Универсального ответа нет. Выбор зависит от того, что именно вы хотите оценить: управление рисками, зрелость процессов, уровень внедрения контролей или соответствие требованиям регуляторов.
Краткая шпаргалка по основным подходам:
📌 NIST CSF 2.0
Фокус: управление киберрисками
Подходит компаниям любого масштаба и часто используется как базовый фреймворк для оценки текущего состояния и определения целевого уровня зрелости.
📌 CIS Controls v8
Фокус: практические меры защиты
Помогает оценить уровень внедрения технических контролей и понять, какие базовые меры безопасности уже реализованы, а какие еще предстоит внедрить.
📌 ISO 27001 / 27002
Фокус: система менеджмента информационной безопасности
Подходит организациям, которым важно выстроить процессы в соответствии с требованиями стандартов и регуляторов.
📌 COBIT 2019
Фокус: связь ИТ, ИБ и бизнеса
Полезен, когда необходимо показать, как функции ИТ и информационной безопасности поддерживают бизнес-цели компании.
📌 CMMI
Фокус: зрелость процессов
Используется для оценки того, насколько процессы формализованы, управляемы и воспроизводимы.
📌 BCI Maturity Model
Фокус: непрерывность бизнеса
Помогает оценить зрелость процессов обеспечения непрерывности деятельности и восстановления после инцидентов.
Илья Сафронов, CISO компании «Атом», рекомендует не ограничиваться одним подходом 👇🏻
Фреймворки можно и нужно комбинировать: например, использовать NIST CSF как основу оценки, а CIS Controls — для более глубокой проработки технических мер защиты.
Анализ фреймворков — лишь часть занятия Ильи Сафронова в модуле «Стратегия ИБ под новую реальность». Участники также учатся оценивать зрелость ИБ, проводить GAP-анализ и составлять дорожную карту развития.
Модуль доступен в записи — присоединяйтесь, чтобы сформировать стратегию ИБ для своей компании под чутким руководством действующих CISO.
#ДиректорПоИБ