漏洞 SLA 是什么
漏洞处置 SLA 把「尽快修」变成可按严重级考核的时限承诺：例如紧急漏洞 24 小时内处置、高危 7 天、中危 30 天，并按资产重要级分档。配合修复率、平均修复时长（MTTP）与超期清单，管理层看到的才是真实的敞口变化，而不是「已通知整改」这种过程性描述。
基本信息
| 加固项 | 漏洞运营度量 |
|---|---|
| 适用平台 | 企业级（安全与变更流程协同） |
| 风险等级 | 低 |
| 基线 | 分层 SLA 加月度指标与复盘 |
| 数据源 | 扫描器报告、变更记录、外部通告评估表 |
典型使用场景
- 月度安全例会：用敞口趋势替代口头汇报，数字可追溯
- 合规审计：等保与外部审计要求处置过程有时限、有记录
- 排期决策：判断修复窗口能否排进变更日历，冲突时提前升级
- 挂账识别：找出连续数月未修复的系统与对应责任团队
- 上线门槛：新系统上线前核对遗留漏洞是否都在 SLA 内
指标口径示例
指标口径示例
# 发现源：扫描 / 厂商通告 / 外部报告，统一登记一条记录
# 修复率 = 已修复 / 应修复（按严重级分层，分母排除不适用）
# MTTP = Σ(验证通过时间 - 发现时间) / 修复项数，分层统计
# 超期项 = 当前时间 - 发现时间 > 该严重级 SLA 的条目
# 数据源：扫描器报告 + 变更系统 + CVE 评估表，三者用资产 ID 关联指标口径与偏差
| 指标 | 定义 | 常见偏差 |
|---|---|---|
| 修复率 | 已修复除以应修复，按严重级分层 | 分母混入不适用项会虚低 |
| MTTP | 发现到验证通过的平均时长 | 从下发时间起算会掩盖积压 |
| 超期清单 | 超出 SLA 未修复的条目列表 | 只报比例不报清单看不到敞口 |
| 复发率 | 同一条目复扫再次命中 | 没有闭环验证就会长期挂账 |
复盘重点是「为什么没在 SLA 内」：多数超期是变更窗口排不进或测试资源不足，改进流程比追责个人有效。
先写口径再统计：按下发时间还是按发现时间起算，两种算法的趋势图完全不同，跨期对比前必须统一。