«Цифры решают спор. Вместо споров о том, кто прав — отдел безопасности, который требует денег, или бизнес, который не хочет их давать, — появляется общий язык: объективные показатели, которые показывают нехватку защиты или её избыточность. Метрики — это и есть этот язык, переводящий угрозы в бизнес-термины.»
Мониторинг инцидентов и реагирование
Эффективность системы реагирования на инциденты измеряется не только скоростью, но и тем, какой ущерб удалось предотвратить. Ключевые показатели делятся на две категории: объём угроз и качество работы службы мониторинга.
Объём и характер угроз
- Количество выявленных инцидентов по типам: показывает динамику угроз — рост фишинга, спама или целевых атак. Рост числа не всегда говорит о плохой защите, иногда это признак улучшенного обнаружения.
- Доля инцидентов, повлекших сбой бизнес-процессов: показатель критичности. Пятьдесят заблокированных фишинговых писем менее значимы, чем один успешный инцидент, остановивший работу склада.
- Количество подтверждённых утечек конфиденциальных данных: прямой индикатор нарушения конфиденциальности, требующий реакции в соответствии с требованиями регуляторов.
Эффективность службы реагирования
- Среднее время от обнаружения до реагирования (MTTR — Mean Time to Respond): ключевой показатель скорости работы SOC. Включает время на анализ, классификацию и начало действий по устранению.
- Процент инцидентов, закрытых в рамках SLA: показывает, насколько служба укладывается в установленные регламенты для разных уровней критичности.
- Глубина проникновения злоумышленника до обнаружения: косвенный показатель. Если атаки обнаруживаются на ранних этапах разведки, это высокая эффективность. Если на этапе вывода средств или уничтожения данных — система слепа.
Защита инфраструктуры и активов
Невозможно защитить то, о чём не знаешь. Метрики этого блока отвечают на вопросы: что у нас есть, в каком оно состоянии и насколько защищено.
Инвентаризация и контроль периметра
| Метрика | Что показывает | Риск при низком значении |
|---|---|---|
| Процент учтённых сетевых устройств | Полноту картины инфраструктуры. | «Слепые зоны», через которые возможен несанкционированный доступ. |
| Количество неподконтрольных устройств (shadow IT) | Уровень несанкционированной активности. | Неконтролируемые каналы утечки данных и заражения. |
| Охват средствами защиты конечных точек (EDR/XDR) | Базовая защищённость рабочих мест. | Массовое заражение, невозможность детектировать угрозу. |
Состояние защищённости и устранение уязвимостей
- Количество критических и высоких уязвимостей на активе: показатель «гигиены» системы. Одна уязвимость на сервере с базой данных критичнее десяти на тестовой машине.
- Среднее время устранения критической уязвимости (с момента публикации): скорость реакции на известные угрозы.
- Процент серверов и рабочих станций с устаревшими, неподдерживаемыми ОС: прямой источник неисправимых рисков, часто связанный с требованиями регуляторов об использовании актуального ПО.
- Количество активных угроз, которые не были заблокированы автоматически: показывает эффективность сигнатур и поведенческих моделей EDR.
Человеческий фактор и управление доступом
Даже самая совершенная техническая защита нейтрализуется одним кликом по фишинговой ссылке или устаревшей учётной записью бывшего сотрудника. Метрики здесь фокусируются на процессах и осведомлённости.
Устойчивость к социальной инженерии
- Процент сотрудников, успешно прошедших проверочные фишинговые рассылки: показатель базовой бдительности. Важна не абсолютная цифра, а её динамика после обучения.
- Количество реальных фишинговых писем, заблокированных почтовым шлюзом: эффективность технического контроля на входе.
- Количество инцидентов, инициированных действиями сотрудников: итоговый показатель, связывающий осведомлённость и реальный ущерб.
Контроль учётных записей и привилегий
| Метрика | Цель мониторинга |
|---|---|
| Время между увольнением сотрудника и отзывом всех его доступов | Снижение рисков инсайдерских угроз со стороны бывших сотрудников. |
| Количество учётных записей с избыточными привилегиями | Соблюдение принципа минимальных необходимых прав. |
| Процент учётных записей, не менявших пароль за установленный период (например, 90 дней) | Соблюдение политик парольной безопасности. |
| Количество успешных входов с аномальных устройств или местоположений | Обнаружение компрометации учётных данных. |
Управление программой ИБ и обоснование бюджета
Здесь метрики переводят операционные данные в стратегический контекст, связывая безопасность с бизнес-целями и финансовым планированием.
Исполнение и эффективность
- Выполнение дорожной карты по ИБ: процент завершённых запланированных мероприятий (внедрение средств защиты, обновление политик, проведение аудитов).
- Динамика ключевых метрик риска: например, снижение среднего времени устранения уязвимостей или количества инцидентов определённого типа после внедрения нового решения. Это основа для расчёта ROI.
- Уровень соответствия требованиям регуляторов (152-ФЗ, ФСТЭК): процент выполненных обязательных требований. Это не только избежание штрафов, но и структуризация программы ИБ.
Бюджет и ресурсы
- Соотношение затрат на превентивные, детективные и реагирующие меры: показывает стратегический фокус. Смещение в сторону реагирования говорит о «пожаротушении».
- Затраты на ИБ в расчёте на одного сотрудника или на единицу IT-инфраструктуры: позволяет для внутреннего бенчмаркинга и грубого сравнения с отраслевыми показателями.
Метрики как система, а не коллекция цифр
Главная ошибка — собирать данные, которые легко получить, а не те, что нужны для решений. Эффективная система метрик строится сверху вниз: от бизнес-целей и профиля рисков компании — к ключевым показателям эффективности (KPI) программы ИБ, а от них — к операционным техническим показателям. Техническая метрика «количество срабатываний IDS» сама по себе ничего не говорит руководству. Но если она преобразуется в «снижение вероятности успешной сетевой атаки на критический сервер», что, в свою очередь, влияет на KPI «обеспечение доступности ключевых сервисов», — тогда цифры обретают смысл и вес.
Собирать нужно ровно столько, чтобы видеть картину и принимать решения, но не тонуть в данных. Лучше пять правильно выбранных и понятных метрик, чем двадцать, происхождение и значение которых никто не помнит.