количество специалистов по ИБ - Форум по вопросам информационной безопасности

Коллеги, добрый день!
Подскажите, имеются ли нормы по количеству необходимых специалистов по ИБ в организации исходя из количества АРМ в ИСПДн/СЗИ/СКЗИ/сотрудников? Либо возможно существуют нормы времени по различным видам деятельности?
Если рассматривать организацию в которой имеются ИСПДн (потенциально ГИС), ЭП и СКЗИ.
Как обосновать в вышестоящей организации необходимость второго специалиста.

Например, если у организации есть лицензия ФСТЭК на деятельность по ТЗКИ, то в такой организации, как минимум должно быть 3 специалиста по ИБ.

В остальном, я думаю, должен быть здравый смысл и логика. Одному специалисту нельзя объять необъятное.

Для начала см.ниже.
А так советую начать с любого поисковика (включая этот форум). Нормативов много, но обычно начальство плюёт на них из соображений экономии. Только лицензиары или ведомственные приказы могут заставить выполнять.

Приказ Министерства здравоохранения и социального развития РФ
от 14 октября 2011 г. N 1175н
"Об утверждении Межотраслевых типовых норм времени на работы по сервисному обслуживанию оборудования телемеханики, сопровождению и доработке программного обеспечения"

Приказ Минтруда России от 03.04.2013 № 135н «Об утверждении Типовых межотраслевых норм труда (норм времени) на работы по обеспечению защиты государственной тайны в подразделениях по противодействию иностранным технических разведкам и технической защиты информации» (зарегистрирован в Минюсте России 17.07.2013 № 29082)

>имеются ли нормы по количеству необходимых специалистов по ИБ

если совет тов.Практика не применим, то исходите из трудоёмкости (количество просмотренных журналов безопасности в единицу времени), либо делегируйте функцию администратора безопасности прикладному администратору (вы определяете политику безопасности и контролируете её исполнение)

2 Alex
Вы путаете с начальниками режимных подразделений))))
Специалист по ИБ занимается настройкой и поддержкой систем безопасности (если не повезёт, вплоть до антивируса), а уж разграничение ресурсов, резервирование, инструкции - это его прямые задачи (особенно в небольшой организации, раз речь о ВТОРОМ специалисте). По уму, он же мониторит, он же правит списки и принимает решения о резервном и рабочем копировании и т д. Если на него не возложены специфические задачи (типа паспортизации и подготовки аттестации)
Совмещать администратора системы и администратора ИБ категорически не рекомендуется, именно потому, что они взаимно контролируют. Админ может править, но не может подчищать следы и менять парольные политики; а безопасник может повлиять на журналы, принять решения, но собственно маршрутизаторы и файерволы он трогать не должен.

Вот объём и сложность систем безопасности в ИТ структурах и определяют объём задач безопасника. Другое дело, что, при терпимых режимных мерах, начальство будет экономить на кадрах и ПО до реальных ЧП. И вот тогда в папочке должны быть копии документов, что "мы же вас предупреждали"))))))

>Специалист по ИБ занимается настройкой и поддержкой систем безопасности

>но собственно маршрутизаторы и файерволы он трогать не должен

нисколько не оспаривая разделение на прикладного админа и безопасника вижу в процитированном логическое противоречие. fw является элементом и ит-инфраструктуры, и безопасности - кто принимает решение о блокировке и кто пишет это правило и нажимает кнопку? поэтому я и упомянул функции и их делегирование :)

>Админ может править, но не может подчищать следы и менять парольные политики

это не так, ибо у админа всегда больше полномочий в системе, чем админ безопасности. а изменение политики (в домене поправить и запустить принудительное обновление политик on logon) - это обычный админ, никаких безопасников. вот проконтролировать...

>при терпимых режимных мерах

любая организация стремится к уменьшению нагрузки и упрощению процедур (увеличению энтропии). терпимые = приемлимые. остальное любо не согласуют, либо просто не будут работать

2 Alex
Не знаю, что у вас за структура, но банковские, крупные гос конторы (от областного руководства), распределенные коммерческие ... будут долго недоумевать над вашими выводами. В частности, что такое у вас "безопасник"
Если у вас уровень районной администрации, то один эникейщик на всё, с базовым (а то и пиратским) ПО - это повседневность жизни, далёкая от НМД
в остальных случаях "приемлемые" для руководства учреждения (то есть дёшево) не пройдёт ни одну проверку регуляторов, но эти проверки бывают или по ГТ, или (как в банках) на местах получают дистрибутивы и точные инструкции. Но там и выработку штатных норм редко доверяют местным начальникам.

>Не знаю, что у вас за структура

не это важно, а то, как обосновать изменение штатного расписания, увеличения фот перед вышестоящей организацией

>что такое у вас "безопасник"

администратор безопасности. если это не очевидно из контекста, mea culpa

> не пройдёт ни одну проверку регуляторов

это очевидно

>будут долго недоумевать над вашими выводами

давайте разберёмся вместе. разделение на администратора системы и администратора ИБ - я исхожу из пп. б.З.12, б.З.1З.

>это повседневность жизни, далёкая от НМД

если не затруднит, пришлите ссылку на нмд.

2 Alex
"Я свою работу делать за вас не собираюсь!" Попробуйте использовать знания и поисковики.

Например есть "Приказ Минздравсоцразвития РФ от 22.04.2009 N 205 "Об утверждении Единого квалификационного справочника должностей руководителей, специалистов и служащих, раздел "Квалификационные характеристики должностей руководителей и специалистов по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, противодействию техническим разведкам и технической защите информации"

Пока вы не сможете объяснить, чем руководствуется (реально и документально) именно ваша вышестоящая организация, обсуждение не имеет смысла, поскольку отклонения от идеала в каждой структуре проводят из своих соображений

>Пока вы не сможете объяснить

товарищ, вы перепутали меня с ТС

>Например есть "Приказ Минздравсоцразвития

как вы ловко подменили предмет обсуждения. "достигается упражнением" (с)? хотите обсудить возможность и основания делегирования функции администратора безопасности прикладному администратору или последовательность действий по изменению ОШР - вилькомен. но - в отдельном треде, чтобы не потерялось и ТС не парил себе мозг