Métricas do SGSI

As métricas têm de desencadear decisões

Muitos relatórios do SGSI mostram atividade, mas não capacidade de controlo. O número de requisitos documentados diz pouco quando continua por esclarecer que ações estão em atraso ou que evidências já não são fiáveis.

Uma métrica útil responde, por isso, a uma pergunta de gestão: precisamos de priorizar, escalar, refazer ou aceitar?

• Agrupar as ações em aberto por criticidade e prazo
• Avaliar as evidências pela atualidade e pelo estado da revisão
• Dar visibilidade às decisões de risco que ainda não foram aprovadas

As métricas mais úteis para a preparação para auditorias

As equipas de compliance beneficiam sobretudo de métricas que mostram a saúde do sistema de controlo. Estas incluem tarefas em atraso, desvios em aberto, evidências desatualizadas e requisitos sem uma avaliação rastreável.

Essas métricas não devem aparecer apenas num relatório mensal. Pertencem ao espaço de trabalho diário, para que as equipas possam identificar os estrangulamentos cedo.

Menos KPIs, mais impacto

Um bom dashboard do SGSI não começa com vinte métricas. Começa com algumas perguntas: onde estão as lacunas críticas? Que decisões faltam? Que evidências estão a expirar? Que riscos foram aceites?

Quando é possível responder rapidamente a estas perguntas, a organização ganha um controlo real. Tudo o resto pode ser acrescentado conforme necessário.