Идеально напрямую генеральному, но как правило это СБ организации, бывает редко отдельно от ДИТ и СБ
Подчинение всяким СБ это такой же путь вникуда как и подчинение ИТ или CTO. Самый правильный вариант это прямое подчинение генеральному. Однако, возможна ситуация когда генеральный будет больше прислушиваться к СТО а не ИБ.