Сергей Петренко - Политики безопасности компании при работе в Интернет

Таким образом, управление портфелем активов технологий безопасности представляет собой непрерывный анализ взаимодействия возникающих возможностей и имеющихся в наличии ресурсов. Непрерывность процесса управления связана с внешними изменениями (например, изменение ситуации на рынке, изменение позиций конкурента) и с внутренними изменениями (например, изменения в стратегии компании, в каналах сбыта, номенклатуре товаров и услуг и т. д.). А директор службы безопасности становится «фондовым менеджером», который управляет инвестициями в технологии безопасности, стремясь к максимизации прибыли.

Оценка действительных возможностей (Real Option Valuation, ROV). Основу методики составляет ключевая концепция построения модели «гибких возможностей компании» в будущем. Методика рассматривает технологии безопасности в качестве набора возможностей с большой степенью их детализации. Правильное решение принимается после тщательного анализа широкого спектра показателей и рассмотрения множества результатов или вариантов будущих сценариев, в терминах методики именующихся «динамическим планом выпуска/гибкости» управляющих решений, который поможет организациям лучше адаптировать или изменять свой курс в области информационной безопасности.

Метод жизненного цикла искусственных систем (System Life Cycle Analysis, SLCA). В основе российского метода SLCA лежит измерение «идеальности» корпоративной системы защиты информации – соотношение ее полезных факторов и суммы вредных факторов и факторов расплаты за выполнение полезных функций. Оценку предваряет совместная работа аналитика и ведущих специалистов обследуемой компании по выработке реестра полезных, негативных и затратных факторов бизнес-системы без использования системы безопасности и по присвоению им определенных весовых коэффициентов. Результатом работы является расчетная модель, описывающая состояние без системы безопасности. После этого в модель вводятся описанные факторы ожидаемых изменений и производится расчет уровня развития компании с корпоративной системой защиты информации. Таким образом, строятся традиционные модели «как есть» и «как будет» с учетом реестра полезных, негативных и затратных факторов бизнес-системы.

Метод SLCA применяется:

• на этапе предпроектной подготовки, для предварительной оценки эффекта от внедрения новой системы безопасности или от модернизации существующей;

• на этапе разработки технического задания на ИС в защищенном исполнении;

• на этапе проведения аудита информационной безопасности ИС предприятия, для проектной оценки ожидаемого эффекта;

Система сбалансированных показателей (Balanced Scorecard, BSC). Система сбалансированных показателей (ССП) – это методика, в рамках которой традиционные показатели финансовых отчетов объединяются с операционными параметрами, что создает достаточно общую схему, позволяющую оценить нематериальные активы: уровень корпоративных инноваций, степень удовлетворенности сотрудников, эффективность приложений и т. д.

Концепция системы сбалансированных показателей впервые была представлена в 1990 году Дэвидом Нортоном, на сегодняшний день руководителем Balanced Scorecard Collaborative, и Робертом Капланом, профессором Harvard Business School. Традиционная концепция ССП предполагает формирование так называемых стратегических карт, группирующих цели и показатели по четырем категориям (перспективам):

• финансы – финансовые цели развития и результаты работы компании (прибыль, рентабельность и т. д.);

• клиенты и рынки – цели присутствия на рынке и показатели качества обслуживания клиентов (освоение рынков и территорий продаж, время выполнения заказа и т. д.);

• процессы – требования к эффективности процессов (стоимость, время, количество ошибок, риски и т. д.);

Между всеми показателями существуют причинно-следственные связи. Например, чем выше квалификация персонала и лучше технология ведения бизнеса, тем проще поддерживать бизнес-процессы, что, в свою очередь, способствует более качественному обслуживанию клиентов и реализации конкурентных преимуществ, а следовательно, помогает достичь запланированных финансовых показателей. Таким образом, для компании в целом финансовые показатели – это конечная цель функционирования, тогда как прочие перспективы определяют будущий потенциал компании.