KPI与指标
安全KPI
漏洞管理
| KPI | 定义 | 目标值 | 测量频率 |
|---|---|---|---|
| 补丁合规率 | 在期限内完成补丁的漏洞百分比 | >= 95% | 每月 |
| 未修复的关键漏洞 | 未修补的CVSS >= 9.0漏洞数量 | 0 | 每周 |
| 平均修补时间 (MTTP) | CVE公布到补丁部署的平均天数 | 关键: < 2天，高: < 7天 | 每月 |
事件管理
| KPI | 定义 | 目标值 | 测量频率 |
|---|---|---|---|
| 平均检测时间 (MTTD) | 从攻击开始到检测的时间 | < 24小时 | 每次事件 |
| 平均响应时间 (MTTR) | 从检测到遏制的时间 | 关键: < 4h，高: < 24h | 每次事件 |
| 报告义务合规率 | 在期限内向BSI报告的事件百分比 | 100% | 每次事件 |
访问控制
| KPI | 定义 | 目标值 | 测量频率 |
|---|---|---|---|
| MFA覆盖率 | 已启用MFA的账户百分比 | 100%（外部访问） | 每月 |
| 孤立账户 | 无对应在职员工的活跃账户数 | 0 | 每月 |
| 离职合规率 | 离职后24小时内禁用账户的百分比 | 100% | 每次离职 |
业务连续性
| KPI | 定义 | 目标值 | 测量频率 |
|---|---|---|---|
| 备份成功率 | 成功的备份任务百分比 | >= 99% | 每天 |
| 恢复成功率 | 成功的恢复测试百分比 | 100% | 每季度 |
| RTO达标率 | 恢复时间在目标范围内 | 100% | 每次测试/事件 |
培训
| KPI | 定义 | 目标值 | 测量频率 |
|---|---|---|---|
| 培训完成率 | 完成必修培训的员工百分比 | 100% | 每年 |
| 管理层培训 | 管理层已完成网络安全培训 | 是 | 每年 |
| 钓鱼点击率 | 在模拟中点击钓鱼链接的员工百分比 | < 5% | 每半年 |
报告
| 报告 | 内容 | 接收方 | 频率 |
|---|---|---|---|
| 安全仪表板 | 所有KPI一览 | ISB | 持续 |
| 月度安全报告 | KPI趋势、未关闭发现、事件 | ISB + IT主管 | 每月 |
| 季度管理报告 | KPI汇总、风险状况、措施 | 管理层 | 每季度 |
| 年度安全报告 | 综合评估、审计结果、改进计划 | 管理层 | 每年 |