Метрики ИБ для руководства: что считать и как показывать
Руководителю не нужны сотни графиков, ему нужны ответы на три вопроса: насколько мы защищены, что изменилось и что требуется от него. Метрики ИБ помогают ответить, если их мало, они считаются одним способом и привязаны к решениям. Ниже восемь показателей для небольшой компании с формулами, источниками данных и шаблоном квартального отчёта на одну страницу.
Статья опирается на логику направления «Отчётность и метрики» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Целевые значения ниже условные, подберите свои.
Что должно получиться
| Уровень | Что это значит на практике |
|---|---|
| 1. Базовый | Собираются несколько простых показателей (например, число инцидентов, просроченные уязвимости) |
| 2. Гигиенический | Определён набор метрик с источниками и периодом, руководству регулярно показывают отчёт |
Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.
Принципы выбора метрик
- Каждая метрика ведёт к решению. Если по её значению нечего менять, она не нужна.
- Доли и сроки лучше абсолютных чисел. «Сорок найденных уязвимостей» ничего не говорит, «двенадцать процентов критичных просрочены» говорит.
- Один источник данных и одна формула. Чтобы квартал к кварталу было сопоставимо.
- Не мерьте активность, мерьте результат. Число заблокированных атак на периметре — шум; время от сигнала до реакции — результат.
- Мало. Восемь–десять показателей хватает на небольшую компанию.
Восемь метрик для начала
| Метрика | Формула | Источник данных | Условная цель |
|---|---|---|---|
| 1. Просроченные критичные уязвимости | Критичные уязвимости старше срока / все критичные | Сканер, трекер задач: управление уязвимостями | Менее 10% |
| 2. Охват мониторингом и логами | Системы с собираемыми журналами / критичные системы | Реестр активов, система сбора логов: сбор логов | 100% критичных |
| 3. Охват MFA | Учётные записи с MFA / привилегированные и удалённые | Каталог пользователей, VPN, SSH | 100% привилегированных |
| 4. Успешность восстановления из копий | Успешные пробные восстановления / запланированные | Журнал проверок копий: копирование 3-2-1 | 100% за квартал |
| 5. Время реакции на инцидент | Медиана времени от выявления до изоляции (в часах) | Журнал инцидентов: первые 24 часа | Снижение квартал к кварталу |
| 6. Число инцидентов по типам | Количество за квартал, по категориям и тяжести | Журнал инцидентов | Тренд, а не число |
| 7. Охват обучением и результат учебных рассылок | Прошедшие обучение / сотрудники; доля сообщивших / получивших рассылку | Система обучения, рассылки | Более 95% охвата; рост доли сообщивших |
| 8. Актуальность реестров | Активы с владельцем и свежей проверкой / все активы; риски с пересмотром за год / все риски | Реестры активов и рисков | Более 90% |
Для организаций с персональными данными добавьте: время от выявления утечки до уведомления регулятора и число обращений субъектов, закрытых в срок. Ориентиры по ПДн: чек-лист оператора ПДн.
Как собирать данные без лишнего труда
- Берите числа из систем, где они уже есть (сканер, мониторинг, трекер), а не из ручных таблиц.
- Фиксируйте значения в одной таблице раз в месяц: дата, метрика, значение, комментарий. Через год это станет трендом.
- Описывайте формулу один раз и не меняйте. Если меняете, пересчитайте прошлые периоды или отметьте разрыв.
- Для каждой метрики назовите владельца данных: кто отвечает за корректность.
Отчёт руководителю на одной странице
Квартальный отчёт — страница с четырьмя блоками. Шаблон:
Отчёт по информационной безопасности, КВАРТАЛ ГОД
Ответственный: ФИО
1. Главное в двух предложениях
Что стало лучше, что хуже, что требует решения.
2. Показатели (таблица)
Метрика | Прошлый квартал | Сейчас | Цель | Комментарий
3. Главные риски и проблемы (до пяти)
Риск | Уровень | Что делаем | Срок | Нужно от руководителя
4. Решения, которые нужны от руководства
- решение 1: что, почему, срок
- решение 2: ...Правила: язык без жаргона, тренд вместо одной цифры, один абзац о главном. Если решений от руководства нет, это тоже запись: «Решений не требуется».
Типовые ловушки
| Ловушка | Как избежать |
|---|---|
| Метрики активности: число писем в спам, число блокировок | Показывайте то, что связано с риском и реакцией: просрочка, охват, время |
| Хорошая цифра любой ценой | Если метрика становится целью, её начинают подгонять. Проверяйте метрику на выборке вручную |
| Слишком много метрик | Оставьте восемь–десять. Остальные собирайте для себя |
| Нет контекста | Рядом с числом пишите причину изменения и действие |
| Нет решений | Каждый отчёт заканчивайте просьбой или словами «решений не требуется» |
Где это в модели зрелости
Материал относится к направлению «Отчётность и метрики» (карта: карта зрелости). Уровень 1 закрывают несколько простых показателей, уровень 2 добавляет определённый набор с источниками, периодом и регулярный отчёт руководителю. Метрики питаются данными остальных направлений: уязвимости, мониторинг, инциденты, обучение, реестры.
Как проверить
- Для каждой метрики записаны формула, источник данных и владелец.
- Есть история значений минимум за два периода.
- Руководитель получил хотя бы один отчёт по шаблону и принял по нему решение.
- Метрики пересмотрены за год: лишние убраны, нужные добавлены.
Источники
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- NIST SP 800-55 Vol. 1, Measurement Guide for Information Security: csrc.nist.gov. Международная практика, не российский норматив.
