Как CISO оценить эффективность Security Awareness: метрики, отчёт и чек-лист
Программа обучения выполнена, но это ещё не значит, что сотрудники не попадутся на фишинг. CISO нужно показать руководству, меняется ли поведение людей и помогает ли обучение снижать риски для компании.
Чтобы обосновать расходы перед руководством, нужно связать три уровня оценки: охват обучения, изменение поведения и влияние на конкретные киберриски. Разберём, как это сделать на практике.
1. Какие метрики включить в отчёт
Не стоит перегружать руководство десятками показателей. Выберите метрики, которые соответствуют приоритетным сценариям угроз, и закрепите единые правила расчёта.
| Метрика | Что показывает | Как использовать |
| Completion rate | Долю сотрудников, завершивших курс | Контроль охвата и сроков |
| Click rate | Долю участников симуляции, перешедших по ссылке | Оценка поведения в тестовом сценарии |
| Credential submission rate | Долю участников, введших данные на тестовой странице | Оценка конкретного рискованного действия |
| Report rate | Долю сотрудников, сообщивших о подозрительном письме | Проверка готовности передавать сведения об угрозах |
| Time-to-report | Время от доставки письма до сообщения о нём | Оценка скорости обнаружения и передачи информации |
| Repeat fail rate | Долю сотрудников, повторивших ошибку в сопоставимых тестах | Поиск групп, которым нужна дополнительная практика |
Важно: высокий completion rate подтверждает охват, но не изменение поведения. Снижение click rate тоже не доказывает автоматически, что риск инцидента уменьшился.
2. Как корректно сравнивать результаты
Предположим, после обучения click rate снизился с 14% до 9%. Это положительная динамика, но прежде чем представлять её руководству как результат программы, проверьте условия тестирования.
| Что проверить | Почему это важно |
| Состав аудитории | Изменение числа и категорий участников влияет на результат |
| Сложность писем | Простые сценарии могут давать меньше кликов независимо от обучения |
| Канал и время доставки | Контекст влияет на реакцию сотрудников |
| Методика расчёта | У показателей должен быть одинаковый знаменатель |
| Report rate | Сотрудники должны не только избегать перехода, но и сообщать об угрозе |
| Повторные ошибки | Одна успешная симуляция не гарантирует устойчивого изменения поведения |
Если условия тестирования заметно различаются, это необходимо отразить в отчёте. Иначе сравнение процентов может привести к ошибочным выводам.
3. Как связать метрики с бизнес-рисками
Для каждого приоритетного риска определите действие сотрудника, которое может привести к инциденту, и показатель, позволяющий оценить его поведение.
| Приоритетный риск | Что проверять | С чем связать результат |
| Компрометация учётной записи | Переходы по ссылкам, ввод данных, сообщения о фишинге | MFA, защита почты, привилегии пользователей |
| Мошенничество с платежами | Соблюдение процедуры проверки реквизитов | Финансовые потери и контроль платёжных операций |
| Социальная инженерия через мессенджеры | Проверку подозрительных запросов по независимому каналу | Риски несанкционированных действий и утечки данных |
| Позднее обнаружение атаки | Долю и скорость сообщений в службу ИБ | Возможность своевременного реагирования |
Такой подход помогает объяснить, почему компании нужны конкретные учебные модули и симуляции. При этом снижение кликов в тестах нельзя напрямую переводить в процент снижения вероятности инцидента: для этого нужны дополнительные данные о контролях защиты, частоте атак и последствиях компрометации.
Для предварительной финансовой оценки можно использовать калькулятор последствий киберинцидента StopPhish. Он помогает рассмотреть возможные расходы на простой, расследование, восстановление и последствия утечки данных. Результат следует представлять как сценарную оценку на основе заданных параметров, а не как гарантированную экономию от обучения.
4. Шаблон отчёта для руководства
Для обсуждения бюджета обычно достаточно одной страницы. Включите в неё цель программы, динамику ключевых метрик, ограничения оценки и решение, которое требуется от руководства.
| Показатель | Предыдущий период | Текущий период | Комментарий |
| Завершение обучения | [X%] | [Y%] | Охват сотрудников |
| Click rate | [X%] | [Y%] | Сопоставимость сценариев |
| Credential submission rate | [X%] | [Y%] | Рискованное действие |
| Report rate | [X%] | [Y%] | Сообщения о подозрительных письмах |
| Повторные ошибки | [X%] | [Y%] | Динамика в сопоставимой группе |
После таблицы ответьте на три вопроса:
- Что изменилось? Кратко опишите динамику показателей.
- Что это означает для риска? Укажите, какие выводы подтверждены данными, а какие пока остаются гипотезами.
- Что нужно сделать дальше? Например, провести дополнительную симуляцию, изменить содержание обучения или усилить практику в группе с повторяющимися ошибками.
StopPhish объединяет обучение и фишинг-симуляции на одной платформе. Такие данные можно использовать для отслеживания динамики поведения сотрудников и подготовки отчётности по программе Security Awareness.
5. Чек-лист CISO перед встречей с руководством
— Зафиксированы цель программы и исходные показатели.
— У каждой метрики есть определение, период и знаменатель.
— При сравнении учтена сложность фишинг-сценариев.
— Охват обучения отделён от изменения поведения.
— Click rate анализируется вместе с report rate и другими релевантными показателями.
— Повторные ошибки оценены на сопоставимой группе.
— Связь с бизнес-риском объяснена без неподтверждённых выводов.
— Финансовая оценка содержит исходные данные и допущения.
— В отчёте указаны ограничения и дальнейшие действия.
— В конце сформулирован конкретный запрос к руководству.
Главный принцип: отчёт об эффективности Security Awareness должен помогать принимать решения, а не просто подтверждать проведение обучения. Показывайте, что измерили, какие изменения наблюдаете, как они связаны с рисками и какие меры предлагаете дальше. Именно такая логика делает защиту бюджета предметным разговором об управлении киберрисками.
