Подход 1. Ориентация на создание подразделения зи, полноценной по исполняемым функциям

Данный подход предполагает принципиальный отказ от услуг сторонних специализированных структур и передачу всех функций, полномочий и ответственности за обеспечение защиты информации собственной службе ЗИ.

Преимущества подхода. Первое преимущество подхода – высокая степень оперативности, следовательно, эффективности деятельности такой подразделения ЗИ. Функционируя в организации на постоянной основе, она имеет возможность осуществлять непрерывный внешний и внутренний мониторинг ситуации в области ЗИ, широко применяя профилактические методы по ее обеспечению. При выявлении конкретных угроз их пресечение будет осуществляться с высокой оперативностью, предотвращая или сокращая до минимума возможный ущерб организации (предприятию).

Второе преимущество заключается в большей степени доверия к штатным сотрудникам, нежели к привлеченным со стороны специалистам. В первую очередь это касается предотвращения утечки информации о конкретных мероприятиях, проведенных в целях обеспечения безопасности информации. Особую важность условие полной конфиденциальности соответствующих сведений приобретает в случае использования службой ЗИ полулегитимных методов.

Третьим преимуществом является высокая степень ответственности сотрудников собственной подразделения ЗИ. Приглашенные со стороны специалисты отвечают за результаты своей работы только экономически, через механизм возможных санкций в рамках контрактных выплат или индивидуальных гонораров. В отношении штатного сотрудника, в случае допущения им нарушений, работодатель вправе применить самые разнообразные санкции — психологические, экономические и административные. Угроза потери не части ожидаемого гонорара, а рабочего места объективно повышает степень ответственности, следовательно — мотивированности к труду.

Недостатки подхода. Первый и основной недостаток рассматриваемого подхода выступает высокий уровень затрат на содержание подразделения ЗИ. Для полноценного исполнения всех установленных функций в области комплексной ЗИ в организации данная подразделение должна быть обеспечена всеми необходимыми ресурсами — трудовыми, финансовыми, материально-техническими.

Вторым недостатком является сложность комплектации такой подразделения высококвалифицированными сотрудниками всех необходимых специальностей. Некоторые рабочие места в службе ЗИ могут быть замещены выпускниками гражданских вузов (например, специалистами в области юриспруденции, информатики, электроники и т. п.), а также специальных курсов. В результате многие организации (предприятия), расположенные на периферии, испытывают затруднения при найме высококвалифицированных сотрудников в службу ЗИ.

Принимая во внимание изложенные выше недостатки, рассматриваемый подход к формированию подразделения безопасности рекомендуется использовать только крупнейшим корпорациям, реализующим стратегию упреждающего противодействия угрозам.

Подход 2. Ориентация на создание подразделения безопасности, минимизированной по исполняемым функциям

Данный подход предполагает минимизацию числа штатных сотрудников подразделения ЗИ возложением основных ее функций на сторонних специализированных контрагентов, привлекаемых на договорной основе. В роли таких контрагентов могут выступать:

специализированные организации, предоставляемые услуги в области ЗИ;

частные консультанты по вопросам безопасности информации.

Организации и частные консультанты могут привлекаться:

на основе долгосрочных договоров;

на основе договора на выполнение разовой работы в режиме профилактики возможных угроз безопасности информации;

для выполнения разовой работы в режиме готовности к пресечению возможных угроз безопасности информации;

для выполнения разовой работы в режиме пресечения уже реализуемой в отношении организации угрозы безопасности информации.

Преимущества подхода. Первым преимуществом выступает меньшая капиталоемкость. При его реализации сторонние контрагенты обычно приглашаются в разовом режиме, для выполнения конкретной работы. Несмотря на высокую стоимость их услуг, это обходится дешевле, нежели содержание многочисленных штатных сотрудников собственной подразделения ЗИ. Дополнительная экономия обеспечивается и за счет отсутствия необходимости приобретать и содержать на балансе организации дорогостоящую спецтехнику, необходимую для проведения оперативной работы, оружие и т. п.

В ряде случаев ориентация на рассматриваемый подход обеспечивает возможность руководству организации снять с себя ответственность за нелегитимные действия привлеченного со стороны контрагента при выполнении им принятых обязательств.

Недостатки подхода. Основным недостатком выступает меньшая степень оперативности системы управления безопасностью информации. Безопасность информации в организации от внешних угроз при реализации такого подхода можно создать и в профилактическом режиме, например, заключив со специализированной организацией долгосрочный договор на постоянное обслуживание. Привлечение сторонних контрагентов для обеспечения безопасности информации может осуществляться только для отражения уже выявленных, т. е. реализуемых или реализованных угроз безопасности информации. По уже рассмотренным причинам пресекающие методы всегда менее эффективны, чем методы профилактического характера.

Вторым недостатком является меньшая степень доверия к ответственности сторонних для организации сотрудников при выполнении порученной им работы. По своим обязательствам перед заказчиком они отвечают только в пределах, установленных в заключенном договоре или контракте. Между тем во многих случаях добросовестность выполнения работ по обеспечению безопасности информации практически невозможно проконтролировать (например, при проведении проверки лояльности сотрудника). Кроме того, при привлечении сторонних контрагентов нельзя полностью исключать возможность утечки конфиденциальной информации, к которой они оказались допущенными в процессе работы.

Рассматриваемый подход к созданию подразделения ЗИ рекомендуется использовать только организациям, реализующим стратегию пассивной защиты от возможных угроз.