Актуальность публикации вызвана вниманием к проблеме формирования достоверных результатов измерения (оценки) результативности систем менеджмента информационной безопасности (СМИБ). Лица, принимающие решения, должны оперировать достоверными результатами выполнения измерений результативности СМИБ, основанными на объективных количественных метриках ИБ. Известные способы оценки систем безопасности представляются без учета требований цикла PDCA и отдельно от общих требований, предъявляемых непосредственно к СМИБ. Выполненное исследование применимых стандартов (ISO, NIST, ГОСТ) и существующей практики дало возможность предложить методику формирования метрик ИБ, позволяющую оценить численно результативность СМИБ. В качестве методической базы для выбора метрик ИБ применяются стандарты ISO серии 27000 и, дополнительно, оптимизированная для цикла PDCA теория “элитных групп”. Предложенная база позволяет обеспечить формирование численных метрик ИБ и перейти к оценке результативности СМИБ на базе суперкритериев различного типа. Результаты исследования могут найти практическое применение при независимой оценке результативности СМИБ.