弱點管理指標：20 個應追蹤的關鍵 KPI

持續增加的安全風險數量對組織構成重大威脅。例如，前一年通報了 37,902 個新的 CVEs，這也是為什麼需要結構化的衡量方式與弱點管理指標，來應對這些威脅並評估安全整備狀況。雖然掃描工具可協助發掘弱點，但團隊仍需要具體資訊來了解問題的嚴重性。一項調查顯示，只有 14% 的參與者將外部威脅（如駭客或其他遭入侵的組織）辨識為資料外洩的來源。這項統計突顯了以指標為基礎的安全方法的重要性。

這些指標可確保所有弱點，不論數量多寡，都能被衡量，且在風險衡量上不會出現重大缺口。在本文中，我們將討論弱點管理報告指標的基本概念，以及如何利用這些指標為策略性決策提供依據。

什麼是弱點管理指標？

弱點管理指標是可衡量的指標，用於評估組織偵測、排序優先順序及修補安全缺陷的成效。它們將原始掃描資料轉換為有意義的數值（例如平均修復時間、可利用性可能性），協助安全主管判斷修補活動與弱點管理目標的契合程度。這些指標不僅僅是簡單的嚴重性評分，還會將業務影響或威脅情報等真實世界因素納入考量。隨著網路持續成長、容器數量增加，以及數位供應鏈擴張，指標可提供一致的參考基準，用於衡量進展並識別缺口。這些數據也可用於追蹤責任歸屬、引導資源配置，以及持續改善。最終，正確的指標能讓技術人員與高階主管對風險與修補建立共同理解。

弱點管理指標的重要性

Gartner 預測，到今年年底，全球45% 的組織可能會遭受供應鏈入侵。這些趨勢凸顯出採用透明、資料驅動的方法來進行掃描與修補的重要性。弱點管理指標為團隊提供客觀視角，以了解其處理威脅的速度與成效。以下我們概述這些衡量方式之所以仍是企業安全關鍵支柱的五個原因：

1. 引導策略決策：指標提供可量化的成功或問題證據。例如，平均修補時間過長，可能表示修補工作流程需要重新設計。透過比較不同季度的弱點管理關鍵指標，管理層可以合理化增聘人員、採用新的掃描解決方案，或修訂流程。資料驅動的決策可消除猜測，確保安全升級確實能解決現有痛點。
2. 讓團隊在優先事項上保持一致：DevOps 人員、安全團隊與高階主管往往使用不同的「語言」。而能讓他們統一起來的是定義共同目標的指標，例如將平均修復時間從 30 天縮短至 10 天的目標。這會建立責任歸屬：每個群組都能看見自己的角色如何影響整體指標。隨著時間推移，聚焦於相同的衡量方式，這種協同效應可帶來更順暢的修補部署，以及更少未處理的重大缺陷。
3. 凸顯安全投資的 ROI：採購新的弱點管理自動化工具或將掃描擴展至更多網路，成本可能相當高昂。團隊可藉由證明這些變更如何縮短平均可利用時間窗口，或大幅降低尚未處理的重大弱點數量，來驗證這項投資的價值。顯示更低的外洩事件發生頻率或更快的事件回應速度等指標，也能為進一步擴展提供更有力的商業論證。簡而言之，資料清楚說明了支出與現實世界中安全性改善之間的關聯。
4. 監控長期趨勢：單一時間點的快照很少能傳達弱點管理計畫指標策略在數月或數年內的維持成效。透過跨時間區間追蹤新引入的弱點、修復時間或修補合規率等資料點，可提供歷史視角。當相同弱點反覆出現時，指標便會指向根本原因，例如 DevOps 失誤或重複的錯誤設定。這種循環式認知為反覆迭代的改善奠定基礎。
5. 滿足法規與稽核人員的期望：許多法規要求證明已發現的弱點不會被擱置而未解決。可透過詳細指標來展現合規性，例如已修補與未修補缺陷的比例，或修復重大問題所花費的時間。稽核人員可檢查這些記錄，以確保組織遵循規定的修補時程。此流程可帶來更順利的稽核、降低遭罰款的機率，並提升對組織安全態勢的信心。

弱點管理指標：前 20 大 KPI

在日常安全營運中，專注於少數幾個策略性 KPI，可讓您的團隊在處理弱點時的速度與效率提升 10 倍。以下我們列出 20 項企業儀表板中常見的弱點指標。每一項都反映不同的面向，例如偵測速度、修補速度或可利用性，這些都是建立健全流程所不可或缺的要素。並非每個 KPI 都適用於每家公司，但評估這些指標可協助您判斷哪些數字能準確代表貴組織的安全態勢。

1. 平均偵測時間 (MTTD)：MTTD 是衡量您的團隊從漏洞揭露或產生到首次偵測為止，能多快回應新發現漏洞的指標。MTTD 越低，表示您的掃描或威脅情報功能越有效。由於偵測落差較長，攻擊者可能會在您甚至尚未察覺問題存在之前就利用這些缺陷。事件回應指標通常會與 MTTD 搭配使用，將掃描結果與即時偵測串聯起來。透過降低 MTTD，組織可縮短未修補問題持續處於不可見狀態的時間窗口。
2. 平均修復時間 (MTTR)：MTTR 衡量從偵測到弱點開始，直到其被修復或套用修補程式為止所需的時間。較低的 MTTR 表示您的修補程式流程有效率、核准流程推進迅速，且您擁有良好的部署排程。測試限制、人力不足或複雜的程式碼相依性可能導致延遲時間拉長。透過分析 MTTR，您可以識別修復週期中的瓶頸，並實施例如部分自動化或重組修補間隔等解決方案。隨著 MTTR 隨時間改善，通常會減少成功利用的情況。
3. 弱點偵測率：偵測率是指透過掃描或人工審查所發現的潛在弱點比例。高偵測率表示對網路、伺服器或容器具有良好的涵蓋範圍。掃描盲點或會妨礙完整檢查的組態，表示可能忽略了某些弱點。當應用於容器化環境時，容器弱點掃描可與標準方法良好結合，以提升整體偵測能力。記錄偵測率有助於精進掃描工具或調整掃描間隔，以將遺漏降至最低。
4. 可利用性評分：可利用性指標是衡量漏洞利用可用性或攻擊者興趣的指標，因為並非每個弱點都會在實際環境中遭到主動利用。嚴重的缺陷可能缺乏已知的漏洞利用方式，而中度缺陷則可能出現在常見的漏洞利用工具包中。這可透過結合嚴重性與可利用潛力，實現更精確的風險導向優先排序。追蹤有多少缺陷屬於「高度可利用」，可讓安全主管將資源導向犯罪分子最有可能利用的問題。
5. 修補合規率： 此 KPI 的計算方式，是衡量在設定時間範圍內已完成修補的已發現問題數量。例如，在一個月內發現的所有重大弱點中，有多少百分比在接下來的 15 天內完成修補？強勁的合規率代表敏捷的修補週期。低比率則暴露出流程阻礙或部門間摩擦。隨著時間推移，將合規率與事件發生頻率建立關聯，可證明及時修補如何減輕真實世界中的攻擊。
6. 未解決弱點數量： 在任何特定時間點，部分已識別的缺陷仍未解決。透過追蹤該原始數量或其隨時間變化的趨勢，我們可以看出待處理積壓是在縮小還是擴大。在重大掃描或新部署之後，可能會出現劇烈波動。此外，這個數字也與弱點管理背後的邏輯相關，因為評估可能只會揭露一次未解決缺陷，而管理則試圖隨時間推移減少它們。密切關注積壓情況有助於維持責任歸屬。
7. 基於風險的優先排序指標： 雖然已有嚴重性評等，但許多組織選擇實踐弱點管理與風險管理之間的協同效應。這意味著根據業務影響、利用情況或潛在資料暴露來對弱點進行排序。如果基於風險的方法運作良好，您可以追蹤有多少項目符合「高風險」資格，或它們被修復的速度有多快。如果緊急缺陷未能在合理時間內解決，可能表示人員或流程存在不足。
8. 已處理重大弱點的百分比： 這是修補合規率更具體的版本，只聚焦於最嚴重的缺陷。它建立了一個基準：重大問題應該多快獲得完整修補——24 小時內、一週內，還是一個月內？管理層可以透過量化在該時間範圍內完成修補的數量，來查看弱點管理最佳實務是否獲得遵循。高比率表示計畫成熟，能快速回應潛在入侵路徑；低比率則表示可能存在資源限制。
9. 資產曝險與風險評分： 某些解決方案會為每項資產或子網路提供風險評分，其中包含有多少百分比的弱點仍為未解決、其嚴重程度，以及利用資料。透過監控主要業務單位的平均或最高風險評分，您可以看出哪些區域較不安全。持續掃描加上較低的風險評分，證明這是一種隨時間推移而有效的方法。與此同時，如果某些區段持續具有較高風險，管理層可以向這些區段投入額外資源或安全訓練。
10. 弱點再次出現之間的平均時間： 這是指相同或類似的缺陷再次發生時（例如重新安裝舊版本或有缺陷的容器映像檔）。此 KPI 顯示團隊在實施永久性修復，或處理意外重新帶回先前已知問題的 DevOps 管線方面的表現。較短的再次發生間隔表示需要改善底層流程（例如映像檔管理）。如果 DevOps 團隊養成納入容器弱點掃描最佳實務的習慣，就能大幅降低再次發生的情況。
11. 緩解時間與修補時間： 有時，修補程式無法立即取得，或套用修補程式會中斷正式環境運作。在穩定的修補程式完成測試之前，緩解措施（例如停用易受攻擊的服務或使用暫時性的組態變更）可以阻止漏洞利用。透過追蹤這些權宜措施相較於最終修補程式時程投入使用的速度，我們可以了解短期風險限制措施是否被有效運用。此指標強調，部分解決方案對於防止立即遭到入侵仍然很重要。
12. 掃描涵蓋率： 此數值顯示每個週期中已知資產被掃描的百分比。如果涵蓋不完整，就會存在未知缺陷。要達到高涵蓋率，需要一致的資產清冊與掃描排程。在 DevOps 情境中，容器可能快速出現與消失、短暫性容器，以及容器映像檔弱點掃描工具都必須適應。衡量涵蓋率可將未掃描系統存在的機率降至最低。
13. 弱點老化指標： 這組指標用於衡量弱點保持未解決狀態的時間，有時會依嚴重性層級（重大、高、中、低）進一步區分。當重大缺陷在超過標準門檻後仍保持未解決時，就是一個警訊。透過觀察這些老化趨勢，您可以看出積壓是在增加還是減少。團隊可持續監控老化資料，以識別妨礙及時修補的流程瓶頸。
14. 誤判陽性與誤判陰性比率： 掃描器產生的誤判陽性可能導致安全人員將時間浪費在不存在的問題上。更糟的是，誤判陰性會漏掉真實弱點。此指標可顯示掃描準確性，並可用來判斷解決方案是否已充分調校，或某些模組是否需要改進。隨著時間推移，這兩種類型都會減少，從而帶來更有效率的掃描，且人員在評估弱點時也能更有信心地信任結果。
15. 弱點修復 SLA 合規性： 此指標衡量組織在設定內部或外部 SLA 時的合規情況（例如，重大弱點必須在 48 小時內修復）。人力不足或複雜的修補流程，通常是持續無法達成 SLA 的根本原因。反過來說，達成 SLA 有助於與客戶及其他利害關係人建立信任——這表示重大缺陷不會持續未被處理。這也符合更廣泛的風險政策與弱點管理目標。
16. 修復速度： 此 KPI 衡量團隊從偵測到修補的速度，通常以數小時或數天計。它與 MTTR 類似，但更細緻地衡量修補週期中每個步驟的速度。若速度經常停滯，更深入的分析可能會揭示根本原因（例如缺乏自動化修補工具或 DevOps 流程複雜性）。隨著時間推移，速度會提升，進而降低成功利用的可能性。
17. 修補成功率： 若修補程式套用錯誤，有些修補可能會失敗，或無法解決根本缺陷。此 KPI 顯示已發現的弱點中，真正透過修補獲得解決的數量。完善的 QA 或最低限度的系統衝突會帶來較高的成功率，而反覆失敗則表示環境或流程存在不一致。隨著時間推移，更好的修補測試與協調可提高成功率。
18. 自動化與手動修復比例： 在現代化環境中，弱點管理自動化工具常用於加速修補工作。了解您的修復中有多少是自動化、多少是手動流程，是成熟度的良好指標。較高的自動化比例意味著較低的管理負擔與更快的解決速度。然而，某些系統可能仍需要徹底的手動檢查。透過觀察此比例的變化，我們可以看出新自動化解決方案或 DevOps 整合所帶來的影響。
19. 與未修補缺陷相關的事件： 在發生資料外洩後，發現某個未修補的弱點是事件成因，這並不少見。此指標表示可追溯至已知但尚未處理之弱點的安全事件數量。若該數字偏高，就表示應提高掃描頻率或更妥善地安排修補工作。降低此數值代表該計畫能有效處理關鍵暴露面，從而降低真實世界中遭利用的可能性。
20. 整體風險隨時間降低情況： 最後，擁有鳥瞰式視角有助於判斷組織的整體風險曝險是在增加還是減少。如此一來，便可依據嚴重性與資產關鍵性對弱點進行優先排序，並將其彙總為累積的「風險分數」，以便每月或每季追蹤。這些變化可能會與導入新的容器掃描工具或修補程式政策的變更同時發生。從長遠來看，定期出現的風險下降證明弱點處理流程的每個階段都能真正提升安全性。

結論

風險管理已不再只是執行一次掃描、抱著僥倖心理，並希望能找到一些弱點。透過使用弱點管理指標或一致性的衡量方式，組織可以量化其識別弱點的速度、修補弱點的效率，以及驗證結果的能力。當這些 KPI 與真實世界的利用資料相互對齊時，安全團隊便能清楚掌握哪些流程較為健全，哪些流程較為薄弱。每年都有數千個新的 CVE 出現，因此任何能縮短可被利用弱點時間窗口的資訊都極具價值。此外，將這些指標與其他安全框架整合，有助於將日常掃描與長期弱點管理標準連結起來。從長遠來看，適當的追蹤可提升問責性、促進部門間的一致協作，並將重複發生的風險降至最低。