Это типовая модель управления информационной безопасностью и ИТ-рисками, применимая для организаций любого масштаба. Процесс запускается автоматически по расписанию через событие-таймер, что обеспечивает регулярный цикл улучшения защиты. Он включает анализ предыдущих результатов, законодательства и лучших практик, а также разработку планов и нормативной базы. Цикл завершается подготовкой итоговой отчётности и формированием события об актуализированном управлении безопасностью.
Схема построена вокруг параллельного шлюза, который разделяет поток работ на несколько независимых веток, выполняемых одновременно. Это означает, что анализ законодательства, разработка нормативных документов и планирование проектов не ждут друг друга, а идут параллельно для ускорения цикла. После завершения подготовительного этапа работы снова сходятся в параллельном шлюзе перед этапом внедрения. Такая структура отражает реальную практику, где стратегическое планирование и нормативная база готовятся синхронно с техническими задачами.
Модель подходит руководителям служб информационной безопасности, ИТ-директорам и специалистам по риск-менеджменту. Она актуальна для компаний, которым необходимо систематизировать подход к защите данных и соответствовать требованиям законодательства. Также схема полезна для аудиторов, проверяющих наличие регулярных циклов улучшения ИБ в организации.
Частая ошибка — игнорирование параллельности процессов и попытка выполнить анализ законодательства и планирование проектов последовательно, что затягивает цикл. Другая проблема — отсутствие чёткого определения источников данных для анализа лучших практик, что снижает качество принимаемых решений. Также часто забывают связать итоговую отчётность с конкретными метриками эффективности, делая её формальной.
У вас есть отличная схема, которой стоит поделиться? Мы поможем превратить её в шаблон и показать всему сообществу.
Нажмите на элемент, чтобы разобраться, что он означает и когда его применяют.
Отраслевые реестры, в деревьях которых встречается этот процесс — полезно, если описываете компанию целиком, а не одну схему.
Периодичность определяется стартовым событием-таймером. Обычно цикл повторяется ежегодно или полугодно, но может быть чаще при изменении законодательства или после инцидентов безопасности.
Параллельный шлюз показывает, что анализ законодательства, разработка нормативных документов и планирование ресурсов могут и должны выполняться одновременно, а не друг за другом.
На выходе формируются актуализированные нормативные документы по ИБ, план проектов и задач, а также итоговая отчётность по выполненным работам.
Не обязательно. Задача по доработке ИТ-архитектуры выполняется только если анализ рисков или лучших практик выявил необходимость изменений в текущей структуре.
В схеме не указана конкретная роль, но обычно эту задачу выполняют специалисты по информационной безопасности совместно с внешними консультантами или на основе данных из профессиональных баз знаний.
В процессе есть отдельная задача по внесению изменений в систему риск-менеджмента в части ИБ, что обеспечивает синхронизацию стратегий защиты и оценки угроз.
