Обратили внимание на Риски ИБ и стали разбираться...

И что дальше ? С чего начать ?

Нужны строители - правильные Люди, чтобы соответствовать контексту построения СУОР).

716-П + 57580.3-2022 чётко определяют роли строителей СУОР в кредитных организациях, это:

1. СУР - служба управления рисками

2. ПОУОР - подразделение, ответственное за организацию управления операционным риском

3. Служба ИБ

Да, служба ИБ тут не на 1-м месте, они не хедлайнеры на этом фестивале рисков и встраиваются в общую канву СУОР, которую строит СУР с ПОУОР в своём составе.

Что же конкретно кто из них делает?

Если коротко — каждый отвечает за свой слой системы.

🎯 СУР — стратег и интегратор.

Служба управления рисками задаёт рамку: интегрирует управление риском ИБ в общую систему управления рисками кредитной организации. Именно СУР отвечает за то, чтобы три линии защиты работали слаженно, а руководитель СУР — единственное звено, имеющее прямое подчинение единоличному исполнительному органу ( если у вас не так, то читайте Указание 3624-У).

⚙️ ПОУОР — оператор и интегратор.

Подразделение, ответственное за организацию управления операционным риском, — сердце СУОР. Реализует все 7 процедур управления риском: идентификация, сбор и регистрация событий, количественная и качественная оценка, реагирование, мониторинг. За ПОУОР закреплена уникальная функция — координировать отражение событий риска ИБ в общей базе событий операционного риска и определять единую согласованную методологию управления риском ИБ совместно со Службой ИБ. Без ПОУОР система рассыпается на не связанные друг с другом куски.

🔧 Служба ИБ — исполнитель и эксперт.

Служба ИБ — основной исполнитель в части риска ИБ. На ней — ведение базы событий риска ИБ, мониторинг ключевых показателей уровня риска ИБ, формирование сводных отчётов, реализация всего технического стека защиты от угроз. И самое важное: Служба ИБ работает не в вакууме, а вписывается в методологию, которую с ней совместно определяет ПОУОР.

Любая попытка пропустить ПОУОР и связать СУР со Службой ИБ напрямую ломает архитектуру: события риска ИБ повисают вне общей базы событий, методологии расходятся, отчётность фрагментируется. Поэтому ПОУОР — несущая конструкция всей системы.

#ТриадаИБ #СистемныйПодход #ИБ_без_слез
Присоединяйтесь → t.me/osipov_sec