I n f o r m a t i o n A s s u r a n c e S e c u r i t y 2 P a g e | 1

Lesson 3

D e fin in g th e C o m p a n y ’s F u n c tio n a l S e c u rity ro le s

W it h t h e a d v e n t o f d ig it a l t e c h n o lo g y , t h e r e h a s b e e n a n in c r e d ib le r is e in d e m a n d f o r I T
s e c u r it y p r o f e s s io n a ls g lo b a l ly . O r g a n iz a t io n s h a v e r e c o g n iz e d t h e im p o r t a n c e o f c y b e r -
s e c u r it y a n d a r e r e a d y t o in v e s t in r e s o u r c e s t h a t c a n d e a l w it h c y b e r t h r e a t s . T h is e n s u r e s t h e
o v e r a ll s e c u r it y o f in t e r n a l s y s t e m s a n d c r it ic a l in t e r n a l d a t a p r o t e c t io n .

L e a rn in g O u tc o m e s
A t t h e e n d o f t h e le s s o n , y o u s h o u ld b e a b le t o :
1. C o m p a r e t h e in t e r r e la t io n s h ip s a m o n g s e c u r it y r o le s a n d r e s p o n s ib il it ie s in a m o d e r n
in f o r m a t io n - d r iv e n e n t e r p r is e t o in c lu d e in t e r r e la t io n s h ip s a c r o s s s e c u r it y d o m a in s ( I T ,
p h y s ic a l, c la s s if ic a t i o n , p e r s o n n e l, a n d s o o n ) ;
2. A s s e s s t h e r o le o f s t r a t e g y a n d p o lic y in d e t e r m in in g t h e s u c c e s s o f in f o r m a t io n s e c u r it y ;
3. E s t im a t e t h e p o s s ib le c o n s e q u e n c e s o f m is a lig n in g e n t e r p r is e s t r a t e g y , s e c u r it y p o lic y ,
a n d s e c u r it y p la n s ;
4. D e s ig n a n o t io n a l i n f o r m a t io n s e c u r it y p la n t h a t in c o r p o r a t e s r e le v a n t p r in c ip le s o f lif e c y c le
m a n a g e m e n t;

W h a t a r e t h e R o l e s a n d R e s p o n s i b i li t i e s o f I n f o r m a ti o n S e c u r i t y ?

T h e d e s ig n a t e d r o le s a n d r e s p o n s ib i lit ie s o f a n I n f o r m a t io n s e c u r it y t e a m c a n v a r y fr o m
o r g a n iz a t io n t o o r g a n iz a t io n . T h e s e r o le s a n d r e s p o n s ib il it ie s c a n v a r y d e p e n d in g o n t h e
s e r v ic e o r g a n iz a t io n s s iz e , s t r u c t u r e , a n d b u s in e s s p r o c e s s e s . W it h t h a t b e in g s a id , t h e
f o llo w in g u n iv e r s a l t r u is m s s h o u ld a p p ly a c r o s s a ll s e r v ic e o r g a n iz a t io n s l o o k in g t o
im p le m e n t a n in f o r m a t io n s e c u r it y t e a m s t r u c t u r e :

 I n d iv id u a l r o le s , r e s p o n s ib ilit i e s , a n d a u t h o r it y a r e c le a r ly d e f in e d , c o m m u n ic a t e d ,
a n d u n d e r s t o o d b y a ll s t a k e h o ld e r s .
 T h e o r g a n iz a t io n a s s ig n s a n d c o m m u n ic a t e s s e c u r it y - r e la t e d f u n c t io n s t o
d e s ig n a t e d e m p lo y e e s .

T o f u r t h e r e x p a n d o n t h e im p o r t a n c e o f t h e in f o r m a t io n s e c u r it y t e a m s t r u c t u r e in y o u r
o r g a n iz a t io n , t h is a r t ic le w ill w a lk t h r o u g h e x a m p le s o f s t a n d a r d in f o r m a t io n s e c u r it y
te a m r o le s a n d r e s p o n s ib il it ie s , t h e im p o r t a n c e o f h a v in g d o c u m e n t e d jo b d e s c r ip t io n s
f o r t h e s e r o le s , a n d t h e p u r p o s e o f im p le m e n t in g a c le a r ly d e f in e d o r g a n iz a t io n a l c h a r t
t h a t g r a p h ic a lly d e p ic t s y o u r in f o r m a t io n s e c u r it y t e a m s tr u c t u r e .

I n f o r m a t i o n S e c u r it y : O r g a n i z a ti o n S t r u c t u r e , R o l e s , a n d R e s p o n s i b i l it i e s

A s s t a t e d a b o v e , it is im p e r a t iv e t h a t in d iv id u a l r o le s , r e s p o n s ib i lit ie s , a n d a u t h o r it y a r e
c le a r ly c o m m u n ic a t e d a n d u n d e r s t o o d b y a ll, a n d t h a t a n o r g a n iz a t io n a s s ig n s a n d
c o m m u n ic a t e s s e c u r it y - r e la t e d f u n c t io n s t o d e s ig n a t e d e m p lo y e e s o r o r d e r f o r a n
o r g a n iz a t io n t o h a v e a s u c c e s s f u lly p e r f o r m in g in f o r m a t io n s e c u r it y t e a m . T h e s e
r e q u ir e m e n t s a n d o t h e r s a r e o u t lin e d in t h e A I C P A ’s T r u s t S e r v ic e s
P r in c ip le s g o v e r n in g S O C 2 a u d it r e p o r t s . T h e f o llo w in g b e l o w a r e e x a m p le o u t lin e o f
v a r io u s f u n c t io n a l r o le s a n d a s s o c ia t e d r e s p o n s ib i lit ie s t h a t m a k e u p a n d c a n h e lp a
n e w o r g a n iz a t io n d e v e lo p a s t a n d a r d in f o r m a t io n s e c u r it y t e a m s tr u c t u r e :

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e S e c u r i t y 2 P a g e | 2

 E x e c u t i v e M a n a g e m e n t : A s s ig n e d o v e r a ll r e s p o n s ib il i t y f o r in f o r m a t io n s e c u r it y
a n d s h o u ld in c lu d e s p e c if ic o r g a n iz a t io n a l r o le s s u c h a s t h e C I S O ( C h ie f
I n f o r m a t io n S e c u r it y O f f ic e r ) , C T O ( C h ie f T e c h n o lo g y O f f ic e r ) , C R O ( C h ie f R is k
O f f ic e r ) , C S O ( C h ie f S e c u r it y O f f ic e r ) , e t c . T h e s e e x e c u t iv e le v e l r o le s g e n e r a lly
a r e r e s p o n s ib le f o r o v e r s e e in g t h e e n t e r p r is e in f o r m a t io n s e c u r it y s tr a t e g y t h a t
e n s u r e s in f o r m a t io n a s s e t s a r e p r o t e c t e d .
 In fo rm a tio n S y s te m S e c u r i t y P r o f e s s i o n a l s : R e s p o n s ib le f o r t h e d e s ig n ,
im p le m e n t a t io n , m a n a g e m e n t , a n d r e v ie w o f t h e o r g a n iz a t io n ’s s e c u r it y p o lic ie s ,
s t a n d a r d s , b a s e lin e s , p r o c e d u r e s , a n d g u id e lin e s . E x a m p le s o f t h e s e r o le s c a n
in c lu d e b u t a r e n o t lim it e d t o t h e f o llo w in g : I T s e c u r it y m a n a g e r , I T R is k
m a n a g e m e n t m a n a g e r , C o m p lia n c e m a n a g e r , I T s e c u r it y a n a ly s t , e t c .
 D a t a O w n e r s : O w n e r s ( d a t a o w n e r s , in f o r m a t io n o w n e r , s y s t e m o w n e r s w h o
h a v e b u d g e t a r y a u t h o r it y ) ; r e s p o n s ib le f o r :
o E n s u r in g t h a t a p p r o p r ia t e s e c u r it y — c o n s is t e n t w it h t h e o r g a n iz a t io n ’s
s e c u r it y p o lic y — is im p le m e n t e d in t h e ir in f o r m a t io n s y s t e m s
o D e t e r m in in g a p p r o p r ia t e s e n s it iv it y o r c la s s if ic a t io n le v e ls
o D e t e r m in in g a c c e s s p r iv ile g e s
 D a t a C u s t o d i a n s : A f u n c t io n t h a t h a s “ c u s t o d y ” o f t h e s y s t e m / d a t a b a s e s , n o t
n e c e s s a r ily b e lo n g in g t o t h e m , f o r a n y p e r io d o f t im e . U s u a lly n e t w o r k
a d m in is t r a t io n o r o p e r a t io n s ( t h o s e w h o n o r m a lly o p e r a t e t h e s y s t e m s f o r t h e
o w n e rs ).
 U s e r s : R e s p o n s ib le f o r u s in g r e s o u r c e s a n d p r e s e r v in g a v a ila b ilit y , in t e g r it y , a n d
c o n f id e n t ia l it y o f a s s e t s ; r e s p o n s ib le f o r a d h e r in g t o s e c u r it y p o lic y .
 I S A u d i t o r s : R e s p o n s ib le f o r :
o P r o v id in g in d e p e n d e n t a s s u r a n c e t o m a n a g e m e n t o n t h e a p p r o p r ia t e n e s s
o f t h e s e c u r it y o b je c t iv e s
o D e t e r m in in g w h e t h e r t h e s e c u r it y p o lic y , s t a n d a r d s , b a s e lin e s ,
p r o c e d u r e s , a n d g u id e lin e s a r e a p p r o p r ia t e a n d e f f e c t iv e t o c o m p ly w it h
t h e o r g a n iz a t io n ’s s e c u r it y o b je c t iv e s
o I d e n t if y in g w h e t h e r t h e o b je c t iv e s a n d c o n t r o ls a r e b e in g a c h ie v e d

T h e I m p o r t a n c e o f J o b D e s c r i p ti o n s f o r t h e I n f o r m a t i o n S e c u r i t y T e a m S tru c tu re

D o c u m e n t e d jo b d e s c r ip t io n s a r e c r it ic a l t o e n s u r e e m p lo y e e s u n d e r s t a n d t h e ir r o le s
a n d r e s p o n s ib il it ie s p e r t a in in g t o d a y - t o - d a y o p e r a t io n s . F u r t h e r , a s ig n e d
a c k n o w le d g m e n t o f jo b r e s p o n s ib ilit ie s s h o u ld t y p ic a lly b e r e q u ir e d a t t h e s t a r t o f
e m p lo y m e n t t o e n s u r e e m p lo y e e s u n d e r s t a n d , a c k n o w le d g e , a n d a r e h e ld a c c o u n t a b le
f o r t h e ir r o le s w it h in t h e o r g a n iz a t io n — a ll o f w h ic h h e lp s s t r e n g t h e n a n o r g a n iz a t io n ’s
o v e r a ll in t e r n a l c o n t r o l e n v ir o n m e n t .

F u r t h e r , n o t o n ly s h o u ld s e c u r it y jo b d e s c r ip t io n s b e d o c u m e n t e d a n d k n o w n t o k e y
p e r s o n n e l, b u t t h e y s h o u ld b e u p d a t e d a s n e e d e d a n d o f t e n r e in f o r c e d . T h is w ill a llo w
m a n a g e m e n t t o a c c u r a t e ly s e t p e r f o r m a n c e m e a s u r e s , in c e n t iv e s , a n d / o r o t h e r r e w a r d s
a p p r o p r ia t e f o r r e s p o n s ib il it ie s in t h e o r g a n iz a t io n r e f le c t in g a p p r o p r ia t e c o n d u c t a n d
p e rfo rm a n c e .

L a s t ly , p r o p e r ly d o c u m e n t e d s e c u r it y r o le jo b d e s c r ip t io n s s t r o n g ly in f lu e n c e t h e d e s ig n
o f y o u r in t e r n a l c o n tr o l f r a m e w o r k a n d in c r e a s e t h e lik e lih o o d t h a t t h e y w ill o p e r a t e
e f f e c t iv e ly .

J e n n if e r R o x a s -M a g b a n la c , M I T
I n f o r m a t i o n A s s u r a n c e S e c u r i t y 2 P a g e | 3

W h a t i s a n I n f o r m a t i o n S e c u r i t y O r g a n i z a ti o n a l C h a r t a n d H o w i s i t U s e d ?

A c le a r ly d e f in e d o r g a n iz a t io n a l c h a r t s h o u ld o u t lin e t h e s t r u c t u r e o f a n o r g a n iz a t io n ’s
s t a f f, t y p ic a lly s t a r t in g w it h a n o u t lin e o f t h e C - le v e l s t a ff , f o llo w e d b y t h e s tr u c t u r e o f
t h o s e t h a t r e p o r t in t o t h o s e C - le v e l r o le s . T h e p u r p o s e o f t h is c h a r t is t o c r e a t e a
s t r a ig h t f o r w a r d d e p ic t io n o f a n o r g a n iz a t io n ’s h ie r a r c h y , w h ic h a llo w s e m p lo y e e s t o
u n d e r s t a n d lin e s o f a u t h o r it y , r e la t io n s h ip s b e t w e e n o t h e r in d iv id u a ls in t h e
o r g a n iz a t io n , a n d w h o t h e y n e e d t o r e p o r t t o w h e n is s u e s a r is e .

O r g a n iz a t io n a l c h a r t s c a n o u t lin e t h e r e p o r t in g s t r u c t u r e a n d h ie r a r c h y o f a n e n t ir e
o r g a n iz a t io n , o r t h e y c a n b e d e v e lo p e d f o r in d iv id u a l f u n c t io n a l t e a m s , w h ic h w o u ld
t y p ic a lly o c c u r in m id t o la r g e o r g a n iz a t io n s . A n e x a m p le o f a f u n c t io n a l t e a m
o r g a n iz a t io n a l c h a r t w o u ld b e o n e t h a t is d e v e lo p e d s p e c if ic a l ly t o o u t lin e a n I n f o r m a t io n
S e c u r it y t e a m stru c ture .

L a s t ly , a n o r g a n iz a t io n a l c h a r t s h o u ld b e a “ liv in g ” a n d “ b r e a t h in g ” d o c u m e n t , m e a n in g
t h a t it s h o u ld b e u p d a t e d w h e n h e a d c o u n t c h a n g e s , a n d / o r w h e n r o le s a r e s h if t e d , in
o r d e r f o r it t o b e a n a c c u r a t e r e s o u r c e o f r e f e r e n c e .

W h a t i s a n I n f o r m a t i o n S e c u r i t y O r g a n i z a ti o n a l C h a r t a n d H o w i s i t U s e d ?

A c le a r ly d e f in e d o r g a n iz a t io n a l c h a r t s h o u ld o u t lin e t h e s t r u c t u r e o f a n o r g a n iz a t io n ’s
s t a f f, t y p ic a lly s t a r t in g w it h a n o u t lin e o f t h e C - le v e l s t a ff , f o llo w e d b y t h e s tr u c t u r e o f
t h o s e t h a t r e p o r t in t o t h o s e C - le v e l r o le s . T h e p u r p o s e o f t h is c h a r t is t o c r e a t e a
s t r a ig h t f o r w a r d d e p ic t io n o f a n o r g a n iz a t io n ’s h ie r a r c h y , w h ic h a llo w s e m p lo y e e s t o
u n d e r s t a n d lin e s o f a u t h o r it y , r e la t io n s h ip s b e t w e e n o t h e r in d iv id u a ls in t h e
o r g a n iz a t io n , a n d w h o t h e y n e e d t o r e p o r t t o w h e n is s u e s a r is e .

O r g a n iz a t io n a l c h a r t s c a n o u t lin e t h e r e p o r t in g s t r u c t u r e a n d h ie r a r c h y o f a n e n t ir e
o r g a n iz a t io n , o r t h e y c a n b e d e v e lo p e d f o r in d iv id u a l f u n c t io n a l t e a m s , w h ic h w o u ld
t y p ic a lly o c c u r in m id t o la r g e o r g a n iz a t io n s . A n e x a m p le o f a f u n c t io n a l t e a m
o r g a n iz a t io n a l c h a r t w o u ld b e o n e t h a t is d e v e lo p e d s p e c if ic a l ly t o o u t lin e a n I n f o r m a t io n
S e c u r it y t e a m stru c ture .

L a s t ly , a n o r g a n iz a t io n a l c h a r t s h o u ld b e a “ liv in g ” a n d “ b r e a t h in g ” d o c u m e n t , m e a n in g
t h a t it s h o u ld b e u p d a t e d w h e n h e a d c o u n t c h a n g e s , a n d / o r w h e n r o le s a r e s h if t e d , in
o r d e r f o r it t o b e a n a c c u r a t e r e s o u r c e o f r e f e r e n c e .

J e n n if e r R o x a s -M a g b a n la c , M I T