E-ITS ISMS.1.M4: infoturbejuhi määramine

Õiguslik alus (Eesti infoturbestandard)

Eesti infoturbestandard ISMS.1.M4

> ISMS.1.M4 Infoturbejuhi määramine [organisatsiooni juhtkond]

a. Organisatsiooni juhtkond määrab infoturbe eest vastutava isiku - infoturbejuhi, kelle kohustused hõlmavad vähemalt järgmist: • infoturbeprotsessi juhtimine ja koordineerimine; • juhtkonna toetamine infoturvapoliitika kehtestamisel; • turbekontseptsiooni väljatöötamine ning koordineerimine; • infoturvapoliitika ja -meetmete jõustamine; • turvameetmete rakendusplaani väljatöötamine, elluviimise algatamine ja kontrollimine; • juhtkonna pidev teavitamine infoturbe hetkeseisust; • infoturbe projektide koordineerimine; • infoturbeintsidentide menetlemine; • infoturbeteadlikkuse suurendamine, koolituste korraldamine.

b. Organisatsiooni juhtkond tagab infoturbejuhile tööks vajalikud tingimused ja ligipääsud teabele ning objektidele.

c. Infoturbejuhi erialane kvalifikatsioon on piisav ning infoturbejuhile on tagatud võimalused oma teadmiste täiendamiseks.

d. Infoturbejuhi kompetents ja isikuomadused lisaks erialastele oskustele on järgnevad: • organisatsiooni eesmärkide ja äriprotsesside tundmine; • koostöövõime, meeskonnatöö oskused; • iseseisvalt töötamise võime; • tahe ennast erialaselt täiendada; • enesekehtestamise oskus; • projektijuhtimise kogemus.

e. Infoturbejuht teeb oma ülesannete täitmisel koostööd andmekaitsespetsialisti ning väliste regulaatoritega.

f. Infoturbejuht on kaasatud IT projektidesse ning IT-süsteemide arendusprotsessi.

Mida see praktikas tähendab

Infoturve vajab nimelist vastutajat. ISMS.1.M4 ütleb selgelt, et organisatsiooni juhtkond määrab infoturbe eest vastutava isiku — infoturbejuhi. See ei ole abstraktne „kõik vastutavad“ mudel: vastutus on ühel konkreetsel inimesel ja määramise otsuse teeb juhtkond, mitte IT-osakond omavahel.

Infoturbejuhi kohustused on nõudes loetletud ja need ulatuvad tunduvalt kaugemale tehnilisest tööst. Tema ülesanded hõlmavad vähemalt:

• infoturbeprotsessi juhtimist ja koordineerimist;
• juhtkonna toetamist infoturvapoliitika kehtestamisel;
• turbekontseptsiooni väljatöötamist ning koordineerimist;
• infoturvapoliitika ja -meetmete jõustamist;
• turvameetmete rakendusplaani väljatöötamist, elluviimise algatamist ja kontrollimist;
• juhtkonna pidevat teavitamist infoturbe hetkeseisust;
• infoturbe projektide koordineerimist;
• infoturbeintsidentide menetlemist;
• infoturbeteadlikkuse suurendamist ja koolituste korraldamist.

Määramisest üksi ei piisa. Nõue paneb juhtkonnale ka kohustuse tagada infoturbejuhile tööks vajalikud tingimused ning ligipääsud teabele ja objektidele. Teisisõnu: kui inimene on paberil määratud, aga ta ei pääse ligi süsteemidele, dokumentidele või ruumidele, mida ta peab hindama, ei ole nõue täidetud. Samuti peab tema erialane kvalifikatsioon olema piisav ja talle peab olema tagatud võimalus oma teadmisi täiendada.

Lisaks erialastele oskustele kirjeldab nõue ka oodatavat kompetentsi ja isikuomadusi: organisatsiooni eesmärkide ja äriprotsesside tundmine, koostöövõime ja meeskonnatöö oskused, iseseisvalt töötamise võime, tahe end erialaselt täiendada, enesekehtestamise oskus ning projektijuhtimise kogemus. Infoturbejuht teeb oma ülesannete täitmisel koostööd andmekaitsespetsialisti ja väliste regulaatoritega ning ta on kaasatud IT-projektidesse ja IT-süsteemide arendusprotsessi.

Mida ettevõte peab tegema

1. Tehke juhtkonna tasandil määramisotsus. Kuna nõude adressaat on organisatsiooni juhtkond, peab infoturbejuhi määramine olema juhtkonna vormistatud otsus — näiteks juhatuse otsus või käskkiri, milles on nimeliselt kirjas infoturbe eest vastutav isik. Hoidke see dokument alles: see on kõige lihtsam tõend selle kohta, et vastutus on määratud.

2. Kirjutage kohustused ametijuhendisse. Kandke nõudes loetletud kohustused infoturbejuhi ametijuhendisse või rollikirjeldusse ühekaupa: infoturbeprotsessi juhtimine ja koordineerimine, juhtkonna toetamine infoturvapoliitika kehtestamisel, turbekontseptsiooni väljatöötamine ja koordineerimine, poliitika ja meetmete jõustamine, turvameetmete rakendusplaani väljatöötamine ning elluviimise algatamine ja kontrollimine, juhtkonna pidev teavitamine, infoturbe projektide koordineerimine, intsidentide menetlemine ning teadlikkuse suurendamine ja koolituste korraldamine. Nii ei jää ükski loetelu punkt kellegi teise „hallile alale“.

3. Tagage tingimused, ligipääsud ja pädevus. Juhtkond peab kirja panema ja tegelikult võimaldama infoturbejuhile ligipääsud teabele ja objektidele ning tööks vajalikud tingimused — sealhulgas ajaressursi, kui roll on kellelgi kõrvalülesandena. Hinnake tema erialast kvalifikatsiooni ja leppige kokku, kuidas on tagatud teadmiste täiendamine (nt koolitusplaan). Värbamisel või rolli sisemisel täitmisel kasutage valikukriteeriumidena nõudes toodud kompetentse: äriprotsesside tundmine, koostöö- ja meeskonnatöö oskused, iseseisvus, enesetäiendamise tahe, enesekehtestamine ja projektijuhtimise kogemus.

4. Sidustage roll teiste protsessidega. Fikseerige koostöökord andmekaitsespetsialistiga ning kord, kuidas infoturbejuht suhtleb väliste regulaatoritega. Lisage IT-projektide ja IT-süsteemide arendusprotsessi kirjeldusse nõue, et infoturbejuht on kaasatud — näiteks kohustusliku kooskõlastajana projekti alguses ja arendusetappides. Kui vajate täiendavat tuge nõude tõlgendamisel või tõendamisel, lähtuge Riigi Infosüsteemi Ameti (RIA) avaldatud juhistest.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.