Читал Кобит год назад, к сожалению, осталось только в заметках интересные мысли, про сферы влияния и так далее...но, в качестве настольной книги по инфраструктурной безопасности пользуюсь CIS critical controls 20, где вполне себе процессы, с явными схемами и метриками, которыми можно это непрерывно измерять
+1. На базе 20CSC мы построили вполне себе СУИБ. За 3 года не пожалели ни разу ))