Maturity Level (ч.3)

14 июля, 2017

Продолжая рассмотрение существующих на практике подходов, а точнее шкал по оценке уровня зрелости, применяемых к области информационной безопасности, в данной заметке будет рассмотрен ряд источников, упомянутых в довольно интересном документе по данному вопросу от SANS Institute, а именно «Improving Detection, Prevention and Response with Security Maturity Modeling».

В первую очередь в нем упоминается Capability Maturity Model (CMM) и Capability Maturity Model Integration (CMMI), которые зарегистрированы от имени частного университета Карнеги-Меллон.

Здесь интересно то, что в рамках CMMI определяются области для измерения:
- стоимость;
- сроки;
- качество;
- удовлетворенность;
- возврат инвестиций.

Дополнительно со стороны SANS Institute даются комментарии к данным областям в разрезе ИБ:

Сама шкала пятиуровневая и предназначена для оценки процессов:
- «1»: Начальный;
- «2»: Управляемый;
- «3»: Определенный;
- «4»: Количественно управляемый;
- «5»: Оптимизируемый.

Далее упоминается подход от Gartner, Inc., используемый в рамках «ITScore for Information Security».

Здесь уже область применения шире процессов, на мой взгляд, речь об обеспечении ИБ, хотя в преамбуле сказано только о risk control processes.