Во многих компаниях работу над взаимодействием с информационной безопасностью начинают с каналов: определяют, где создавать заявку, куда направлять согласование и как сообщать об инциденте. Это важный шаг, но сам по себе он не делает функцию ИБ управляемой. За каждым способом обращения должен стоять заранее определённый результат. Иначе бизнес видит форму заявки, но не понимает, какие данные потребуются, кто будет отвечать за решение, сколько займёт работа и чем она завершится.

Эту задачу решает каталог услуг ИБ. Причём каталог не как перечень внутренних функций подразделения, а как договорённость с бизнесом. Для каждой услуги должны быть описаны условия запуска, необходимые вводные, владелец, ожидаемый срок, формат результата и границы ответственности.

Например, итогом оценки новой системы становится не проведённая консультация, а зафиксированные риски, обязательные требования и решение о возможности запуска. Результатом проверки подрядчика — заключение и условия, которые необходимо закрепить в договоре.

Такой каталог позволяет управлять уже не отдельными обращениями, а всей моделью предоставления услуг: видеть спрос, загрузку команды, фактические сроки, причины задержек и повторяющиеся запросы. А бизнес получает главное — предсказуемость.

Каталог услуг ИБ в вашей компании больше похож на внутренний перечень работ или на понятное обязательство перед бизнесом? #УправлениеИБ