понедельник, 22 февраля 2016 г.

Почему не работают советы консультантов по измерению ИБ?

    В последнее время стала популярной тема измерения ИБ. Тема в основном направлена на обоснование проектов ИБ и значимости функции ИБ, и начала бурно развиваться примерно с начала в России кризиса.
     Двигатели темы проповедуют - измерьте ИБ в деньгах, и получите Счастье в трех ипостасях:

  1. Взаимопонимание с бизнесом.
  2. Понимание куда нужно двигаться что бы помочь бизнесу развиваться\выживать.
  3. Бюджеты на ИБ-проекты и штатные единицы.

     В основе рекомендаций и ожидаемых результатов лежит в корне ошибочная предпосылка что бизнес движим сугубо экономикой. Но что такое бизнес? Это акционер, менеджер, сотрудник и регулятор. Это все люди! У людей могут болеть зубы, гореть КПЭ\KPI, умереть кошка, выходить замуж дочка, им может не нравиться кривой нос ИБшника - по своей природе люди существа во многом иррациональные - как мы выдим в политике самых разных стран люди могут годами голосовать за далеко не самых эффективных политиков.
     Именно из-за иррациональной природы людей формально молящиеся на цифры и факты консультанты Big3 - бухают вместо подготовки оригинальных презентаций (и копипастят в них потом практики какой нибудь Каролинщины), а ТОП менеджеры выгоняют их пинками даже если они сделали что-то приличное.
    "Не учите меня жить, лучши помогите материально" - конечно, одни организации более рациональны, другие менее - но что же делать если организация мягко говоря не очень рациональна? Обратимся к базовым политическим практикам, что каждый видел сам:

  1. Управление заинтересованным сторонами (stakeholder management) или "и нашим и Вашим". При принятиии решений политики тщательно анализируют все последствия от принятия решений от разных социальных групп. Если решение угрожает социальной стабильности то оно может быть отменено либо изменено. В случае необходимости повышения рейтинга политик разрабатывает программу действий по работе с определенной социальной группой, например, пенсионерами.
  2. Политический торг - перед принятием решения ведутся консультации с основными игроками, репрезентующими значимые силы. Это гарантирует как минимум отсутствие сопротивления, а как максимум - обретение новых союзников.
  3. Согласование ключевых инициатив - общественные слушания, референдумы и прочие инструменты "прямой демократии" позволяют политикам А) проверить адекватность своего понимания интересов социальных групп Б) повысить вероятность успеха реального внедрения инициативы В) разделить ответственность и риски неудачи.
  4. Публичность инициатив и операций - все законы, большинство нормативных актов, многие организационные структуры органов госуправления и госкорпораций делаются публичными - прозрачными. Прозрачность позволяет снять риски недопонимания деятельности структуры заинтересованными сторонами и снять их опасения по поводу планов в отношении их. Особенно прозрачность актуальна для контрольных служб, таких как служба безопасности, служба информационной безопасности, внутренний аудит и др.
  5. Продвижение инициатив - социальная реклама, буклеты, да мало ли инструментов для донесения точки зрения политиков до социальных групп. ИБ же часто "черный ящик", что в кризисный момент может быть выброшен из воздушного шара как непонятный балласт.

    Только понимание и защита интересов - чаяний заинтересованных сторон позволит стать доверенным советником, не замыкаясь на модели сервис-провайдера, измеряющего экономическую пользу от своих операций. Выбор модели "Служить" вместо модели "Торговаться с бизнесом" позволяет не тратить ресурсы организации на бесполезную и безнадежную борьбу с внешними игроками, пытаясь описать виртуальную прибыль и взять деньги со всех за все.
    А измерение ИБ лучше использовать для предсказания состояния ИБ в организации в будущем, что бы вместе с бизнес-людьми обсуждать как повлияет прогнозируемая ситуация на выручку, прибыль, себестоимость и другие реально ценные вещи. Ведь мы не можем управлять текущим моментом, все что происходит обусловлено тем что мы сделали ранее.

P.S.  Измерение ИБ, сервисный подход к ИБ остаются эффективными инструментами управления ценностью от ИБ. Но ценность может состоять из разных факторов - как минимум финансовых, маркетинговых, операционных и развития, а измерение не является достаточным условием для  грамотного и согласованного с развитием бизнеса управления ИБ.
    

Комментариев нет:

Отправить комментарий