Теоретические аспекты модели зрелости системы информационной безопасности

Следует начать с того, что неотъемлемой частью управления большинства организаций, независимо от их формы собственности, является управление информационной безопасностью, которое включает в себя совокупность взаимосвязанных подпроцессов, вносящих, в свою очередь, значимый вклад в достижение ключевых целей управления информационной безопасностью и, соответственно, образующих систему управления информационной безопасностью (СУИБ).
В отличие от отечественной практики, в зарубежной использование модели зрелости для управления процессами информационной безопасности распространено достаточно широко. Как пример, серия стандартов ISO27000, регулирующая вопросы управления информационной безопасностью, реализация которых основана на СУИБ. Так, модель зрелости была применена в стандарте ISO27001. Безусловно, рано или поздно перед организацией, которая ведет деятельность по управлению информационной безопасностью, встает вопрос об аспектах выполнения данных требований и объема детализации. Ответить на все подобные вопросы может модель зрелости, в основе которой проведение оценки уровня зрелости процессов обеспечения информационной безопасности.
На рисунке 1 представлен процесс проведения оценки информационной безопасности в общем виде [5, с. 69].
Рисунок 1 - Процесс проведения оценки информационной безопасности
Отметим, что предназначение модели зрелости состоит в поэтапном совершенствовании разного рода процессов в компаниях [4, с

. 59]. Одна из ключевых причин использования моделей зрелости – в масштабах всего предприятия улучшения занимают существенное время, поэтому модель зрелости в кибербезопасности предоставляет возможность руководству способ оценки прогресса, который достигнут в обеспечении безопасности в повседневных и стратегических задачах [1]. Кроме того, благодаря моделям зрелости могут определить свои слабые и сильные стороны.
Модель зрелости информационной безопасности, как правило, описывает ряд характеристик, которые ожидается увидеть в организации на основе эффективного подхода к кибербезопасности. Данные характеристики включают такие функции, как эффективное руководство и управление, процессы управления рисками информационной безопасности и набор используемых технологий. Каждая характеристика содержит описание видов деятельности и процессов, характерных для организаций, находящихся на разных уровнях зрелости. Организация, которая стремится оценить степень зрелости своей системы кибербезопасности, сравнивает свою собственную практику с практикой, описанной в уровнях каждой характеристики. Оценки подкрепляются фактическими данными.
Наиболее распространенными и часто используемыми моделями зрелости в сфере информационной безопасности являются [3, с