Кто такой методолог ИБ?
О методологах ИБ не часто говорят в перечнях специализаций в ИБ. Вакансий методолога ИБ не так много, как технических специалистов. Но с каждым годом их становится всё больше.
Я сама работаю методологом ИБ – уже во второй компании.
Не путайте с методистом: методист – это человек, который занимается построением образовательных программ.
Чем занимается методолог?
Если коротко, то методолог занимается организацией процессов ИБ. По сути методолог занимается тем, что могло бы ожидаться от CISO в части управления ИБ, но CISO в компании один, а задач у него столько, что нормированный рабочий день ему (ей) только снится. В зарубежных вакансиях такой специалист называется GRC – Governance, Risk and Compliance.
Если вам интересна методология ИБ, я рекомендую почитать учебник по подготовке к ISACA CISM.
Подробный перечень зон ответственности методолога зависит от компании, её размера, особенностей управления, и в него может входить:
🍪 составление организационных ЛНА по ИБ: политика ИБ, положение о конфиденциальности, перечень конфиденциальной информации, положение о коммерческой тайне, документация СУИБ, положение о подразделении ИБ, должностные инструкции сотрудников ИБ
🍪 оформление и поддержание базы знаний ИБ: наведение порядка в хаосе, формирование структуры базы знаний, правил её ведения, редактирование страниц и разделов так, чтобы они были понятны тем, кто их будет читать, включая нетехнических специалистов
🍪 помощь в написании (а часто написание за них) документов техническим специалистам по ИБ, у которых чаще всего требования лежат в голове, а перенести на бумагу очень тяжело
🍪 решение юридических вопросов ИБ (хорошо, если вместе с юристами): как не нарушить закон, обеспечивая ИБ, как кого-то правильно уволить за нарушение ИБ, лицензирование деятельности по ИБ, взаимодействие с регуляторами по ИБ
🍪 соответствие внешним требованиям и стандартам в области ИБ (и смежных вроде непрерывности, требований к хранению данных и т.п.): законодательства, регуляторов, вышестоящих организаций, контрагентов, добровольная сертификация
🍪 аналитика: оценка состояния ИБ по внешнему или внутреннему фреймворку, BIA, внутренние аудиты
🍪 управление рисками ИБ, непрерывности: организация, формирование методик и процессов, интеграция в процессы компании, проведение анализа и оценки, формирование планов обработки рисков, организация обработки рисков, внедрение и поддержание GRC-системы
🍪 соответствие требованиям законодательства о персональных данных: выполнение функций DPO
🍪 сопровождение внешних аудитов: аудиты регуляторов, головной компании, аудиты не по теме ИБ (например, финансовые аудиты, в которых есть вопросы ИБ), сбор и организация хранения артефактов для аудиторов и результатов аудитов, организация работ по исправлению найденных несоответствий
🍪 анализ и улучшение процессов ИБ: поиск пробелов и несвязностей в процессах, изменение и контроль процессов
🍪 организация комплексного подхода к ИБ, где решаются не точечные проблемы, а повышается зрелость по домену ИБ целиком
Кто может работать методологом по ИБ?
Проще всего работать методологом бывшему консультанту по ИБ с широким профилем (например, как я 😊). Это точно не работа, которой можно заниматься сразу после выхода из вуза: нужен широкий кругозор в ИБ, гибкость, умение находить компромиссы, делать MVP. Нужно уметь смотреть на ИБ сверху вниз, с позиции менеджмента и общей картинки, а не конкретных контролей. И нужна большая насмотренность, чтобы понимать, что будет работать в долгосрочной перспективе, а что – мертворожденное и быстро отвалится.
Нужен ли вашей компании методолог?
Всё зависит от факторов:
- количество и сложность внешних требований
- желание компании вырасти из штанов стартапа и жить по процессам
- наличие ФОТ на еще одного ИБшника)
Без роли методолога, если у вас есть функция ИБ, вы точно не обойдетесь, но в небольшой компании скорее всего сотрудник будет совмещать эту роль с какой-то другой ролью в ИБ. Поэтому присмотритесь, возможно в вашей компании уже есть методолог, просто вы его не замечали)
