Метрика обучения ИБ: как посчитать без LMS
Показатель «охват обучением» из отчёта руководству часто зависает, потому что нет LMS и «все вроде слушали в январе». Считайте двумя дробями в таблице: кто прошёл вводный инструктаж и кто сообщил о учебной рассылке. Саму программу, правила фишинга и учение за столом не повторяем: осведомлённость, фишинг и учения. Памятка на стол: одна страница.
Статья опирается на логику направления «Отчётность и метрики» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 14 требует программу осведомлённости и возможность оценить её, без вендора LMS: cisecurity.org/controls. Это не российский закон.
Две доли
| Метрика | Формула | Знаменатель | Числитель |
|---|---|---|---|
| Охват вводным инструктажем | Ознакомленные / списочные | Действующие трудовые на дату среза из кадров, плюс подрядчики с доступом к системам, если так решили | Дата и подпись (или отметка ЭДО) не старше 12 месяцев |
| Доля сообщивших в учебной рассылке | Сообщили в канал / получили письмо | Получатели этой рассылки (не вся компания, если пилот) | Письмо в канал до разбора, не «потом на планёрке признался» |
Не усредняйте две доли в одно «обучение 90%». Клики по учебной ссылке оставляйте в отчёте как наблюдение и не ставьте личным KPI: KPI ответственного. Условная цель охвата из статьи про метрики — выше 95%; долю сообщивших сравнивайте только со своей прошлой рассылкой.
Таблица вместо LMS
Один лист (кадры дают ФИО и дату приёма раз в месяц, ИБ дописывает обучение):
fio;hired;briefing_date;channel;last_drill;reported
Иванов И.И.;2026-02-01;2026-02-03;security@example.com;2026-05-12;yesСрез охвата: строки, где briefing_date пустой или старше года. Новых без даты за 14 дней после приёма считайте просрочкой онбординга, не «ещё не дошли руки»: ознакомление при приёме. Куда писать о подозрении, в таблице должен быть тот же адрес, что в канале: канал сообщений.
Риск: список из почты «все@» как знаменатель. Там лежат рассылки и бывшие сотрудники. Только кадры (и отдельный список подрядчиков с доступом).
Обучение разработчиков коду — другая программа и другой знаменатель: безопасный код. Не смешивайте с инструктажем всех сотрудников.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| «Все прошли», листа нет | Нечего считать. Заведите таблицу с датами |
| Охват 100% при текучке | Не вычёркиваете уволенных или не добавляете новых. Сверяйте с кадрами в день среза |
| Доля сообщивших 0% | Канал неизвестен или боятся. Сначала канал и правило «не наказывать», потом следующая рассылка |
| Знаменатель учебной рассылки = вся компания, а слали десяти | Завысите неудачу. Знаменатель = получившие это письмо |
Где это в модели зрелости
Материал относится к направлению «Отчётность и метрики» (хаб: метрики, карта: карта зрелости) и опирается на культуру: без программы нечего считать. LMS не обязательна для уровня 2. Восемь метрик отчёта: метрики для руководства, строка 7.
Как проверить
- Есть таблица с ФИО, датой инструктажа и источником знаменателя (кадры).
- Охват на дату среза считается за минуту и сходится с листом ознакомления.
- По последней учебной рассылке известны «получили» и «сообщили», не только «кликнули».
- Клики не являются KPI ответственного за ИБ.
- Подрядчики с доступом либо входят в знаменатель явно, либо явно исключены.
Источники
- CIS Controls v8.1, контроль 14: cisecurity.org/controls.
