当前位置: 首页 > 安全运营 > 正文

关于甲方安全绩效的考核指标设定思路

关于甲方安全绩效的考核指标设定思路
先说一个现实的小笑话:
甲方每到年底围圈考核绩效的时候到了。
开发:我们今年上线了xx核心系统,解决了前段业务xxx问题,获得了前端业务好评……
测试:我们对xx核心系统进行功能和压力测试,发现并解决了xx系统的xx性能瓶颈,有效避免了这些问题对系统的影响
运维:在核心系统运维保障过程中我们的运维SLA达到99.99999999%
安全:日了狗了

信息安全的KPI是非常不好定的一个东西,常见的就是安全事件发生的数量。这个基本上就是靠天吃饭了,运气好的话一年都没事,运气差的话一年来几次。随机性太强。安全永远没有百分百。我根据个人经验提几个方向性的东西吧。
1、如果所属的企业有合规性要求,这部分可以作为安全团队设定绩效的指标之一。参照监管部门的要求去制定即可。
2、如果企业有内外审的要求,可以根据内外审要求制定一些绩效指标。
3、如果企业没有任何要求,纯粹靠自身驱动进行安全绩效考核尽量结合整个IT的绩效来确定。
前两项没啥好说的,接下来我主要针对第三点进行展开讲讲:
首先你要理解并明确公司IT背的整个绩效指标是什么?
其次需要根据IT的绩效落实到安全团队的绩效指标,这个是本年度安全的最核心指标,所有的安全工作应当围绕着这个目标来转,所有的资源都必须优先保证这个指标
最后在核心指标之外在制定边角料的安全绩效指标。

我用一个例子来举例:
某公司的IT核心指标是确保公司核心业务系统业务不中断1小时。
这时候我们安全的核心指标就应该这样设定:
确保公司核心系统不因安全问题导致中断一小时。
围绕着这个核心目标你就要想着如果要确保这个目标,接下来的安全配套需要做哪些?
安全导致业务中断的原因有:
1、安全设备软硬件故障
2、黑客攻击
3、内部有意或者无意误操作
4、………..
这些原因找到了就可以制定相应的措施,把这些措施转化成指标。
这就是一个绩效的设定的思路,当然有些人觉得还是比较务虚还不如来点具体的,我也列几个点做参考吧:
1、安全培训覆盖率8成,培训满意度不低于9分
2、终端安全事件不高于10起
3、敏感数据泄露能够在x小时内遏制
4、账号安全梳理完成xx个系统
5、上线前漏洞同比降低xx
6、漏洞修复在2小时内缓解,x小时内完成
7、一级系统不发生安全事件xx起
8、在外部平台不报漏洞x起
9、……
懒得列了,参考附件资料自己想吧

参考资料下载地址:https://t.xiaomiquan.com/NnmaeMz

本站资源清单目录链接: http://www.srxh1314.com/13-xiaomiquan.html

本文固定链接: http://www.srxh1314.com/sec-kpi.html | Srxh1314

该日志由 srxh 于2017年12月22日发表在 安全运营 分类下, 通告目前不可用,你可以至底部留下评论。
原创文章转载请注明: 关于甲方安全绩效的考核指标设定思路 | Srxh1314
关键字: , ,

关于甲方安全绩效的考核指标设定思路:等您坐沙发呢!

发表评论


快捷键:Ctrl+Enter