Методика оценки уровня зрелости кибербезопасности Сбербанка

Назначен ответственный за КБ, имеющий трудовые отношения с компанией (как минимум выполняет роль по совместительству, может быть назначен специалист, не имеющий руководящего опыта).

Определён круг обязанностей ответственного за КБ, например, в трудовом договоре и/или должностной инструкции.

Создана роль CISO (руководитель подразделения кибербезопасности), документально определены обязанности CISO.

Руководитель подразделения кибербезопасности (CISO) подчиняется непосредственно руководителю компании (CEO).

Для работников, ответственных за обеспечение КБ, документально определены должностные обязанности и ответственность за их исполнение. С должностными обязанностями ознакомлены под подпись все работники, ответственные за обеспечение КБ.

Распределена ответственность за обеспечение КБ по всем направлениям, включая обеспечение КБ при работе с третьими сторонами.

Внедрена матрица кадровых решений за нарушения в области КБ, обеспечено применение дисциплинарных взысканий за нарушение требований КБ.

Создано самостоятельное структурное подразделение, ответственное за обеспечение КБ, определены его функции и задачи. 

Организационно-штатная структура подразделения КБ сформирована с учётом направлений деятельности компании, модели угроз компании.

Определена ответственность и обязанности всех подразделений компании в части соблюдения требований КБ.

CISO имеет полномочия принимать решения об отключении ИТ-сервисов (в том числе — влияющих на бизнес-процессы) после уведомления владельцев бизнес-процессов. Соответствующие полномочия документально определены. CISO имеет право вето при согласовании новых или модификации существующих информационных потоков, АС, сервисов. Для контроля подразделение КБ включено в соответствующие процессы компании.

CISO взаимодействует с руководителями бизнес-подразделений компании, поддерживая взаимную осведомленность. Обеспечено понимание подразделением КБ бизнес-процессов, а также понимание бизнесом задач, функций и процессов КБ компании.

Штатная численность подразделения КБ планируется долгосрочно, с учётом стратегии бизнеса, стратегий ИТ и КБ.

В компании утверждена матрица компетенций КБ для работников, ролей в подразделении КБ. Для работников, не соответствующих требованиям, планируется и реализуется обучение и/или применяются кадровые решения.

Подразделение КБ участвует в разработке и обновлении корпоративной стратегии и стратегии развития ИТ компании.

CISO обладает полномочиями на отключение любых ИТ-сервисов без согласования с владельцами бизнес-процессов, в том числе сервисов, влияющих на бизнес-процессы компании.