Кроки процесу не повинні бути послідовними. Тип метричних показників залежить від того, на якому етапі свого життєвого циклу знаходиться система та від зрілості програми безпеки системи ІТ.

8.2.2 Визначення інтересів співвласника

На першому кроці процесу розробки метричних показників (рисунок 8.1), будь хто всередині організації може бути співвласником безпеки ІТ, однак деякі функції мають більший пріоритет в безпеці, ніж інші. Основними співвласниками безпеки ІТ є:

1. Директор підприємства;

2. Директор інформаційний службовець (СІО);

3. Менеджер програми безпеки/службовець безпеки інформаційної системи (ISSO);

4. Менеджер програми/власник системи;

5. Системний адміністратор/адміністратор мережі;

6. Персонал підтримки ІТ.

Другорядними співвласниками безпеки є члени організації, головною метою яких не є безпека, але вони торкаються неї в деяких аспектах діяльності.

Прикладами другорядних співвласників безпеки є:

1. Директор фінансів (CFO);

2. Навчальна організація;

3. Людські ресурси/Організація персоналу;

4. Головні інспектори (IG).

Інтереси кожного співвласник будуть відрізнятися, вони залежать від їх посади в рамках ієрархії організації. Кожен співвласник може вимагати окремий набір метричних показників. Інтереси співвласників можуть бути визначені в ході інтерв`ю, “мозкової атаки”, перегляді обов`язків. Загальна кількість метричних показників повинна бути 5-10 для кожного співвласника окремо. Рекомендується використовувати меншу кількість метричних показників для кожного співвласника, якщо організація встановлює програму безпеки; кількість метричних показників буде збільшуватись по мірі дозрівання програми безпеки ІТ та метричних показників.

Співвласники повинні бути включені в кожний крок розвитку метричних показників безпеки для гарантії того, що існує сенс використовувати метричні показники системи безпеки на багатьох рівнях організації для підвищення загального успіху програми.

8.2.3 Визначення цілей

На другому кроці процесу розробки метричних показників визначаються та документуються основні цілі ефективності програми безпеки для керування впровадженням заходів безпеки в систему. Цілі безпеки системи для федеральних урядових систем викладені в формі високо рівневих політик та вимог, законів, правил, включаючи:

1. Акт Клінгера-Кохена;

2. Директиви президентських рішень;

3. FISMA,

4. Проспект ОМВ А-130, додаток lll,

5. NIST FIPS та спеціальні публікації.

8.2.4 Перегляд процедур, керівництв та політик безпеки ІТ

На кроці 4 процесу розробки метричних показників, будь-які існуючі метричні показники чи сховища метричних показників, які можуть бути використані для отримання значень, повинні бути переглянуті. Відповідна інформація повинна бути підготовлена та використана для ідентифікації відповідних ознак, які будуть приймати участь в розробці метричних показників та зборі даних. Вимоги безпеки системи, процеси та процедури, які були використані, можуть бути отримані через багато джерел, тобто документів, інтерн`ю та спостережень. Наступні джерела повинні містити інформацію, з якої можуть бути отримані дані метричних показників:

1. Плани системи безпеки;

2. FISMA OMB план дій POA&M звіти;

3. Пізні знаходження GAO та IG;

4. Контроль за діями, пов`язаними з безпекою, такими як звіти про інциденти, тестування, керування мережею, аудит логів та ін.;

5. Оцінка ризиків та результати тестових проникнень;

6. Документація С&A;

7. Плани непередбачених обставин;

8. Плани конфігурації управління;

9. Статистика та результати навчання.

Як тільки практики системи безпеки стають розвиненими та документи, що описують практики, змінюються, існуючі метричні показники будуть знищені. Замість них будуть розвиватися нові. Для гарантії того, що нові метричні показники відповідають вимогам, ці документи та аналогічні документи повинні бути переглянуті для ідентифікації нових зон, які будуть охоплювати метричні показники.

8.2.5 Розробка та вибір метричних показників

Кроки 5,6 та 7 (рисунок 8.1) включають розробку метричних показників, що оцінюють процес застосування, ефективності, результативність та збиток діяльності. Специфічний аспект безпеки ІТ, на якому метричні показники будуть фокусувати свою діяльність, залежить від рівня ефективності. Реалізація буде виконуватись наступним чином:

1. Встановлення політик та процедур;

2. Оцінювання застосування політик та процедур;

3. Оцінювання результатів застосування політик та процедур;

4. Ідентифікація збитку від застосування політик та процедур.

Область застосування можливих метричних показників, що базуються на існуючих політиках та процесах, дуже велика. Метричні показники повинні бути розділені за пріоритетами для того, щоб кінцевий набір обраних для ініціалізації метричних показників мав наступні характеристики:

1. Сприяє покращенню застосованих заходів безпеки з високим пріоритетом. Високий пріоритет може бути визначений звітами GAO чи IG, результатами оцінки ризику, чи внутрішньою метою організації;

2. Використовує дані, які дійсно можуть бути отримані з існуючих процесів чи архівах даних;

3. Оцінює процеси, які вже існують та є відносно стабільними. Оцінювання неіснуючих чи нестабільних процесів не надасть значимої інформації про ефективність безпеки та не буде корисною для планування специфічних аспектів ефективність. З іншого боку спроба такого оцінювання не буде повністю марною, тому що такі метричні показники будуть все ж таки давати неповні результати та ідентифікувати зони, які вимагають покращення.

Підприємства можуть вирішити використовувати вагову шкалу, щоб відрізнити важливість обраних метричних показників та гарантувати те, що результати точно відображають існуючі пріоритети програми безпеки. Вага метричних показників повинна будуватися на загальних цілях зменшення ризику та є корисною для полегшення інтеграції метричних показників безпеки ІТ в основних відомчий процес планування.

Покроковий метод може бути необхідним для ідентифікації коротко-, середньо - та довгострокових метричних показників, в яких час використання залежить від комбінації ефективності на системному рівні, пріоритетах метричних показників, доступності даних та стабільності процесів. Як тільки застосовані метричні показники, що містять якості, описані вище, ідентифіковані, вони повинні бути ідентифіковані в Детальній Формі Метричних показників.

8.2.6 Встановлення цілей ефективності

Після ідентифікації та описання метричних показників в лінії індикації форми метричних показників повинні бути ідентифіковані цілі ефективності. Цілі ефективності встановлюють критерій, на основі якого оцінюється успіх. Ступінь успіху базується на наближенні результатів метричних показників до сформованої цілі ефективності. Механізм встановлення цілей ефективності відрізняється для метричних показників реалізації та інших трьох типів метричних показників (ефективність, результативність та збиток). Для метричних показників реалізації ціль встановлюється в 100% завершенні специфічних завдань. Коли метричні показники реалізації, що відповідають всім критичним елементам NIST SP800-26, досягають 100% завершення завдання, організація досягає рівня 3.

Встановлення цілей для метричних показників ефективності, результативності чи збитку є більш складною задачею, тому що ці аспекти режиму безпеки не передбачають особливий рівень продуктивності. Менеджменту необхідно буде прийняти якісні та суб`єктивні причини для виявлення відповідних рівнів ефективності безпеки та результативності, та використати ці рівні як цілі ефективності для відповідних метричних показників. Також все організації бажають ефективно застосовувати заходи безпеки, отримувати найвищу результативність від сервісів безпеки та мінімальний збиток від подій безпеки в ході їх виконання, відповідні оцінки будуть відрізнятися для різних систем. Організація може зробити спробу встановити цілі ефективності для цих метричних показників та повинна бути готова для виправлення цих цілей, що базуються на реальних оцінках, як тільки вони прийняті. Організація також може вирішити не встановлювати цілі для метричних показників, доки не будуть поведені перші оцінки, що може бути використано як точка відліку. Як тільки точка відліку прийнята та корегуючи дії ідентифіковані, можуть бути встановлені відповідні цілі ефективності, які будуть реалістичними для специфічної системи. Якщо цілі ефективності не можуть бути встановлені після визначення точки відліку, менеджмент повинен оцінити чи вимірюючи дії та відповідні їм метричні показники надають очікувані для організації значення.

Встановлення базової точки для метричних показників ефективності, результативності та збитку, та встановлення цілей ефективності може бути полегшене, якщо доступні історичні дані, що відносяться до цих метричних показників.

На рисунку 8.2 надано приклад тенденції розвитку метричних показників безпеки ІТ, що базується на проценті схвалених планів безпеки.

Рисунок 8.2 - Приклад тенденції розвитку метричних показників безпеки ІТ

8.3 Реалізація впровадження метричних показників в організації