摘要：KPI和指标对于评估企业网络防御有效性不可或缺。这些工具能揭示系统漏洞、威胁模式和事件响应效率。在数字化的依赖程度日益加深的当下，KPI和指标对安全决策至关重要，确保企业为不断演变的网络威胁做好准备。
在评估网络安全效果时，真相往往隐藏在数据中。以下是衡量、监控和改进网络安全运营效率的核心关键绩效指标（KPI）。
KPI和指标对于评估企业网络防御有效性不可或缺。这些工具能揭示系统漏洞、威胁模式和事件响应效率。在数字化的依赖程度日益加深的当下，KPI和指标对安全决策至关重要，确保企业为不断演变的网络威胁做好准备。
遗憾的是，部署网络安全KPI和指标时，人们常陷入看似无穷尽的见解和评价指标中。但幸运的是，真正重要的指标屈指可数。以下是其中最突出的几项。
01
平均检测时间（MTD）
德勤（Deloitte）网络与转型业务负责人Mehdi Houdaigui指出，平均检测时间（MTD）反映企业快速识别和应对潜在事件的能力，是最大限度减少损失的关键指标。
Houdaigui表示，MTD越低，说明安全团队检测威胁的速度越快，攻击者危害企业的时间窗口越短。随着攻击时间窗极速缩短，降低MTD将愈发重要。
02
网络韧性
IT服务公司Cognizant首席安全官John Wheeler认为，网络韧性是衡量安全计划是否有效的真正标准。“最终关键不在于拦截了多少威胁（虽然这很重要），而在于当攻击突破防线时，企业能否快速有效地恢复。”他说，“韧性意味着业务持续运行、客户保持信心，糟糕的一天不会演变成危机。”
没有系统是绝对无懈可击的。“即使最佳防御也可能被攻破。”Wheeler强调，成功企业与失败者的区别在于响应和恢复速度。“若能在几小时内恢复，只是小麻烦；若需数周，就是灾难。韧性决定了问题是暂时挫折，还是对业务、声誉和客户信任的永久损害。”03
网络、系统与终端可见性
Zoom首席信息安全官Sandra McLeod指出：“若缺乏终端安全可见性，就无法察觉终端何时被入侵；若生产环境覆盖全面但开发环境缺乏安全控制和可见性，代码和构建流程可能面临关键保护缺失。”
可见性缺口为攻击者创造机会，为防御者留下盲区。
McLeod观察到企业常犯两个错误：一是未将KPI与日常业务决策结合，仅追踪却不落地；二是仅凭KPI表现产生虚假安全感。“数字漂亮不等于企业真正安全，必须追问：这些指标遗漏了什么？”04
目标-问题-指标（GQM）
网络安全管理软件商Axio高级顾问Richard Caralli建议采用“目标-问题-指标（GQM）”结构化方法，讲好网络安全价值故事。
“该方法借鉴软件流程改进的经典方法，帮助企业聚焦网络安全流程优化。GQM尤其适合支持治理需求，帮助高管层和董事会制定反映计划有效性的关键指标。”他举例说，当董事会问‘我们是否及时修复已知漏洞？’时，某些CISO可能仅回答‘已建立漏洞管理计划’，但这并未真正解答问题。
“通过GQM，可设立多项指标回答此类问题，并提供展示长期能力的趋势数据。”05
成本规避率（CAR）
网络安全制造创新研究所软件架构师Tim Lawless提出，成本规避率（CAR）能有效评估网络安全计划成效。该指标通过比较预防、检测和响应事件的成本与未采取行动可能导致的损失，量化安全投入价值。
“追踪事件检测、响应和恢复能力的指标直接影响事件造成的总成本与破坏。”Lawless解释，这些成本包括事件遏制、恢复投入及业务中断的机会成本。“CAR越高，说明网络安全态势越有效，事件响应能力的主动投资正成功减少潜在损害并增强组织韧性。”06
平均无故障时间（MTBF）
Freedom Debt Relief首席营收官Jason Pack强调，在金融等依赖可靠性的行业，平均无故障时间（MTBF）已成为衡量网络健康的核心指标。
“客户和市场依赖网银、支付和交易平台的持续可用性。高MTBF表明系统足够稳定可信。”
MTBF清晰展现基础设施的实际性能和抗中断能力（无论是技术故障还是安全威胁）。“密切关注MTBF有助于预判运营风险——这正是监管机构的关注重点。”
Pack补充，通过MTBF可预测潜在问题、优化维护计划，最终维护敏感行业赖以生存的客户信任。“更少的系统故障意味着更低成本的停机、更顺畅的运营，以及客户对可靠服务的确信。”07
遏制时间（TTC）
软件开发公司Pumex创始人Antony Marceles认为，遏制时间（TTC）才是决定韧性的关键。“仅检测不足够。若无法快速隔离和消除威胁，恢复成本将飙升。”
TTC不仅反映安全团队响应速度，还体现企业整合安全协议、自动化工具和云基础设施的能力。“我们投资自动化常见威胁遏制措施，并通过跨部门演练测试响应时间，显著缩短了TTC。对技术领导者而言，优化这些指标意味着小事故与全面灾难的区别。”08
钓鱼攻击成功率下降（RISPA）
网络安全公司Security Compass副总裁Gyan Chawdhary指出，钓鱼攻击成功率下降（RISPA）直指安全中的人为因素。“即使有最佳技术控制，精心设计的钓鱼邮件仍可能诱骗员工泄露凭证或下载恶意软件。”
“追踪此类攻击成功率并呈现下降趋势，表明安全意识培训与邮件过滤、反钓鱼工具等技术控制正在切实改变用户行为，提升整体韧性。”
Chawdhary警告，忽视网络安全KPI如同在没有财务报表的情况下经营复杂业务。“你在黑暗中摸索，不了解自身强弱点或安全投资回报。这将导致资源错配、虚假安全感，最终大幅增加重大安全事件发生概率。”
来源：安卡达