Wskaźniki ISMS

Metryki muszą wyzwalać decyzje

Wiele raportów ISMS pokazuje aktywność, ale nie możliwość kontrolowania. Liczba udokumentowanych wymagań niewiele mówi, gdy nie jest jasne, które działania są spóźnione lub które dowody nie są już wiarygodne.

Przydatny miernik odpowiada zatem na pytanie związane z zarządzaniem: czy musimy ustalać priorytety, eskalować, poprawiać czy akceptować?

• Grupuj otwarte działania według ważności i terminu
• Oceniaj dowody według aktualności i statusu przeglądu
• Decyzje dotyczące ryzyka powierzchniowego, które wciąż nie są zatwierdzone

Najbardziej przydatne wskaźniki gotowości do audytu

Zespoły ds. zgodności odnoszą największe korzyści ze wskaźników pokazujących kondycję systemu kontroli. Należą do nich zaległe zadania, otwarte odchylenia, nieaktualne dowody i wymagania bez możliwej do prześledzenia oceny.

Dane te nie powinny pojawiać się jedynie w raporcie miesięcznym. Należy je uwzględnić w codziennym obszarze pracy, dzięki czemu zespoły mogą wcześnie identyfikować wąskie gardła.

Mniej KPI, większy wpływ

Solidny pulpit nawigacyjny ISMS nie zaczyna się od dwudziestu wskaźników. Zaczyna się od kilku pytań: gdzie są krytyczne luki? Jakich decyzji brakuje? Które dowody tracą ważność? Jakie ryzyko zostało zaakceptowane?

Kiedy można szybko odpowiedzieć na te pytania, organizacja zyskuje rzeczywistą kontrolę. Wszystko inne można dodać w razie potrzeby.