хорошая статья, хотя на самом деле немного идеализирована. ИТ может быть представлена не как одна служба (коммуникации и автоматизация например), к ИБ могут отнести базы данных (вот она целостность и доступность, а иногда и конфедициальность). А вапще статья хороший задел для большого исследования, если такое будет, то было бы просто замечательно

Вот для того, чтобы ИБ работала на бизнес, и нужна взаимосвязь со всеми служб. И с IT в том числе. Иначе получается лебедь рак и щука.


Не придерживаться, а учитывать.

Просто ИМХО так сложилось, что основные трения возникают именно между IT и ИБ. При том, что цели у этих служб одинаковые, они просто не понимают друг друга. (Еще из области непонимая можно привести пример с "программистами и телефонистами")

...процессных бизнес-моделей
...и нужна взаимосвязь со всеми служб
...трения возникают именно между IT и ИБ
...Мне кажется, что стоило бы рассмотреть еще структуру такого рода - некий комитет в составе СБ, ИБ, внутреннего финансового аудита, revenue assurance и риск-менеджмента
...бюджетов

Друзья, не нужно изобретать повторно велосипед. Все уже придумано и практикуется достаточно долгое время и называется это Корпоративное Управление IT, Корпоративное Управление Информационной Безопасностью (IT Governance, Information Security Governance).

to Тимофей Третьяк

не понял суть вопроса

CISO - это тоже самое что и офицер безопасности или менеджер по упр. ИБ. Почему же не встречали? Они сплошь и рядом в любой крупной организации. Вот, наш автор статьи тоже CISO. В совет директоров? Не может быть. Он туда не должен входить.

В статье не затронут, на мой взгляд, еще один очень важный аспект: для успешной работы сотрудники ИБ должны поддерживать на должном уровне свою квалификацию и знания в части ИТ, где уязвимости и методы противодействия наиболее динамично меняются и добавляются. И вот здесь в наиболее выгодной ситуации как раз находится сотрудник, совмещающий функции ИТ и ИБ. Как только сотрудник (даже очень грамотный), отрывается от "полевой работы" и уходит наверх в менеджемнт - тут же практически полностью прекращается процесс поддержания на должном уровне его квалификации, знания очень быстро устаревают и решения, основанные на таких знаниях, становятся неэффективными.

Так что, вывод службы ИБ на один уровень с топменеджерами - это палка о двух концах.

Имхо, взаимоотношения ИТ и ИБ - весьма непростой вопрос. Условия и менеджмент в организациях разные. Готовые рецепты, оторванные от реалий, могут завести этот процесс неизвестно куда. Хотя какие-то общие принципы взаимодействия должны быть. Их, полагаю, и следует прописать в некоем, ну допустим, «меморандуме». Которого неукоснительно придерживаться.
    Проблем хватает у обеих сторон. Кризис в ИТ, развиваясь лет 15-20, привел к появлению ИБ. Проблемы (кризисы) внутри ИБ появились еще быстрее - лет за 5. ИТ-шники это опытным глазом замечают и в ряде критических публикаций весьма красиво излагают. Процесс взаимной критики, думаю, приносит пользу, если, естественно, осуществляется, цивилизованно. Запрет отклонений от такого порядка также можно отразить в «меморандуме».
    Хочу напомнить, что кое-где есть еще и третья сторона – аудит ИТ, который интересуется положением дел не только в ИТ, а и в ИБ. И который, вроде как незаинтересованная сторона, может подсказать, как лучше организовать эти взаимоотношения, и какие он видит в них недостатки.
    Поскольку данные взаимоотношения в разных организациях могут весьма различаться и зависеть от множества факторов, полагаю есть смысл в этом обсуждении прислушиваться к мнению людей, проработавших лет …надцать в ИТ, и чуть меньше в ИБ (которая столько не существует).
    А если найдутся такие (например, внешние аудиторы), кто, обследовав сотню-другую организаций с нормально развитыми ИТ и ИБ, может четко изложить общеприемлемые рекомендации по установлению надлежащих взаимоотношений между ИТ и ИБ, то и их следует, с благодарностью, принять во внимание. И, таким образом, посмотреть на проблему как изнутри (глазами участников), так и снаружи (глазами незаинтересованных сторон).
    Хотя, в действительности, незаинтересованных здесь быть не может. У тех же аудиторов свой интерес.  Он, имхо, наиболее близок к интересам организации. Но и это может быть спорным вопросом. Посему предлагаю его не обсуждать, и за сие высказывание меня ногами не пинать. Итак тут уж что-то очень растре… .