Завести эталонный обменник - без охраны. И вести статистику...:)))

 

Риски-то все равно известны. И если риски нереализованы - это уже плюс, с точки зрения владельца. Другое дело, как ему доказать, что это заслуга СБ...

 

Организуйте контролируемое нарушение. Заодно сами слабые места увидите. Правда, по полной программе это накладно получится, но может того стоит.

 

И постоянный мониторинг и ведение статистики потенциальных угроз. Но это совсем накладно будет, если у вас не атомный реактор под охраной...

Тема весьма актуальна для меня, хотелось бы получит четкий ответ об оценке эффективности СБ, и КР

СБ, КР, ДР - это прежде всего инструмент по добыванию информации. Результатом работы этих структур, по моему мнению, на 80-90 процентов является информация. Если с этим соглашаться, то СБ, КР, ДР должны принимать участие с момента постановки бизнес-цели, работать на подготовку и принятие бизнес-решения, а также на проверку полученного результата.

"СБ, КР, ДР - это прежде всего инструмент по добыванию информации. Результатом работы этих структур, по моему мнению, на 80-90 процентов является информация. Если с этим соглашаться, то СБ, КР, ДР должны принимать участие с момента постановки бизнес-цели, работать на подготовку и принятие бизнес-решения, а также на проверку полученного результата."

 

Совершенно верно. Но вот каким образом измереть эффективность данных структур? Вопрос остается открытым. И что интересно никто пока четкого предложения не высказал.

Возможно, не очень корректно (или слишком абстрактно) задан вопрос насчет оценки эффективности.

 

Если посмотреть по аналогиям, на любые другие поддерживающие основной бизнес процессы, увидим два крайних варианта:

 

1) "Мешок денег на мешок услуг". Заказчик не очень представляет, что именно ему надо, конкретные услуги не выделены, метрики не определены, работа делается "по понятиям". Оплата - тоже :)

2) Определены конкретные услуги, все услуги имеют метрики, измеримые параметры. Как сейчас модно, выделены процессы (кстати, иногда и правда полезно)

 

В первом случае оценить эффективность в случае КР/БР достаточно сложно. Можно только защиту периметра оценить, по числу состоявшихся "прорывов"

 

Во втором случае все параметры задаются заранее. Остается их померять. А сначала убедить заказчика/владельца, что именно эти услуги ему нужны, именно с таким соотношением цена/качество, и именно эти услуги снизят его риски на такую-ту величину в вечнозеленых президентах.

 

Т.е., возможно, имеет смысл поставить оценку с головы на ноги - не оценивать эффективность заранее неопределенной деятельности, а заранее такую деятельность формировать - вместе с методикой оценки.