«Если вы не измеряете отношение бизнеса к ИБ, вы управляете в слепую. NPS, это не про маркетинг, это про выживание функции безопасности в компании. Раз в полгода задайте один вопрос и получите карту приоритетов, которую не даст ни один внутренний аудит.»
Что такое NPS и зачем он нужен функции информационной безопасности
Net Promoter Score (NPS) — метрика лояльности, которая давно вышла за рамки маркетинга. Её суть — измерить готовность клиента рекомендовать продукт или услугу. Для внутренней функции информационной безопасности «клиентами» являются все сотрудники и департаменты компании, которые вынуждены взаимодействовать с вашими процессами, правилами и инструментами.
Традиционные метрики ИБ — количество инцидентов, покрытие средствами защиты, выполнение требований регуляторов — говорят о технической эффективности, но молчат о восприятии. А именно восприятие определяет, будут ли ваши инициативы саботировать, обходить или поддерживать. NPS превращает субъективное отношение в измеримый показатель, который можно отслеживать и на который можно влиять.
В отличие от разовых анонимных опросов «удовлетворённости», NPS своей простотой (один вопрос) и периодичностью (раз в полгода) создаёт тренд. Вы видите не просто цифру, а движение: становится ли безопасность в глазах бизнеса менее болезненной или, наоборот, вызывает всё большее раздражение.
Как адаптировать классический NPS для внутренней службы ИБ
Стандартный вопрос NPS: «По шкале от 0 до 10, насколько вероятно, что вы порекомендуете нашу компанию другу или коллеге?». Для внутренней функции его необходимо переформулировать, сохранив суть измерения лояльности и рекомендации.
Основной вопрос может звучать так: «По шкале от 0 до 10, насколько вероятно, что вы порекомендуете коллеге из другой компании взаимодействовать с нашей службой информационной безопасности?».
Альтернативные, более конкретные формулировки, фокусирующиеся на восприятии процессов:
- «Насколько вероятно, что вы порекомендуете наш процесс согласования ИБ-требований для нового проекта?»
- «Насколько вероятно, что вы порекомендуете наши инструменты и политики безопасности для защиты вашей работы?»
Ключевое — задавать один и тот же вопрос каждую итерацию, чтобы сохранить сопоставимость результатов. Группы респондентов делятся на три категории:
Критики (0–6): нелояльны, испытывают явные проблемы и могут активно саботировать.
Нейтралы (7–8): пассивно удовлетворены, но не являются сторонниками.
Промоутеры (9–10): лояльные сторонники, которые видят ценность и готовы защищать ваши инициативы.
Итоговый NPS = % Промоутеров – % Критиков. Результат может быть от -100 до +100.
Почему именно раз в полгода: ритм, а не спринт
Годовой цикл слишком долгий — за год можно упустить нарастающую волну недовольства, которая уже привела к обходу политик. Ежеквартальный опрос — слишком часто, приводит к «усталости» от опросов и снижению качества ответов. Полгода — оптимальный баланс.
Этот период позволяет:
- Внедрить изменения на основе предыдущего опроса и увидеть их эффект в следующем.
- Уловить сезонные тренды (например, пик недовольства во время подготовки к ежегодному аудиту или в период бюджетного планирования).
- Сохранить актуальность вопроса в памяти респондентов, не превращая его в рутину.
Полугодовой ритм синхронизирует цикл улучшений ИБ с бизнес-циклами, делая функцию более отзывчивой.
Запуск первого опроса: техническая и организационная сторона
Не нужно сложных систем. Запустить можно через внутренние корпоративные инструменты для опросов или даже Google Forms, если это допустимо политиками компании. Важнее не инструмент, а репрезентативность и анонимность.
Кого опрашивать? Не только топ-менеджмент. Ключевые группы:
- Руководители бизнес-подразделений (заказчики бюджета на ИБ).
- Разработчики и DevOps-инженеры (основные «потребители» процессов безопасной разработки).
- Сотрудники отдела кадров и административного блока (работа с персональными данными).
- Финансовый департамент (процессы с повышенными требованиями).
Обязательно добавьте второй, открытый вопрос: «Что является главной причиной вашей оценки?» или «Что одно изменение могло бы улучшить ваше взаимодействие с ИБ?». Это источник качественных данных — «боли».
Анализ результатов: от цифры к смыслам
Получив цифру NPS, не спешите радоваться или огорчаться. Отрицательный NPS (а у многих внутренних ИБ-служб он именно такой) — не приговор, а диагноз. Гораздо важнее распределение ответов и анализ открытых комментариев.
Сфокусируйтесь на двух группах:
- Критики (0-6). Внимательно проанализируйте все их комментарии. Здесь — ключ к самым острым проблемам. Часто их боли типичны: «процессы занимают недели», «требования непонятны», «ИБ говорит только «нет»».
- Промоутеры (9-10). Поймите, за что их thanks. Возможно, это конкретный сотрудник ИБ, который быстро помогает, или упрощённый процесс для определённых типов задач. Это ваш «актив», который можно масштабировать.
Сгруппируйте все открытые комментарии по темам: «Скорость», «Сложность», «Коммуникация», «Гибкость». Подсчитайте, какая тема встречается чаще всего, это и есть главный вектор для работы.
От боли к плану: как превратить жалобы в roadmap
План исправления боли, это не список пожеланий, а конкретный набор действий, привязанный к ресурсам и срокам. Его цель — целенаправленно смещать критиков в нейтралы, а нейтралов — в промоутеров.
Создайте таблицу на основе анализа:
| Выявленная «боль» (группа) | Коренная причина (гипотеза) | Конкретное действие | Метрика успеха | Ответственный / срок |
|---|---|---|---|---|
| «Согласование ИБ-требований для нового сервиса занимает 3 недели» (Критики из разработки) | Последовательный, а не параллельный процесс согласования; отсутствие чек-листа для самооценки | Разработать и опубликовать чек-лист самооценки для разработчиков. Внедрить pipeline в Jira с параллельным уведомлением всех экспертов ИБ. | Средний срок согласования снижается до 5 рабочих дней. Упоминания о скорости в открытых комментариях снижаются на 70%. | Ведущий инженер ИБ / к следующему опросу |
| «Политика паролей слишком сложная, постоянно сбрасываю» (Критики из всех департаментов) | Требования к паролям не соответствуют современным рекомендациям (частая смена, избыточная сложность) | Пересмотреть политику паролей в сторону отмены принудительной частой смены, разрешить использование passphrase. Запустить пилот в одном департаменте. | Количество обращений в службу сброса паролей снижается на 40% в пилотной группе. В комментариях появляются положительные отзывы. | Специалист по ИБ политикам / 4 месяца |
План должен быть публичным внутри ИБ-отдела, а его ключевые пункты — анонсированы бизнесу: «На основе ваших отзывов мы в следующие полгода фокусируемся на этих трёх улучшениях».
Коммуникация результатов: закрытие обратной связи
Провести опрос и ничего не сообщить — хуже, чем не проводить его вовсе. Это сигнал, что мнение бизнеса проигнорировали.
Создайте простой отчёт или презентацию для ключевых стейкхолдеров. Структура:
- Благодарность за участие.
- Итоговый показатель NPS и его динамика (если это не первый опрос).
- Топ-3 самых частых «боли», выявленных в комментариях (без указания имён и эмоциональной окраски).
- Топ-3 плана действий по исправлению этих «болей» с указанием сроков.
- Анонс даты следующего опроса.
Такая коммуникация превращает ИБ из карающего органа в сервисную функцию, которая слушает и улучшается. Это мощный инструмент для построения доверия.
Эволюция метрики: что делать, когда NPS стабилизируется
Когда после нескольких циклов NPS выходит в устойчивый положительный диапазон и перестаёт сильно колебаться, базовый вопрос может перестать быть достаточно чувствительным. Это знак для эволюции системы измерения.
Можно ввести дополнительные, ситуативные вопросы, которые чередуются или добавляются к основному раз в год:
- eNPS (Employee NPS) для оценки внутренней атмосферы внутри самого ИБ-отдела.
- NPS по конкретному, недавно внедрённому сервису или процессу (например, по новому порталу для запросов).
- Вопрос о воспринимаемой ценности: «Насколько вы согласны, что инвестиции в ИБ оправданы для защиты нашего бизнеса?».
Главное — не потерять continuity основного полугодового замера. Он остаётся вашим компасом, даже когда вы начинаете изучать детализированную карту.
Ограничения и риски метода
NPS — не панацея. Его слепое применение может дать ложную картину.
Основные риски:
- Культурные различия. В некоторых коллективах оценка «10» считается недостижимой, и даже довольные сотрудники ставят 7 или 8, искусственно раздувая группу нейтралов. Важно смотреть на динамику внутри одной культурной среды.
- Низкий процент ответов. Если ответит только 10% сотрудников, скорее всего, это будут либо самые недовольные, либо самые лояльные. Стремитесь к охвату >40% от ключевых групп.
- Подмена целей. Погоня за высокой цифрой NPS может привести к попустительству и снижению уровня безопасности («лишь бы понравиться»). Цель — не высокий NPS любой ценой, а понимание причин низкого и их адресное исправление без ущерба для защиты.
- Игнорирование нейтралов. Группа 7-8 — самый большой и часто самый перспективный ресурс для роста. Не фокусируйтесь только на критиках.
NPS функции ИБ, это инструмент для диалога, а не для отчёта. Его ценность — в强制ном цикле «спроси-проанализируй-исправь-сообщи», который дисциплинирует саму службу безопасности и меняет её восприятие бизнесом. Начните с одного вопроса раз в полгода, это может оказаться самым значимым изменением в вашей операционной модели.