Менеджмент информационной безопасности на уровне организации: основные направления и структура политики безопасности

В процедуре контроля выделяют следующие этапы: выработка стандартов; сопоставление с ними реальных результатов; принятие необходимых корректирующих действий.

Первый этап. Стандарты – это конкретные цели, степень достижения которых поддается измерению. Стандарты должны иметь временные рамки, в которых должна быть выполнена работа, и конкретный критерий, по которому оценивается работа.

Достаточно легко установить стандарты для величин, поддающихся количественному измерению: по прибыли, объему продаж. Но некоторые важные цели не поддаются количественному выражению напрямую. В таком случае проводятся различные обследования и опросы, происходит косвенное выражение их через другие показатели.

Второй этап процесса контроля состоит в сопоставлении реально достигнутых результатов с установленными стандартами. На этом этапе необходимо предпринять следующие действия:

определить масштаб допустимых отклонений;

измерить результаты;

оценить полученную информацию о достигнутых результатах;

сравнить результаты работы с установленными стандартами.

Контроль должен быть экономически эффективным, т.е. преимущества системы контроля должны перевешивать затраты на ее функционирование. Это достигается использованием метода управления по принципу исключения. Суть его заключается в том,что система контроля должна срабатывать только при наличии заметных отклонений от стандартов. Для этого руководство устанавливает масштаб допустимых отклонений. Если обнаруживаются отклонения, не выходящие за рамки этого масштаба, то такие отклонения не вызывают тревоги.

Самый трудный и дорогостоящий элемент контроля – измерение результатов, позволяющее установить, насколько удалось соблюсти установленные стандарты. Здесь важно правильно выбрать единицу измерения, определить частоту измерений. Все это определяется спецификой вида деятельности, подлежащей контролю. Любая система сбора информации и ее обработки довольно дорога, поэтому менеджер должен избегать искушения измерить все и как можно точнее.

В обеспечении эффективности контроля важно довести до сведения соответствующих работников организации как установленные стандарты, так и достигнутые результаты. Информация должна быть точной, поступать вовремя. Поэтому менеджерам необходимо оценить полученные данные о результатах работы и определить, насколько они нужны и достоверны. Только после этого можно сопоставлять достигнутые результаты с установленными стандартами.

На третьем этапе проверяющий определяет, какие действия следует предпринимать.Такими действиями могут быть:

невмешательство в работу;

устранение отклонений;

изменение стандартов.

Невмешательство в работу. Если фактические результаты совпадают с установленными стандартами или имеющиеся отклонения невелики (не превышают масштаб допустимых отклонений), то лучше ничего не предпринимать.

Устранение отклонений. В случае обнаружения значительных отклонений от стандартов (превышающих масштаб допустимых отклонений) следует установить причины отклонений и добиться возвращения к правильным действиям. Это происходит через изменение некоторых внутренних переменных. Например, причиной низкой производительности труда может быть отсутствие заинтересованности работников в конечных результатах, в этом случае необходимо изменить систему оплаты труда и другие переменные, оказывающие влияние на мотивацию.

Изменение стандартов. Стандарты могут оказаться нереальными. Бывает так, что в процессе реализации плана становится ясно, что планы составлены слишком оптимистично и требования стандартов выполнить практически невозможно. Это сводит на нет мотивацию. В таких случаях стандарты пересматриваются в сторону понижения.

Бывают ситуации, когда в процессе контроля выявляется необходимость пересмотра стандартов в сторону повышения.

МЕНЕДЖМЕНТ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА УРОВНЕ ОРГАНИЗАЦИИ: ОСНОВНЫЕ НАПРАВЛЕНИЯ И СТРУКТУРА ПОЛИТИКИ БЕЗОПАСНОСТИ

Москва 2012 г.
Тема 2. Основы управления подразделением по защите информации в организации