Периодически читаю статьи по методам оценки уровня зрелости ИБ в организации. Метрики, опросные листы, показатели, как, что, чем измерять. Как графики рисовать. Потом как правильно их понимать. Рай для методистов.

Все проще.

При встрече с заказчиком задаю два вопроса: 1. Список группы реагирования есть ?, дежурный администратор не в счет.

2. Что побежим спасать в первую очередь ?, бухгалтерию?, бэкапы ?, Exchange ?.