指标回答什么问题
漏洞管理指标回答三件事：进度（修复率）、速度（平均修复时长 MTTR）、质量（重开率）。只报漏洞总数意义有限——100 个低危和 3 个在野利用的高危混在一起，数字无法指导任何行动。指标必须按漏洞等级与资产类别分维度呈现，并注明统计口径。
基本信息
| 常用指标 | 修复率、MTTR、超期率、重开率、补丁覆盖率 |
|---|---|
| 分维度 | 漏洞等级 x 资产类别 x 时间周期 |
| 输出节奏 | 月报趋势 + 重大事件专项复盘 |
| 定位 | 发现流程瓶颈，不用于个人考核 |
| 口径要求 | 注明评分来源与统计快照时间 |
典型使用场景
- 月报：向管理层展示修复率与超期率的趋势，而不是单点数字
- 瓶颈定位：MTTR 按阶段拆解（受理、修复、验证），找出卡在哪一段
- 资源申请：用超期率与容量缺口说明为什么需要更多人力或窗口
- 质量核查：重开率高说明修复不彻底，需查验证标准是否过松
- 合规举证：对外审计时提供带口径说明的历史指标记录
看板维度与口径说明
看板维度与口径说明
时间：本周 / 本月 / 本季度（固定统计截止时点）
资产：核心系统 / 一般系统 / 测试环境（按 CMDB 分类）
等级：紧急 / 高 / 中 / 低（注明评分来源）
附录：统计脚本版本 + 数据快照日期
# 口径变更要写进版本记录：否则趋势线会出现无法解释的跳变常用指标与失真原因
| 指标 | 定义 | 失真原因 |
|---|---|---|
| 修复率 | 按时修复数 / 应修复数 | 口径扩大：把已评估不成立项也算入分母 |
| 平均修复时长 | 从发现到验证关闭的时长 | 只算已关闭项：长期积压的高风险项被排除在外 |
| 超期率 | 超期未修复 / 总量 | 到期日被随意顺延 |
| 重开率 | 验证不通过重新打开的占比 | 验证走过场，短期好看长期失真 |
| 补丁覆盖率 | 已更新资产 / 应更新资产 | 台账不全，未登记资产不计入分母 |
常用的时限参考：紧急漏洞 24-72 小时、高危 7-15 天、中危 30 天以内；具体数字应与组织流程和业务影响匹配，照抄别家只会换来无效的告警。
只统计已修复数量不统计时长分布，会掩盖真实情况：大量一小时内就能修完的简单漏洞，会把长期积压的高风险项平均掉。