Що таке КПІ кібербезпеки та які показники реально вимірюють захист: MTTD, MTTR, час стримування, рівень хибних спрацювань. Бенчмарки та формули.
КПІ кібербезпеки — це показники, за якими бізнес оцінює, наскільки ефективно працює захист інформації. Головна проблема більшості компаній не в тому, що вони «нічого не вимірюють», а в тому, що вимірюють не те: кількість закритих тікетів, число встановлених антивірусів чи обсяг трафіку, пропущеного через фаєрвол. Ці цифри описують активність, але не відповідають на єдине питання, яке цікавить власника бізнесу: чи став захист реально кращим? У цій статті розбираємо, які показники варто відстежувати, як їх рахувати та на які значення орієнтуватися, спираючись на реальні дані зі звітів CrowdStrike, IBM і Ponemon Institute.
Що таке КПІ кібербезпеки і навіщо їх рахувати
Ключовий показник ефективності (KPI, Key Performance Indicator) — це вимірювана величина, яка показує, наскільки близько компанія підійшла до своєї мети. В контексті захисту інформації КПІ відповідають на запитання «наскільки ми захищені», а не «скільки ми зробили». Це принципова різниця між показниками результату та показниками активності.
Класичний приклад підміни понять: команда безпеки звітує, що закрила 500 тікетів за місяць і встановила антивірус на 98% пристроїв. Звучить переконливо, але це нічого не говорить про те, чи вчасно система помічає реальні атаки та чи швидко реагує на них. Звіт IBM Cost of a Data Breach показує, чому це важливо: середній час, за який організації виявляють і стримують витік даних, і досі вимірюється днями й місяцями, а не годинами.
Окрім КПІ, в управлінні ризиками використовують ще два типи показників. Метрики — це сирі вимірювання (кількість подій, обсяг трафіку), які самі по собі не є ані добрими, ані поганими. Ключові індикатори ризику (KRI) — це ранні сигнали, що ризик зростає: наприклад, збільшення кількості вразливостей, які прострочили патч. КПІ закриває ланцюжок: метрика показує факт, KRI попереджає, КПІ — оцінює прогрес до цілі.
Навіщо рахувати КПІ кібербезпеки взагалі? По-перше, щоб обґрунтовано розподіляти бюджет: коли ви бачите, що час реагування не скорочується, зрозуміло, куди вкладати гроші — в автоматизацію чи в людей. По-друге, щоб говорити з керівництвом однією мовою — мовою ризиків і грошей, а не технічних термінів. І по-третє, щоб не жити в ілюзії безпеки: без вимірювань неможливо сказати, покращується захист чи стоїть на місці.
Два головні показники: MTTD і MTTR
Якщо з усього різноманіття КПІ доведеться залишити лише два, беріть ці. Разом вони описують найважливіше — швидкість вашої захисної реакції.
MTTD (Mean Time to Detect) — середній час від появи загрози до моменту, коли команда її виявила. Формула проста: сума проміжків «час виявлення мінус час події» по всіх інцидентах, поділена на кількість інцидентів. Цей показник вимірює ефективність моніторингу: наскільки добре налаштовані правила детектування, чи повне покриття систем і чи не страждають аналітики від «втоми від алертів», коли важливі події губляться серед шуму.
MTTR (Mean Time to Respond) — середній час від виявлення інциденту до його усунення. Тут варто бути уважним: абревіатура MTTR в індустрії означає різні речі залежно від вендора — Respond (реагування), Remediate (усунення), Repair (відновлення), Resolve (закриття тікета). Через це порівнювати «MTTR» між звітами без уточнення визначення — одна з найпоширеніших помилок. Для команд безпеки найчастіше мова про Respond або Resolve: скільки часу пройшло від підтвердження атаки до її повного закриття.
Чому швидкість така критична, наочно показує звіт CrowdStrike Global Threat Report 2025. Середній час «breakout time» — проміжок від первинного проникнення зловмисника до початку його руху мережею — скоротився до рекордних 48 хвилин (рік тому було 62 хвилини), а найшвидший зафіксований прорив зайняв усього 51 секунду. Це означає, що у захисників іноді є менше хвилини, щоб помітити атаку та відреагувати, поки зловмисник не закріпився глибше. Той самий звіт зазначає, що 79% детектувань були «без файлів» (malware-free) — тобто класичний антивірус, який шукає шкідливі файли, такий сценарій просто не побачить.
Орієнтири для команд безпеки: MTTD менше 24 годин і MTTR менше 4 годин вважаються розумними цільовими значеннями для зрілого SOC. Якщо ваші показники суттєво вищі — це сигнал про проблеми з детектуванням або про брак автоматизації реагування.
Час стримування, dwell time і швидкість реагування
Окрім MTTD і MTTR, є кілька похідних показників, які уточнюють картину.
MTTC (Mean Time to Contain) — час від виявлення до ізоляції загрози, тобто моменту, коли атаку зупинено і її поширення мережею припинено. Для критичних інцидентів бенчмарк — менше 1 години: програмне забезпечення-вимагач може зашифрувати всю мережу за 45 хвилин, тож кожна секунда на вагу золота.
Dwell time — час, протягом якого зловмисник перебуває всередині системи непоміченим. Він складається з часу виявлення та часу стримування. Цільове значення для зрілих команд — менше 21 дня, хоча галузеві середні досі значно гірші.
Масштаб проблеми на глобальному рівні показує звіт IBM Cost of a Data Breach 2025. Середній час на виявлення та стримування витоку даних скоротився до 241 дня — це дев'ятирічний мінімум і продовження тренду після піку в 287 днів у 2021 році. З них 181 день припадає на виявлення і 60 днів — на стримування. Той самий звіт фіксує вплив автоматизації: організації, які активно використовують AI та автоматизацію в захисті, скоротили час реагування на 80 днів і знизили середню вартість витоку на 1,9 мільйона доларів.
Окремий показник, який варто відстежувати, — відсоток покриття розслідуванням алертів (alert investigation coverage). За даними Ponemon Institute, у середньому в індустрії розслідують лише 38% сповіщень безпеки — тобто шість із десяти алертів взагалі не переглядаються. Це прямий вимір операційної спроможності команди: якщо покриття низьке, у вас є сліпі зони, через які реальні атаки проходять непоміченими.
КПІ гігієни безпеки: патчинг, покриття і навчання персоналу
Швидкість реагування — це вже боротьба з наслідками. Але є група показників, які вимірюють, наскільки добре ви запобігаєте атакам заздалегідь.
Час встановлення патчів (patching cadence) — скільки часу минає від виходу виправлення для критичної вразливості до його впровадження. Це один із найдешевших способів закрити ризик: зловмисники активно сканують мережі в пошуках непропатчених систем одразу після публікації експлойтів. Відстежуйте відсоток критичних вразливостей, закритих протягом 30 днів.
Покриття захистом — відсоток пристроїв, серверів і хмарних ресурсів, на яких працює EDR/антивірус і які підключені до моніторингу. Будь-який непокритий пристрій — це потенційна точка входу. Тут же відстежують кількість «невідомих» пристроїв у мережі, які не пройшли інвентаризацію.
Рівень хибних спрацювань (false positive rate) — частка алертів, які виявилися помилковими. Бенчмарк — менше 30%: нижче 20% вважається відмінним результатом, 40–60% призводить до «втоми від алертів», коли аналітики перестають довіряти системі та починають ігнорувати сповіщення. Понад 60% — сигнал, що правила детектування потребують серйозного налаштування.
Рівень кліків у фішингових симуляціях — відсоток співробітників, які натиснули на навчальне фішингове посилання. Це провідний індикатор людського фактору: чим він нижчий, тим менший ризик, що соціальна інженерія спрацює. Відсоток проходження навчання з безпеки — ще один показник людського ризику; цільове значення — 95% і вище. Регулярне навчання персоналу — найдешевший засіб зниження ризику, адже фішинг залишається головним вектором початкового доступу. Більше про те, як побудувати базову підготовку людей, читайте в нашому матеріалі «Кібербезпека: навчання з нуля».
Частка бюджету безпеки в IT-витратах — бенчмарк 8–15% від загальних витрат на інформаційні технології. Це показник зрілості програми: якщо частка систематично нижча, ймовірно, захист недофінансований відносно масштабу інфраструктури.
Як вибрати правильні КПІ кібербезпеки та звітувати керівництву
Найпоширеніша помилка — вимірювати все підряд і потопити керівництво в сорока цифрах. Дисципліна в тому, щоб обирати показники, які реально змінюють рішення.
Розділяйте показники на випереджальні (leading) та запізнілі (lagging). Випереджальні сигналізують про проблему до інциденту: відсоток закритих вчасно вразливостей, рівень покриття моніторингом, частота завершених аудитів доступу. Запізнілі фіксують результат постфактум: MTTR, кількість інцидентів, кількість знайдених аудитом порушень. Для повної картини потрібні обидва типи, але для керівництва запізнілі важливіші — вони показують реальний стан, а не наміри.
Для звіту раді директорів з усього набору варто згорнути показники до п'яти: MTTD, MTTR, відсоток відповідності патчингу, рівень кліків у фішингових симуляціях та готовність до відновлення бізнесу. Один «годинник» детектування, один — реагування, один провідний індикатор гігієни, один провідний індикатор людського фактору та один показник стійкості.
Ключове правило — перекладайте технічні КПІ мовою бізнес-ризику. Не «MTTD виріс на 2 дні», а «зловмисник може непомітно перебувати в мережі на два дні довше, що збільшує ймовірну вартість інциденту». І формулюйте кожен КПІ чітко, щоб уникнути різночитань: що саме вимірюється, з якого моменту стартує відлік, хто відповідальний за показник і яке цільове значення.
Інструменти для вимірювання КПІ кібербезпеки
Вимірювати КПІ вручну, збираючи дані з різних систем у таблицю, — шлях до помилок і застарілих звітів. Більшість показників має збиратися автоматично з інструментів, які вже працюють у контурі безпеки.
SIEM (система управління подіями безпеки) збирає та корелює події з усієї інфраструктури — це основне джерело для розрахунку MTTD і кількості алертів. SOAR (оркестрація та автоматизація реагування) скорочує MTTR: після підтвердження шкідливої події платформа автоматично ізолює уражений хост і блокує шкідливий хеш у всьому середовищі, зрізаючи години ручної роботи. EDR/XDR (захист кінцевих точок і розширене виявлення) дає дані про покриття та телеметрію для детектування, а сканери вразливостей і рейтинги безпеки — про стан патчингу та гігієни.
Серед вендорів цих категорій — Microsoft Sentinel, Splunk, CrowdStrike Falcon, Palo Alto Networks Cortex, SentinelOne, ESET та інші. Важливо не «підсісти» на один вендорський дашборд, а налаштувати єдине місце, де всі КПІ збираються разом, — інакше картина буде фрагментованою.
Висновок
КПІ кібербезпеки перетворюють захист із «ми начебто все робимо правильно» на вимірювану, керовану функцію. Почніть із двох головних показників — MTTD і MTTR — і поступово додавайте час стримування, рівень хибних спрацювань та показники гігієни. Звіти для керівництва згортайте до п'яти ключових цифр і подавайте їх мовою бізнес-ризику.
І пам'ятайте: швидкість реагування важлива, але вона не скасує вже здійсненого витоку. Тому проактивний моніторинг — перевірка того, чи не опинилися ваші корпоративні акаунти та дані у відкритому доступі — має бути частиною регулярної рутини. Це можна зробити через перевірку витоків даних на нашій платформі. А якщо хочете глибше зануритися в тему кіберстійкості та обміну досвідом між фахівцями — зверніть увагу на профільні події на кшталт Kyiv Cyber Resilience Forum 2026.
