1. «Оценка эффективности СУИБ»
Валентин Сысоев, CISM
Агентство Активного Аудита
Ukrainian Information Security Group

2. Внедрение механизмов контроля
Мониторинг и оценка эффективности системы управления
информационной безопасностью - это системный процесс
получения и оценки объективных данных о текущем состоянии
систем, действиях и событиях происходящих в ней,
устанавливающий уровень их соответствия определенным
критериям.
28.11.2011 © Валентин Сысоев,CISM 2

3. Методы мониторинга и оценки эффективности СУИБ
 Система сбалансированных показателей (Balanced Scorecard)
 Тест операционной эффективности (Test of Operating Effectiveness)
 Тест эффективности дизайна (Test of Design Effectiveness )
 Ключевые рисковые показатели (KRI - Key Risk Indicators)
28.11.2011 © Валентин Сысоев,CISM 3

4. Система сбалансированных показателей (Balanced Scorecard)
Система сбалансированных показателей оценивает зрелость и
компетентность повседневной деятельности управления рисками и
информационной безопасности.
Система сбалансированных показателей:
 Показывает эффективность информационной безопасности и управления рисками;
 Отображает соответствие стандартам безопасности;
 Помогает организации развивать единую систему управления рисками;
 Позволяет руководству эффективно оценивать и контролировать организацию.
28.11.2011 © Валентин Сысоев,CISM 4

5. Система сбалансированных показателей (Balanced Scorecard)
28.11.2011 © Валентин Сысоев,CISM 5

6. Ключевые рисковые показатели (KRI - Key Risk Indicators)
KRI способны показать, где организация подвергается риску, или где есть
высокая вероятность риска, или риск превышает допустимый уровень. KRI
дает возможность раннего предупреждения для выявления
потенциальных событий, которые могут
повредить непрерывности деятельности организации.
28.11.2011 © Валентин Сысоев,CISM 6

7. Test of Operating Effectiveness & Test of Design Effectiveness
ToD и ToE – это метод оценки и мониторинга СУИБ, основанное на тестировании
эффективности внедренных мер безопасности.
ToD - Test of Design Effectiveness
 действительно ли выбранные меры безопасности могут уменьшить риск
и насколько они эффективны
ToE - Test of Operating Effectiveness
 действительно ли выбранные меры безопасности внедрены и работают
так, как было задумано
28.11.2011 © Валентин Сысоев,CISM 7

8. Test of Operating Effectiveness & Test of Design Effectiveness
28.11.2011 © Валентин Сысоев,CISM 8

9. info@auditagency.com.ua
www.auditagency.com.ua
044 228 15 88
Агентство Активного Аудита
Ukrainian Information Security Group