指标要能回答管理问题
指标的价值在于让管理层能判断「风险在收敛还是在扩大」。因此有效的指标通常围绕四类问题：覆盖得够不够（资产台账覆盖率、固件与版本完整率、监测与日志覆盖范围）、控制是否到位（基线符合率、账号清理率、介质使用登记率、外设管控覆盖率）、响应是否及时（漏洞闭环时长、告警响应与处置时长、事件平均恢复时间）、以及风险敞口（未关闭例外数、超期漏洞数、未演练的恢复方案数）。同时要区分过程指标与结果指标：前者反映工作量，后者反映状态，汇报时不能只讲工作量。
基本信息
| 指标分类 | 覆盖率、符合率、时效、风险敞口、闭环率 |
|---|---|
| 定义要求 | 每个指标写明计算口径、统计范围与数据来源，避免各人算出不同结果 |
| 目标设定 | 目标值应可达且有挑战，长期不达标要分析原因而不是修改目标 |
| 汇报对象 | 向管理层讲风险与后果，向运维讲动作与进度，向专业方讲具体问题 |
| 趋势优先 | 看连续多个周期的趋势而不是单点数值，避免一次波动引发误判 |
| 数据来源 | 台账、配置核查记录、日志平台、变更与事件记录，来源需可核查 |
| 禁止行为 | 为达成指标而选择性统计、漏报或篡改数据 |
建议纳入的指标
- 资产台账覆盖率与固件版本完整率：决定后续所有判断的可靠性
- 基线符合率与整改完成率：反映控制措施是否真正落地
- 账号清理率与共享账号剩余数：反映账号治理进展
- 漏洞闭环时长与超期未处置数：反映响应能力与积压程度
- 告警量与误报率：衡量监测有效性，同时反映规则质量
- 事件响应与恢复时长：反映真实处置能力
- 备份恢复演练完成率与未关闭例外数：反映长期风险敞口
- 介质使用登记率与培训考核通过率：反映流程执行依赖的人为环节
指标与数据来源
| 指标 | 反映什么 | 数据来源 |
|---|---|---|
| 台账覆盖率 | 资产可见性是否完整 | 资产台账与网络发现结果比对 |
| 基线符合率 | 控制措施落地程度 | 配置核查与基线比对记录 |
| 漏洞闭环时长 | 响应效率与积压情况 | 漏洞台账与变更记录 |
| 误报率 | 监测有效性 | 告警平台与研判记录 |
| 恢复演练完成率 | 恢复能力是否可用 | 演练记录与备份验证结果 |
| 未关闭例外数 | 长期风险敞口 | 风险接受与例外台账 |
指标经得起追问才有效：当被问到「这个数字怎么算的、数据从哪里来」时应当能立刻回答。指标定义频繁变动会让历史数据失去可比性，通常意味着口径本身存在问题，而不是数据在变化。