Приложение. Рекомендации по участию совета директоров (наблюдательного совета) в процессах развития и управления информационными технологиями и управления риском информационной безопасности в публичном акционерном обществе

1. При осуществлении стратегического управления обществом ³ совету директоров рекомендуется уделять внимание вопросам развития информационных технологий и управления риском информационной безопасности, связанным с реализацией информационных угроз, в том числе обусловленных недостатками (уязвимостью) применяемых информационных технологий.

В целях обеспечения эффективного развития информационных технологий и управления риском информационной безопасности в обществе совету директоров рекомендуется:

Осуществление указанного контроля также может быть реализовано в рамках системы управления рисками и направлено на обеспечение:

финансовой устойчивости и операционной надежности (непрерывности) бизнеса, а также осведомленности об уровне риска информационной безопасности, присущего деятельности общества;

эффективной и достаточной реализации мер, направленных на снижение риска информационной безопасности до допустимого уровня;

интеграции процессов управления рисками, связанными с применением информационных технологий, и риском информационной безопасности в общий процесс риск-менеджмента организации;

своевременного выявления и реагирования на инциденты информационной безопасности;

эффективного управления взаимоотношениями с внешними поставщиками услуг и связанными с ними рисками;

оценки влияния на деятельность общества инвестиций, направленных на развитие информационных технологий и обеспечение информационной безопасности, оценки ИТ-бюджета, включая оценку проектов на всем протяжении их жизненного цикла и значительных эксплуатационных расходов;

ответственного применения информационных технологий и соблюдения этических норм при их применении.

2. С учетом характера и масштабов деятельности общества, уровня и специфики принимаемых рисков совету директоров рекомендуется определять периодичность предоставления отчетов ⁶ единоличного исполнительного органа и коллегиального исполнительного органа по вопросам создания эффективной системы управления информационными технологиями, а также системы управления риском информационной безопасности, об инвестициях в информационные технологии и обеспечение информационной безопасности, достигнутых результатах, оценке влияния внедрения новых технологий на деятельность общества.

3. С учетом целей и задач, стоящих перед обществом, а также характера и масштабов деятельности общества, уровня и специфики принимаемых рисков совету директоров рекомендуется рассмотреть вопрос о целесообразности создания комитета по информационным технологиям и комитета по информационной безопасности ⁷.

4. В случае принятия советом директоров решения о создании комитета по информационным технологиям и комитета по информационной безопасности, председателями указанных комитетов рекомендуется назначать лиц из числа членов совета директоров, обладающих компетенциями и опытом в области информационных технологий и информационной безопасности соответственно. Функции председателя комитета по информационным технологиям и председателя комитета по информационной безопасности не рекомендуется возлагать на одного и того же члена совета директоров.

5. В случае принятия советом директоров решения о создании комитета по информационным технологиям к его задачам рекомендуется отнести ⁸:

выработку рекомендаций совету директоров в части утверждения ИТ-стратегии и ИТ-политики;

контроль за организацией процессов управления информационными технологиями;

контроль за организацией процессов мониторинга и надлежащего реагирования на изменения в развитии информационных технологий, включая учет потенциальных возможностей их применения обществом, а также оценку их возможного негативного воздействия на общество и его бизнес-модель;

рассмотрение вопросов, связанных с использованием информации и информационных технологий для сохранения и повышения интеллектуального капитала общества.

6. В случае принятия советом директоров решения о создании комитета по информационной безопасности к его задачам рекомендуется отнести ⁹:

выработку рекомендаций совету директоров в части утверждения политики управления риском информационной безопасности;

контроль за организацией процессов управления риском информационной безопасности, в том числе связанным с аутсорсингом и применением сторонних информационных сервисов, включая облачные технологии;

контроль за организацией процессов обеспечения защиты информации, в том числе персональных данных.

7. При осуществлении в обществе внутреннего аудита в оценку эффективности системы внутреннего контроля и системы управления рисками ¹⁰ рекомендуется включать оценку полноты и качества реализуемых мер, направленных на снижение риска информационной безопасности.

8. Наряду со сведениями, предусмотренными законодательством Российской Федерации, в годовой отчет общества с учетом целей и задач, стоящих перед обществом, а также характера и масштаба его деятельности и принимаемых рисков рекомендуется включать сведения о развитии и управлении информационными технологиями ¹¹ и управлении риском информационной безопасности ¹², в том числе:

сведения об основных направлениях деятельности в области развития и управления информационными технологиями в отчетный период, включая цели, значимые изменения и сведения по реализации ИТ-политики и ИТ-стратегии (при их наличии);

информацию о функционировании систем управления информационными технологиями и риском информационной безопасности и критериях оценки их эффективности;

сведения о мерах, направленных на повышение уровня знаний и квалификации членов совета директоров и менеджмента в области информационных технологий;

планы общества в области повышения надежности применяемых информационных технологий и эффективности управления риском информационной безопасности.