СОИБ. Проектирование. Распределение ролей по ИБ в банке

Стандарт Банка России вводит достаточно большое количество ролей в области ИБ (порядка 30) с которыми необходимо работать. Пока БР ещё не разработал РС по распределению ролей, а стандарту уже хочется соответствовать, попытаемся придумать хороший вариант выполнения положений стандарта.

Рассмотрим основные требования СТО БР ИББС–1.0–2010 связанные с ролями:

“7.2.1. В организации БС РФ должны быть выделены и документально определены роли ее работников.

Формирование ролей, связанных с выполнением деятельности по обеспечению ИБ, среди прочего, должно осуществляться на основании требований 7 и 8 разделов настоящего стандарта.

7.2.2. Роли следует персонифицировать с установлением ответственности за их выполнение. Ответственность должна быть документально зафиксирована в должностных инструкциях.”

При этом у работников могут быть роли в организации в целом и могут быть роли в определенной информационной системе (например, АБС).

Допустим у нас часть общеорганизационных ролей уже определена в должностных инструкциях, и часть ролей в информационных системах определены в «регламенте управления доступом к ИС» и «заявках на доступ к ИС».

Как организовать определение и назначение недостающих ролей и не перечеркнуть все уже разработанные на данный момент роли? Предлагаю следующий вариант.

Разрабатываем «Политику распределения ролей». В ней описываем допустимые варианты определения ролей:

· в форме паспорта роли;

· в форме раздела должностной инструкции;

· в форме раздела нормативного документа Банка;

· в форме заявки на доступ к КИС.

В ней описываем допустимые варианты персонализации ролей:

· включение ссылки на паспорт роли в должностную инструкцию работника, выпуск приказа о изменении должностной инструкции и ознакомление работника с ней;

· включение ссылки на нормативных документ с описанием роли в должностную инструкцию работника, выпуск приказа о изменении должностной инструкции и ознакомление работника с ней;

· включение описания роли непосредственно в должностную инструкцию работника, выпуск приказа о изменении должностной инструкции и ознакомление работника с ней;

· указание в тексте заявки на доступ к ИС должности и ФИО работника, ознакомление сотрудника с заявкой, включение в должностную инструкцию ссылки на заявку.

В приложении 1 к политике – будет перечень ролей.

В приложение 2 к политике – будут паспорта ролей.