27.08.2013 МненияВ России с терминологией беда! И вместо того, чтобы, казалось бы, внести ясность, все наоборот только усложняется. Такой осадок остался у меня после круглого стола организованного ассоциацией «DLP-эксперт» и ГК InfoWatch. Широкая тема «Эффективное управление Информационной Безопасностью», как и следовало ожидать, свелась к эффективности ИБ. Я сам не раз поднимал эту тему и чем больше я задаюсь вопросами оценки эффективности ИБ, тем меньше понимаю, что это такое. Я могу понять, что такое уровень защищенности, оценка состояния ИБ или на крайний случай уровень соответствия требованиям ИБ. Но эффективность… Фраза, после которой финансовый директор должен видеть себя в списке Forbes «расходы на ИБ снизились в этом году на 3-5%», с точки зрения ИБ не говорит ровным счетом не о чем. Когда вспоминают про эффективность ИБ? При выборе решения и обосновании бюджета ИБ и ИТ, при подготовке отчетов для руководства, регулярно по рекомендациям стандартов ИБ, при анализе инцидентов и просто от скуки. Для обоснования бюджета показывают ценность ИБ для бизнеса в терминах денег, вспоминая полученную выгоду, оптимизацию рисков и ресурсов. Приводят аргументы про инциденты, требования, а еще лучше предписания регуляторов, аналоги по отрасли, соответствие стратегии ИТ и может быть «лучшие практики». Например, добровольная сертификация по ISO 27001 дает маркетинговое преимущество. Посчитать это сложно, но можно, например, проведя опрос потребителей. Но еще сложнее продвигать с ...
читать далее.
