Métricas del SGSI

Las métricas deben desencadenar decisiones

Muchos informes del SGSI muestran actividad pero no controlabilidad. El número de requisitos documentados dice poco cuando no está claro qué acciones están atrasadas o qué pruebas ya no son fiables.

Por lo tanto, una métrica útil responde a una pregunta de gestión: ¿necesitamos priorizar, escalar, reelaborar o aceptar?

• Agrupar acciones abiertas por criticidad y fecha de vencimiento
• Evaluar la evidencia por actualidad y estado de revisión
• Decisiones de riesgo superficial que aún no han sido aprobadas

Las métricas más útiles para la preparación para la auditoría

Los equipos de cumplimiento se benefician más de las métricas que muestran el estado del sistema de control. Estos incluyen tareas atrasadas, desviaciones abiertas, evidencia obsoleta y requisitos sin una evaluación rastreable.

Esas métricas no deberían aparecer sólo en un informe mensual. Pertenecen al espacio de trabajo diario para que los equipos puedan identificar los cuellos de botella con antelación.

Menos KPI, más impacto

Un panel de control SGSI sólido no comienza con veinte métricas. Comienza con algunas preguntas: ¿dónde están las brechas críticas? ¿Qué decisiones faltan? ¿Qué pruebas están caducando? ¿Qué riesgos se han aceptado?

Cuando esas preguntas pueden responderse rápidamente, la organización obtiene un control real. Todo lo demás se puede agregar según sea necesario.