KPIs ומדדי ציות

1) מדוע מדדי ציות

• הציות הופך את המצב לשקוף וניתן להשוואה לאורך זמן;
• ציות לתוצאה עסקית (הפחתת הפסדים/קנסות/עיכובים של שחרור);
• מאפשר לך לנהל סדר עדיפויות ומשאבים המבוססים על עובדות, לא רגשות;
• ביקורת פשוטה: ישנן נוסחאות, מקורות וחפצים (ראיות) הניתנים לאיתור.

• KPI - מדדי ביצועים (יעילות תהליך).
• KRI - מדדי סיכון (הסתברות/השפעה של אירועים).
• SLO/SLA - רמות שירות יעד/התחייבויות טווח.
• מוביל נגד לגינג: מוביל ומפגר אינדיקטורים.

2) מפת מטריצות לפי תחום (מטריצת התייחסות)

3) ציות לכוכב הצפון

1. ביקורת חשבונות מוכנה בשעות N (כל הראיות שנאספו באופן אוטומטי).
2. אפס הפרות קריטיות.
3. סיקור 90% עם בקרה אוטומטית (מדיניות-כקוד + CCM).

4) טקסונומיה של מדדים

4. כיסוי 1

כיסוי בקרה: מערכות מבוקרות/כל המערכות הקריטיות.
כיסוי ראיות: חפצים שנאספו/על ידי רשימת ביקורת.
אימוץ מדיניות: תהליכים בהם דרישות מיושמות ,/כל תהליכי המטרה.

4. 2 יעילות (יעילות בקרה)

לעבור בדיקות קצב בקרה: עבר/סך בדיקות תקופתיות.
FPR/TPR (שקר/נכון) לחוקי בלש.
מקרים שנמנעו ע "י בקרת מניעה.

4. 3 יעילות (עלות/מהירות)

הפרות MTTD/MTTR: זמן לגילוי/חיסול.
עלות לכל מקרה (AML/DSAR): עלויות של שעות × קצב + תשתית.
יחס אוטומציה: פתרונות אוטומטיים/כל הפתרונות.

4. 4 עיתוי

ביצוע SLA (DSAR/STR/Training): בזמן/בסה "כ.
מדיניות זמן עופרת: מהדק לפרסום.
שינוי זמן עופרת (DevSecOps Gates): החל מיחסי ציבור וכלה בשחרור לבדיקות תאימות.

4. 5 איכות (איכות נתונים/תהליך)

שלמות ראיות:% של חפצים בתולעת עם סיכום חשיש.
פגמי נתונים: שגיאות בדו "ח רג.
ציון אימון: ציון ממוצע של מבחן,% מהפעם הראשונה.

4. 6 פגיעת סיכון

מדד הפחתת סיכונים: מספר סיכונים כולל לאחר תיקון.
חשיפה רגולטורית: Open Critical Gaps von License/Certification Designs.
הפסדים (משוער): עונשים/הפסדים נמנעו על ידי סגירת פערים.

5) נוסחאות ודוגמאות לחישובים

5. 1 DSAR SLA

”DSAR _ SLA = (מספר היישומים שנסגרו במשך 30 יום )/( מספר היישומים הכולל)”

יעד: with 98%; 95%, צהוב 95-97. 9.

5. 2 גישה להיגיינה

AH = olete _ rights (אין בעלים/עבר בשל )/all _ rights&fs

סף: 2% (אזור אדום> 5%).

5. 3 קצב סחיפה (IC/Cloud)

'DR = drifts (IaC↔fakt שגויות )/monthefost

מגמה: ירידה קבועה במשך 3 חודשים ברציפות.

5. 4 זמן לשפץ (חומרה)

גבוה: 30 יום חציוניים; קריטי: רישום 7 ימים. עיכוב הסלמה אוטומטית.

5. 5 AML FPR

'FPR = false-positive _ all _ alters&fos

איזון עם TPR וטיפול בהפסדים.

5. 6 כיסוי ראיות (ביקורת חשבונות)

EC = אוסף _ חפצים/חובה _ by _ checklist&fos

אובייקטיבי: 100% על ידי D-תאריך של הביקורת; יעד מבצעי - 95% ברציפות.

6) נתונים ומקורות ראיות (ראיות)

תצוגה: DSAR, Ligal Hold, TTL, יומני ביקורת, התראות.
תפקידים, בעלים, מסעות פרסום.
CI/CD/DevSecOps: SAST/DAST/SCA, סריקה סודית, רישיונות, שערים.
ענן/IC: תמונות של תצורות, דוחות סחיפה, יומני KMS/HSM.
SIEM/SOAR/DLP/EDRM: קורלציות, ספרי משחק, מנעולים.
רשם דרישות, בקרות, ויתור וביקורת.
נעילת אובייקט/תולעת: ארכיון בלתי משתנה של חפצים + סיכום חשיש.

7) לוחות מחוונים (סט מינימלי)

1. היענות למפת חום - תקנות xxx.
2. מרכז SLA - DSAR/STR/Training: מועדים, עבריינות, תחזית.
3. גישה לתפקידים רעילים, חשבונות יתומים, התקדמות בהרשמה.
4. שימור ומחיקה - הפרות TTL, נעילת Ligal Hold, מגמות.
5. Infra/Cloud Drift - אי עקביות, הצפנה, קטגמנטציה.
6. צינור ממצאים - פתוח/פג תוקף/סגור על ידי בעלים וחומרה.
7. ביקורת מוכנות - כיסוי ראיות וזמן למוכנות ”על הכפתור”.

• ירוק - היעד נפגש/יציב.
• צהוב - סיכון לסטייה, תכנית נדרשת.
• סטייה קריטית, הסלמה מיידית.

8) קישור OKR (רבעון לדוגמה)

המטרה: להפחית את הסיכון הרגולטורי והתפעולי ללא האטה.

KR1: הגדלת סיקור של פקדים אוטומטיים מ-72% -88%.
KR2: הפחת את היגיינת הגישה מ ־ 4. ‏ 5% → ≤ 2%.
KR3: 99% DSAR בזמן; התגובה החציונית צברה 10 ימים.
KR4: שיעור הסחיפה הוא 40% קיו.
KR5: Time-to-Audit-Ready 8 שעות (הפעלה יבש).

9) RACI למדדים

10) תדירות מדידה ונהלים

התראות, סחיפה, סודות, תקריות קריטיות.
שבועי: SLA DSAR/STR, שערי DevSecOps, Access Hygiene.
בקרת קצב מעבר, ממצאים חוזרים, כיסוי ראיות.
רבעון: סיכום OKR, אינדקס הפחתת סיכונים, ביקורת-חזרה (הפעלה-יבשה).

נוהל סקירת סף: מגמה, ניתוח עלות וסיכון; שינוי סף - באמצעות לוח.

• סמנטיקה מאוחדת: מילון מונחים ותבניות SQL.
• פורמולה ורסיונינג: ”metric as code” (מאגר + review).
• בדיקת רבייה: תסריטים מחודשים למבקרים.
• אי-מידתיות של חפצים: שרשראות תולעת + חשיש.
• פרטיות: מזעור, מיסוך, שליטה על גישה לתצוגות של KPI.

12) דוגמאות שאילתה (SQL/פסאודו)

12. 1 DSAR SLA (30 ימים):

sql
SELECT
COUNTIF(closed_at <= created_at + INTERVAL 30 DAY) / COUNT() AS dsar_sla_rate
FROM dsar_requests
WHERE created_at BETWEEN @from AND @to;

12. 2 גישה להיגיינה:

sql
SELECT
SUM(CASE WHEN owner IS NULL OR expires_at < CURRENT_DATE THEN 1 END)
/ COUNT() AS access_hygiene
FROM iam_entitlements
WHERE system_critical = TRUE;

12. 3 סחיפה (טרה-פורם נגד עובדה):

sql
SELECT COUNT() AS drifts
FROM drift_detections
WHERE detected_at BETWEEN @from AND @to
AND severity IN ('high','critical');

13) סף (דוגמאות התייחסות, להסתגל)

14) תרופות אנטי ־ פטריות

מדדים ”לדיווח” ללא בעלים ותוכנית פעולה.
ערבוב גרסאות נוסחה = מגמות שונות.
כיסוי ללא יעילות: כיסוי גבוה, אבל סחיפה גבוהה וממצאים חוזרים.
מתעלם ממחיר החיובי הכוזב (FPR) ב AML/CCM.
Metrics ללא הקשר סיכון (ללא קשר עם KRI ורישיונות).

15) רשימות בדיקה

הפעלת מערכת KPI

[ ] מילון מטריקס ומאגר ”מדדים כקוד”.

[ ] בעלים מוקצה (RACI) ושיעורי רענון.

[ מקורות ] ומופע התצוגה קשורים.

[ ] לוחות מחוונים ואזורי צבע, SLO/SLAS והסלמה מוגדרים.

[ ] ארכיון תולעת ולדווח חשיש.

[ ] יבש-לרוץ לביקורת עם referform.

לפני דו "ח רבעוני

[ ] אימות נוסחאות, בקרת אנומליה.

[ ] עדכון סף כמעט רגולטורי.

[ ניתוח עלות/תועלת ] FPR נגד TPR.

[ ] התוכנית לשיפור האזור האדום.

16) מודל בגרות Metrics (M0-M4)

ראיית חשבון ידנית: אקסל-טבלאות, דו "חות לא סדירים.
M1 Catalogue: תצוגת ראווה אחת, סלאחים בסיסיים ומגמות.
אם-2 אוטומטי: לוחות מחוונים בזמן אמת, הסלמה.
M3 מתוזמר: מדיניות כקוד, CCM, ראיה אוטומטית, רפרפורם.
M4 Continuous: ”ביקורת מוכנה לפי כפתור”, חיזוי (ML) מדדי סיכון.

17) מאמרים הקשורים לוויקי

ניטור ציות רציף (CCM)

ציות ודיווח אוטומציה

ביקורת על בסיס סיכון

מדיניות ואופן חיים של נהלים

אחיזה חוקית והקפאת נתונים

DSAR: בקשות למשתמש לנתונים

שמירת נתונים ולוחות זמנים למחיקה

סך הכל

ציות חזק ל-KPIs הם נוסחאות ברורות, מקורות אמינים, בעלים וסף, תצוגה אוטומטית ופעולות סטייה. זה הופך ציות לשירות צפוי עם השפעה מדידה על סיכון עסקי ומהירות.