Модель зрелости как инструмент развития процесса безопасности в организации

А.В. Баскаков
Слушатель группы MBA 32А CSO-01
Школы IT-менеджмента
РАНХиГС при Президенте РФ

Постановка задачи по внедрению и продвижению любого процесса управления в организации должна соответствовать уровню организационного и технологического развития, и в частности, процессов обеспечения безопасности. Требования к реализации мероприятий по безопасности должны формулироваться с учетом уровня зрелости этих процессов в конкретной организации.  Проще говоря, не пытайтесь требовать внедрить мощную современную технологию, если уровень организации не соответствует уровню технологии. Этот вывод относится и к использованию нового оборудования. Практически всегда современные технические средства требуют чрезвычайно высокого уровня обслуживания. Если персонал в целом не обладает необходимой производственной и корпоративной культурой, то очень быстро это оборудование потеряет свои параметры, либо просто будет испорчено.

Для определения стадии организационного и технологического развития организации и ее процессов в мировой практике существует понятие «модель зрелости». Модель зрелости используется как инструмент измерения состояния процесса на основе набора метрик, которые представляют собой определенные характеристики. Оценка этих метрик по оговоренной шкале позволяет понять состояние процессов организации, которая и будет характеризовать уровень зрелости. После получения оценки зрелости можно выработать необходимые мероприятия для повышения  зрелости процессов и организации в целом.

В зарубежной практике применение моделей зрелости как инструмента управления широко развито, в том числе и для управления процессами безопасности. В российской практике не сложилась необходимость использования моделей зрелости, однако в этом, по мнению автора, существует необходимость. Иллюстрацией может служить серия стандартов по безопасности 27ххх, регулирующая вопросы безопасности. Например, в стандарте ISO 27001:2005 существует требования к наличию в организации процедуры анализа рисков. Всегда возникает вопрос как же выполнить это требования, в каком объеме и на каком уровне детализации для разных по величине компаний. Очень часто менеджеры по безопасности обращают внимание именно на размер организации и почти никогда на уровень ее организационного и технологического развития. Ответить на этот вопрос нам поможет модель зрелости, на основе оценки уровня зрелости процессов безопасности. Если уровень зрелости организации низкий, детальная проработка процедуры оценки рисков не имеет смысла, и может заключаться в экспертной оценки рисков и определении приоритетных направлений безопасности. Тогда как в организациях, где уровень зрелости процессов безопасности на высоком уровне, процедура оценки рисков должна не только функционировать, но и иметь детальную проработку методики,  шкал, и т.д.
Целью данной работы является обзор существующих зарубежных  моделей зрелости для формирования представления о возможности их применения в российской практике. Автор нашел более 10 моделей зрелости, в данной статье приведен обзор следующих моделей 1:

• Open Information Security Management Maturity Model (O-ISM3) – разработана независимым консорциумом The Open Group;
• Enterprise Information Management Maturity Model (EIM MM) – разработана Gartner, Inc;
• NISTIR-7358 методология PRISMA – разработана National Institute of Standards and Technology;
• Community Cyber Security Maturity Model (CCSMM) – разработана The Center for Infrastructure Assurance and Security  The University of Texas.

1. Обзор мировых практик по формированию моделей зрелости
1.1. Модель Open Information Security Management Maturity Model
Модель  «Open Information Security Management Maturity Model (O-ISM3)», разработана независимым консорциумом The Open Group (www.opengroup.org), полностью учитывает требования ISO / IEC 27000:2009, COBIT, ITIL.

Краткая характеристика модели
Модель О-ISM3 оценивает зрелость функционирования существующих процессов системы управления информационной безопасности (СУИБ) организации. Модель разрабатывалась как методика, которая поможет менеджерам информационной безопасности оценить свою собственную рабочую среду и запланировать процессы управления безопасностью.

Модель O-ISM3 требует, чтобы процессы СУИБ были задокументированы, измерялись и управлялись. O-ISM3 так же требует, чтобы были зафиксированы бизнес-цели организации, и на их основе определены цели и задачи безопасности. Отличительной особенностью модели O-ISM3 является то, что она основана на оценке зрелости каждого из применяемых в СУИБ контролей (мер безопасности). Т.е. чтобы управлять контроле�