KPI ответственного за ИБ на год: что брать из уже посчитанных метрик
Метрик для руководства может быть восемь. Личных KPI у ответственного за ИБ — три-четыре на год. Если сделать целью всё, цифры начнут подгонять, а то, чем человек не управляет, станет поводом для спора о премии. Возьмите цели из уже посчитанных показателей: метрики ИБ для руководства. Не стройте второй дашборд: скрипт одной страницы остаётся инструментом сбора, не личным KPI.
Статья опирается на логику направления «Отчётность и метрики» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. NIST CSF 2.0 отделяет измерение состояния от управления: nist.gov/cyberframework. Это не российский закон.
Что становится KPI, что остаётся метрикой
| Показатель из отчёта | В KPI? | Почему |
|---|---|---|
| Просроченные критичные уязвимости | Да | ИБ задаёт срок и эскалирует; результат виден |
| Охват логов на критичных системах | Да, если ИБ может требовать агент | Иначе это KPI администратора, вам — эскалация |
| Успешные пробные восстановления | Да как факт организации проверки | Сами копии делает ИТ, ИБ отвечает, что проверку провели |
| Охват обучением | Да доля прошедших, не «качество клика» | Формула без LMS: метрика обучения |
| Число инцидентов | Нет | Атаки не в вашей власти; смотрите время реакции и разборы |
| Доля кликнувших учебную рассылку | Нет как KPI | Иначе начнут не учить, а прятать результаты. Оставляйте в отчёте |
| Охват MFA | Только если вы реально включаете MFA | Часто это ИТ; тогда KPI — доля заявок, закрытых вовремя |
На год достаточно четырёх строк в приложении к должностной инструкции и к плану на год: формулировка, формула (как в отчёте, без новой), цель, дата сверки. Покрытие хостов агентами и обновлениями считайте отдельно, это не то же самое, что «охват логов»: метрика покрытия.
Как согласовать, чтобы не спорить в декабре
- В январе покажите руководителю таблицу: что берём в KPI, что оставляем в квартальном отчёте.
- Цель должна быть достижима текущими руками. «Ноль уязвимостей» без окна патчей — ловушка.
- Не вешайте на KPI закупку, которую бюджет не утвердил: сначала статья сметы, потом цифра.
- Сверка — в том же квартальном отчёте, не в отдельном «личном рейтинге». Для совета директоров цифры те же, язык другой: отчёт совету.
Риск: премия целиком на одном проценте. Тогда в ноябре отключат сканер «чтобы просрочка упала». Держите хотя бы две разнородные цели (уязвимости и обучение, или копии и логи).
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Восемь KPI как восемь метрик | Нет выбора. Оставьте четыре, остальное — наблюдение |
| KPI «снизить инциденты на 50%» | Неуправляемо. Замените на срок реакции или на закрытие разборов |
| Цель есть, формулы нет | В декабре посчитают иначе. Скопируйте формулу из статьи про метрики один в один |
| ИБ отвечает за MFA, а включает его только ИТ | Снимите KPI или добавьте в матрицу: кто включает, кто эскалирует |
Где это в модели зрелости
Материал относится к направлению «Отчётность и метрики» (хаб: метрики, карта: карта зрелости). Отчёт показывает состояние. KPI — договор с руководителем, за что спрашивают одного человека. Без этого договора цифры живут в презентации и не попадают в оценку работы.
Как проверить
- На текущий год есть 3–4 KPI с формулами, совпадающими с квартальным отчётом.
- Число инцидентов и доля кликов по учебной рассылке не являются личными KPI.
- Каждая цель достижима без скрытого отключения контроля.
- В должностной инструкции или приложении к плану есть дата сверки.
- Последний квартальный отчёт содержит строки KPI, а не другой набор «для красоты».
Источники
- NIST Cybersecurity Framework 2.0: nist.gov/cyberframework.
