KPI和合規度量
1）合並度量為什麼
這些指標將需求和風險轉化為可管理的目標。良好的KPI/KRI系統：- 使合規狀態透明且具有時間可比性；
- 將合規性操作與業務結果聯系起來（減少損失/罰款/發布延遲）；
- 根據事實而不是感覺管理優先事項和資源；
- 簡化審核：有可跟蹤的公式、源和不可變工件（evidence）。
- KPI-績效指標（流程效率）。
- KRI-風險指標（事件的概率/影響）。
- SLO/SLA是服務/時間承諾的目標級別。
- Leading vs Lagging：預期（領先）和滯後（滯後）指標。
2）按域劃分的度量圖（參考矩陣）
3）「北極星」（北極星）合成
1.在N小時內進行審核就緒（所有事件都是自動組裝的）。
2.零關鍵Violations（零關鍵安全/監管差異）。
3. ≥ 90%的覆蓋率是自動控制（政策即代碼+CCM）。
4）分類學指標
4.1封面（覆蓋範圍）
控制覆蓋：受控系統/所有關鍵系統。
Evidence Coverage：通過審計檢查表收集的文物。
Policy Adoption：實施要求的流程/所有目標流程。
4.2 Effectiveness（控制效率）
通行率控制測試：已通過/所有周期測試。
FPR/TPR（假陽性/真陽性）。對於偵探規則。
事件預防：預防性控制阻止的案例。
4.3 Efficiency（成本/速度）
MTTD/MTTR違規：檢測/消除之前的時間。
按案例計算（AML/DSAR）：時數×費率+基礎設施成本。
Automation Ratio：自動解決方案/所有解決方案。
4.4時限（時限）
執行SLA （DSAR/STR/Learning）：按時完成。
Lead Time策略：從觸發器到發布。
Change Lead Time （DevSecOps門）：從公關到在合規檢查下發布。
4.5質量（數據/流程質量）
Evidence Integrity：WORM中具有哈希摘要的工件百分比。
Data Defects： Reg報告/報告中的錯誤。
培訓分數：平均測試分數，從第一次開始百分比。
4.6風險影響（風險影響）
風險減少指數：重整後的總風險爭奪∆。
監管曝光：開放關鍵插槽vs許可證/認證要求。
$Avoided Losses（估計）：因關閉插科打而避免的罰款/損失。
5）公式和示例計算
5.1 DSAR SLA
"DSAR_SLA=（已結案≤ 30天）//（已結案）
目標： ≥ 98%；紅色區域<95%，黃色95-97。9.
5.2 Access Hygiene
'AH=過時_權利（無所有者/過期）/所有_權利'
閾值：≤ 2%（紅色區域>5%）。
5.3 Drift Rate (IaC/Cloud)
「DR=漂移（IaC↔fakt不匹配）/月」
趨勢：連續3個月穩步下降。
5.4 Time-to-Remediate (по severity)
高度：中位數≤ 30天；批評：≤ 7天。逾期→自動升級。
5.5 AML FPR
「FPR=假陽性_alerta/Allerta」
與TPR和處理損耗保持平衡。
5.6 Evidence Coverage（審核）
'EC=收集的_文物/強制性_通過_支票清單'
目的：在D日期前實現100%；運營目標-永久≥ 95％。
6）數據和證據來源（evidence）
Compliance DWH展示櫃：DSAR、Legal Hold、TTL、審計日誌、Alerta。
IAM/IGA：角色，所有者，認證活動。
CI/CD/DevSecOps：SAST/DAST/SCA，秘密掃描，許可證，門。
Cloud/IaC：configs snapshot，漂移報告，KMS/HSM logi。
SIEM/SOAR/DLP/EDRM：相關性，花花公子，鎖定。
GRC：要求、控制、要求和審計登記冊。
WORM/Object Lock：不變的工件歸檔+哈希摘要。
7）Dashbords（最低設置）
1.Compliance Heatmap-系統×法規×狀態。
2.SLA中心-DSAR/STR/培訓：截止日期，逾期，預測。
3.Access&SoD-有毒角色,orphan帳戶,認證進度。
4.Retention&Deletion-TTL違規、合法鎖定、趨勢。
5.Infra/Cloud Drift-IaC不匹配、加密、分割。
6.Findings Pipeline-業主和severity開放/逾期/關閉。
7.Audit Readiness-通過按鈕覆蓋事件和準備時間。
- 綠色-目標/穩定實現。
- 黃色是被拒絕的風險，需要一個計劃。
- 紅色是臨界偏差，立即升級。
8） OKR韌帶（季度示例）
目標：在不放慢發布速度的情況下降低監管和運營風險。
KR1：將自動控制覆蓋率從72%提高→ 88%。
KR2： 將Access Hygiene從4降低。5% → ≤ 2%.
KR3：99%的DSAR到期；答案中位數≤ 10天。
KR4： Drift Rate雲− 40%的QoQ。
KR5：時間到審計就緒≤ 8小時（幹跑）。
9） RACI指標
10）測量頻率和程序
每天：CCM變量，漂移，秘密，關鍵事件。
每周：SLA DSAR/STR，DevSecOps門，Access Hygiene。
每月：通行費率控制,重復查找,Evidence Coverage。
季度：OKR摘要，風險減少指數，審核排練（dry-run）。
閾值審查程序：趨勢、成本和風險分析；更改閾值-通過Board。
11）質量指標： 規則
統一語義：術語和SQL模板詞典。
公式驗證：「度量作為代碼」（存儲庫+評論）。
可重現性檢查：審核員的復制腳本。
工件不可移動性：WORM+哈希鏈。
私有性：最小化，掩蓋，控制KPI展示櫃的訪問。
12）查詢示例（SQL/偽）
12.1 DSAR SLA （30天）：
sql
SELECT
COUNTIF(closed_at <= created_at + INTERVAL 30 DAY) / COUNT() AS dsar_sla_rate
FROM dsar_requests
WHERE created_at BETWEEN @from AND @to;12.2 Access Hygiene:
sql
SELECT
SUM(CASE WHEN owner IS NULL OR expires_at < CURRENT_DATE THEN 1 END)
/ COUNT() AS access_hygiene
FROM iam_entitlements
WHERE system_critical = TRUE;12.3漂移（Terraform vs事實）：
sql
SELECT COUNT() AS drifts
FROM drift_detections
WHERE detected_at BETWEEN @from AND @to
AND severity IN ('high','critical');13）閾值（參考示例，適應）
14）反模式
沒有所有者和行動計劃的「報告」指標。
公式版本的混合→趨勢的可比性。
覆蓋範圍沒有效率：高覆蓋率,但高漂移和重復查找。
忽略AML/CCM中的誤報（FPR）成本。
沒有風險上下文的度量（與KRI和許可證沒有關聯）。
15）支票單
啟動KPI系統
- 度量詞典和單個存儲庫「度量作為代碼」。
- 已指定所有者（RACI）和刷新率。
- 已連接源和「Compliance」陳列櫃。
- 配置了行車記錄儀和顏色區域、SLO/SLA和升級。
- WORM存檔和報告哈希提交。
- Dry-run用於復制審核。
在季度報告之前
- 公式驗證，異常控制。
- 更新近調節閾值。
- 成本效益FPR vs TPR分析。
- 紅色區域改進計劃。
16）成熟度模型指標（M0-M4）
M0手動記錄：Excel表格,不規則報告。
M1目錄：單個展示，基本的SLA和趨勢。
M2自動化：實時dashboards,升級。
M3 Orchestrated： policy-as-code, CCM, auto-evidence, reperform。
M4持續保證：「按按鈕試用」，預測（ML）風險指標。
17）相關文章wiki
連續合規性監控（CCM）
編譯和報告自動化
以風險為導向的審計
策略和過程生命周期
法律保留和數據凍結
DSAR： 用戶的數據請求
數據存儲和刪除時間表
底線
強大的合規性KPI是可理解的公式，可靠的來源，所有者和閾值，自動展示和偏差操作。因此，合規性成為可預測的服務，對風險和業務速度具有可衡量的影響。