Обеспечение информационной безопасности бизнеса

Голдуев Н. А.

Очевидный способ уменьшения связанного с концентрацией полномочий риска ИБ состоит в целенаправленном контроле над распределением полномочий в организации. Будем называть деятельность, реализующую такой контроль с целью предотвращения угроз ИБ от персонала, управлением системой ролей.

Можно выделить следующие способы, обычно используемые для описания распределения полномочий между сотрудниками организации:

— слабо формализованное описание, основанное на устных договоренностях или документальных соглашениях произвольной формы;

— систематизированное описание отношений с помощью организационно-функциональных схем, положений о

подразделениях и должностных инструкций;

— описание процессов деятельности организации и соответствующей системы ролей сотрудников.

Перечисленные способы не способны полностью функционально заменить друг друга, и во многих организациях такие способы применяются совместно. Кроме того, все они обычно увязывают распределяемые полномочия с задачами (функциями), для решения которых такие полномочия необходимы.

Слабо формализованное описание распределения полномочий обычно характерно для небольших организаций, деятельность которых требует высокой гибкости и (или) в которых руководитель имеет возможность и считает необходимым непосредственно отдавать распоряжения и контролировать деятельность всех сотрудников.

Организационно-функциональная схема описывает общие контуры структуры организации и связывает структурные элементы организации (подразделения и должности) с различными задачами (или видами деятельности организации). Организационно-функциональная схема обычно используется в качестве справочного материала, высокоуровневого представления, которое позволяет сразу увидеть в общих чертах устройство организации (организационную структуру, распределения между подразделениями задач и полномочий). Обратная сторона такова, что формат организационно-функциональной схемы просто не позволяет охватить многие важные детали. Отметим, например, что при чтении схемы, где на одном горизонтальном уровне показаны несколько субъектов, может сложиться ложное впечатление о сопоставимости их задач и полномочий.

Основными правовыми актами, описывающими систему распределения полномочий, в большинстве организаций являются положения о подразделениях и должностные инструкции. В положении о подразделении организации обычно определяются:

— место подразделения в организационной структуре;

— цели и задачи подразделения;

— полномочия подразделения;

— структура и численность подразделения;

— ответственность подразделения.

В должностной инструкции обычно определяются:

— название должности и соответствующего подразделения;

— перечень функций сотрудника;

— обязанности и полномочия (права);

— принципы взаимоотношения с руководством, коллегами и подчиненными.

Наиболее часто в положениях о подразделениях и должностных инструкциях встречаются следующие недостатки:

— отсутствие четких формулировок, что ведет к пересечению функций различных субъектов в организации (сотрудников и подразделений);

— потеря документом актуальности, соответствия реальным отношениям и деятельности;

— несоответствие функций, полномочий и ответственности;

— неполнота перечня функций;

— ориентация функций и полномочий на текущую деятельность при игнорировании функций, связанных с развитием и совершенствованием;

— слабая формализация «горизонтального» взаимодействия между сотрудниками и подразделениями. Реальная эффективность такого взаимодействия часто зависит от того, сложились или нет личные отношения между руководителями соответствующих подразделений.

Выделение роли, как альтернативного должности способа объединения полномочий и обязанностей сотрудника изначально

возникло в связи с потребностью менеджмента в снижении сложности различных задач организационного проектирования. Более конкретно: рассмотрение (при проектировании, исследовании или реинжиниринге) некоторого вида деятельности организации, которое осуществлялось отдельно от других видов деятельности той же организации, требовало отдельного рассмотрения участников этого вида деятельности. Любой сотрудник организации при решении такой задачи был интересен только с точки зрения его участия в конкретной рассматриваемой деятельности. Иначе говоря, была интересна его роль. Если учесть, что почти любой сотрудник участвует в нескольких видах деятельности организации, то понятно, что такой сотрудник выполняет сразу несколько ролей.

Таким образом, роль может быть выделена и необходима только в связи с необходимостью выделения и отдельного рассмотрения определенного вида деятельности в организации. Роль представляет собой более мелкий (по сравнению с должностью) элемент распределения обязанностей и полномочий между сотрудниками.

Правильно реализованное ролевое описание полномочий лишено некоторых недостатков должностной инструкции:

— ролевое описание более гибкое, поскольку в случае изменений требуются меньшие усилия для реорганизации системы обязанностей и полномочий сотрудников;

— система ролей с меньшей вероятностью (чем система должностных инструкций) будет содержать всевозможные пересечения, противоречия и неточности, поскольку она формируется для отдельных видов деятельности, где такие недостатки проще отследить и исключить;

— ролевая система дает больше возможностей точно описать горизонтальные взаимодействия между сотрудниками.

С точки зрения минимизации концентрации полномочий для предотвращения угроз ИБ от персонала ролевое описание полномочий можно считать наиболее подходящим, поскольку оно:

— дает более детальное описание полномочий, чем другие способы;

— более четко, чем другие способы, отражает соответствие полномочий и ситуаций, в которых разрешено их применение;

— позволяет быстро формировать и оценивать различные сочетания полномочий сотрудников.

Описанная выше задача распределения полномочий с целью минимизации их концентрации наиболее эффективно решается посредством формирования и структуризации системы ролей в организации.

При распределении полномочий на основе системы ролей концентрация полномочий может возникнуть в результате двух ситуаций (см. рис. 68):

— недопустимого (опасного) совмещения функций в одной роли;

— недопустимого (опасного) совмещения функций, которые относятся к разным ролям, но роли назначены одному исполнителю.

Состав функций, совмещение которых следует считать недопустимой концентрацией полномочий, должен быть определен организацией, исходя из собственных потребностей и практики. В качестве примера требований к формированию ролей и их назначению можно привести положения стандарта Банка России СТО БР ИББС-1.0-2008 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» [26] и положения Банка России № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» [56]. Например, в соответствии с пунктом 7.2.3 стандарта Банка России СТО БР ИББС-1.0-2008 с целью снижения рисков нарушения ИБ не рекомендуется совмещение следующих ролей одним сотрудником: