том числе и подчинение его разным руководителям.
В данном случае есть 2 подразделения.

Алексей, если Вы укажете ссылку, по которой я мог бы получить ответ на свой вопрос я буду Вам благодарен.

[mation2001]

Действительно в первоначальном вопросе я дал слишком мало информации.
Теперь по пунктам:
а) необходимость связана с тем, что пришел новый CSO и хочет перераспределить функции между этими 2 подразделениями.
б) подразделения существуют достаточно давно.
в) на данное время подразделение Информационной безопасности отвечает за разработку документации, подразделение ИТ безопасности - за администрирование антивируса, конфигурирование межсетевых экранов, внедрение правил, разработанных Информационной безопасностью, мониторинг сети, генерацию и сертификацию криптоключей, предоставление прав на сетевые ресурсы, назначение прав пользователям в приложения.
Сразу хочу сказать, что все технические специалисты сейчас сконцентрированы в ИТ безопасности, в Информационной безопасности - бывшие силовики.

Вопрос идет о переходе функций мониторинга сети и работы с криптоключами в информационную безопасность.

[Алексей Лукацкий]

Так вы сами и ответили на свой вопрос ;-) Отдали функцию из одного департамента в другой и все ;-)

[Краснов Алексей]

А бывшие силовики потянут то, что на них хотят взвалить?

[Алексей Лукацкий]

Управление ключами точно потянут

[tomato]

Алексею Лукацкому:
Форум я изучил вдоль и поперек ))
действительно тема поднималась, но немного в другом контексте, а именно, обязаности отдела ИБ как такового, если он в организации один, в том числе и подчинение его разным руководителям.
В данном случае есть 2 подразделения.

Алексей, если Вы укажете ссылку, по которой я мог бы получить ответ на свой вопрос я буду Вам благодарен.

ого как, представить даже страшно компанию состоящую из одного отдела ИБ..

Действительно в первоначальном вопросе я дал слишком мало информации.
Теперь по пунктам:
а) необходимость связана с тем, что пришел новый CSO и хочет перераспределить функции между этими 2 подразделениями.
б) подразделения существуют достаточно давно.
в) на данное время подразделение Информационной безопасности отвечает за разработку документации, подразделение ИТ безопасности - за администрирование антивируса, конфигурирование межсетевых экранов, внедрение правил, разработанных Информационной безопасностью, мониторинг сети, генерацию и сертификацию криптоключей, предоставление прав на сетевые ресурсы, назначение прав пользователям в приложения.
Сразу хочу сказать, что все технические специалисты сейчас сконцентрированы в ИТ безопасности, в Информационной безопасности - бывшие силовики.

Вопрос идет о переходе функций мониторинга сети и работы с криптоключами в информационную безопасность.

Ох уж эти силовики.. Что-то мне подсказывает, что Вам мнение инициативного CSO надо знать, а не предполагать и додумывать..

[mation2001]

Мнение СSO я озвучил, это не мои догадки, а его желание.
Уточню свою позицию
Я считаю, что работа с криптоключами должна остаться в ИТ безопасности.
Лично мое мнение, что Информационная безопасность должна задавать направление, прописывать правила и контролировать исполнение.
Если криптоключами занимается информационная безопасность, кто тогда будет контролировать их деятельность?

[ion]

Мнение СSO я озвучил, это не мои догадки, а его желание.
Уточню свою позицию
Я считаю, что работа с криптоключами должна остаться в ИТ безопасности.
Лично мое мнение, что Информационная безопасность должна задавать направление, прописывать правила и контролировать исполнение.

Тут нет и не может быть единственно верного мнения, как уже говорили.
Обеспечение ИБ включает систему мероприятий, упрощенно говоря - организационного и технического характера. Как эти мероприятия будут распределены между подразделениями банка - внутреннее дело банка.
Главное, чтобы
1. сохранялось управление
2. распределение функционала соответствовало квалификации персонала
3. отсутствовал конфликт интересов

Если криптоключами занимается информационная безопасность, кто тогда будет контролировать их деятельность?

Если по сути, то это не аргумент.
Извечный вопрос - а кто будет контролировать контролеров?

[Александр Бондаренко]

При таком разделении я бы вынес функции менеджмента ИБ в отдел ИБ, а вопросы обеспечения ИБ (антивирусы, мсэ, контроль логов, управление доступом и проч.) в отдел ИТ-безопасности. Не совсем понятно зачем силовикам ключи выписывать, только если какие-то политические мотивы.

[Краснов Алексей]

Управление ключами точно потянут

... если там шифрблокноты используются

[Банкирёнышъ]

Если криптоключами занимается информационная безопасность, кто тогда будет контролировать их деятельность?

Служба безопасности... или внутренний аудит... или комиссия гавриков (из наиболее подготовленных сотрудников по вопросам СЭД с СКЗИ) назначенная Руководителем организации...

[swan1976]

Доброго времени суток, коллеги.

Остро стал вопрос о разделении функционала между двумя подразделениями - Информационной безопасности (в подчинении CSO) и ИТ безопасности (в подчинении COO через директора ИТ).
Какие будут мысли по данному вопросу?

Подразделению ИБ отдать функции формирования политики ИБ в широком смысле и контроль ее исполнения подразделениями ИТ. Плюс формирование общих отчетов и т.п.
Спустя некоторое время произойдет притирка и все пойдет...

[PSA]

Всё правильно делаете. При таком разделении эффективность наивысшая. Только ещё и проверки силовикам передайте.