考核指标解决什么问题
合规制度的失效方式往往不是「没人知道」，而是「没人负责」：整改排期一推再推、权限复核表连续几季没签、演练计划年年写在纸上。把合规动作变成部门与个人考核里可统计的指标，执行才有推力。指标设计的关键是选能反映结果且不易造假的量——统计口径要能落地到系统或台账，而不是靠人工填报。
指标示例
| 指标 | 口径建议 | 目标值参考 |
|---|---|---|
| 整改按期完成率 | 按期关闭数 ÷ 到期问题总数 | ≥95%，逾期项需书面说明 |
| 培训与考核覆盖率 | 完成人数 ÷ 应参训人数（含高管、外包与驻场人员） | 100% 覆盖，考核通过率 ≥90% |
| 演练完成率 | 实际演练次数 ÷ 计划演练次数（含桌面与实操） | 100%，含至少一次跨部门场景 |
| 事件处置时长 | 从发现到遏制的平均时长，按事件等级分档 | 按等级设目标值（如一般事件 4 小时内遏制） |
| 备份恢复验证 | 成功完成恢复演练的系统数 ÷ 应验证系统数 | 100% 每半年一次 |
| 个人信息请求（DSR）时效 | 按期完成 ÷ 受理总数 | 按法定期限设置，不得超期 |
| 漏洞修复及时率 | 在期限内修复的高危漏洞数 ÷ 发现总数 | 高危 7 天内修复比例 ≥95% |
| 权限复核完成率 | 已完成复核的账号数 ÷ 应复核账号数 | 每季度 100% |
设计与挂钩要点
- 指标少而准：每类工作 1 到 2 个指标，堆到十几个反而没人看
- 口径写死：明确统计范围、时间窗、数据来源系统，避免年终对不上账
- 业务与研发也要背指标：只考安全部门，整改与技术债永远排在需求之后
- 挂钩方式要写清：达标与未达标的后果分别是什么，包含正向激励而不只是扣分
- 报告免责边界：明确主动上报风险与事件不追责的范围，避免为保指标而瞒报
- 数据可复核：指标结果能从系统导出或从台账核验，不接受纯人工填报汇总
指标设目标值并与绩效挂钩的同时，务必为「报告问题」留出免责边界：只罚不奖会让数据变好看、风险被藏起来，最终在检查或事件中集中爆发。
考核结果建议与年度信息安全投入评审一起走：连续不达标的指标，往往说明资源不足而非态度问题，此时考核应转化为资源申请的依据。