---
title: "Метрики обучения по ИБ: что измерять новому ИБ-руководителю и как собрать отчёт для руководства — AVAREANGE"
url: "https://avareange.avacloude.ru/blog/ib-training-metrics-report/"
---

[Все статьи](https://avareange.avacloude.ru/blog/)

AVAREANGE / BLOG10 февраля 2026 г.11 мин чтения

# Метрики обучения по ИБ: 5 рабочих показателей и шаблон отчёта для руководителя

Практический набор метрик для security awareness в компаниях до 500 сотрудников: что измерять, как считать «фишинг-индекс», как оформить короткий отчёт для директора и что делать если Excel уже не справляется

![](https://avareange.avacloude.ru/icon.svg)Команда AVAREANGE

![](https://avareange.avacloude.ru/blog/04af7d46169ba45d.jpg)

[О платформе](https://avareange.avacloude.ru/future/#platform)

Если вы только пришли руководителем по ИБ (или ответственным за ИБ) в компанию, у вас почти всегда есть две параллельные задачи. Вам нужно снизить риск человеческого фактора и одновременно показать руководству понятный прогресс — без долгих внедрений, консультантов и бесконечных таблиц.

Особенно в первые месяцы, когда команда часто маленькая (иногда вы один или вас 1–2 человека), а от вас уже ждут ответа: «что мы измеряем и что делаем дальше».

Проблема не в том, что метрик много. Проблема в том, что метрики часто собирают ради отчёта, а не ради управленческих решений. В результате вы получаете цифры, которые не помогают ни вам, ни директору: «проценты где-то в LMS», «клики где-то в почте», «обучение где-то в HR».

## Почему метрики нужны сразу: короткий контекст про фишинг

Согласно отраслевым исследованиям 2025 г. (Verizon DBIR, Positive Technologies), фишинг участвует в 36–45% первичных компрометаций, а человеческий фактор присутствует в ~74% успешных инцидентов

Типичные последствия фишинговых атак в компаниях любого размера:

*   утечка конфиденциальных данных (клиентские базы, учётные записи);
*   временное нарушение бизнес-процессов из-за блокировок или расследований;
*   финансовые потери как прямой или косвенный эффект.

Важно: цифры зависят от методики и выборки; здесь они нужны как ориентир, почему «обучение + симуляции + метрики» стоит собирать в управляемый процесс.

В статье — рабочий минимум: какие метрики выбрать, как их считать, как быстро оформить короткий отчёт для директора и где проходит граница между «Excel ещё тянет» и «пора выбирать платформу».

## Какие метрики нужны на старте: 3 уровня, чтобы не утонуть

В ИБ‑обучении есть три уровня метрик. Если вы пропускаете первый — у вас нет базы. Если пропускаете второй — вы не видите изменение поведения. Если пропускаете третий — руководству сложно связать обучение с риском.

### Уровень 1. Охват и дисциплина (управляемое обучение)

Это метрики, которые отвечают на вопрос: «Процесс существует или это разовые активности?»

*   Охват: кто из сотрудников действительно попал в программу.
*   Прохождение: сколько людей завершили обязательный минимум.
*   Просрочки: сколько людей «зависли» и требуют напоминаний или эскалации.

Эти метрики не доказывают снижение риска. Они доказывают, что у вас появился воспроизводимый процесс — и это уже важный шаг для нового ИБ‑руководителя.

### Уровень 2. Поведение в симуляциях и тестах (изменение реальных действий)

Эти метрики отвечают на главный вопрос: «Стали ли сотрудники вести себя безопаснее?»

*   Доля рискованных действий в фишинговых симуляциях (клики, ввод данных — если вы это используете в сценарии).
*   Доля корректных действий: кто распознал атаку и сделал правильный шаг (например, сообщил в ИБ/ИТ или отметил письмо как подозрительное).
*   Динамика по группам: где хуже всего (финансы/кадры/закупки/ИТ/руководители).

Здесь важно не «поймать людей», а найти группы риска и запустить корректирующие действия: микро‑обучение, короткие напоминания, дать сценарии «как правильно».

### Уровень 3. Риск‑картина для руководства (метрики для топ-менеджеров)

Эти метрики отвечают на вопрос руководителя: «Что это меняет для бизнеса?»

*   Группы риска: какие подразделения чаще совершают рискованные действия.
*   Тренд: что улучшается, что стоит на месте, где ухудшение.
*   План действий: какие 2–3 управленческих решения вы предлагаете (регламент, процесс, инструмент, роль).

На этом уровне вам не нужно обещать «нулевые клики». Вам нужно показать, что риск становится управляемым: есть измерение → есть реакция → есть повторная проверка.

## «Фишинг‑индекс»: как считать и зачем он нужен

Во многих компаниях «фишинг‑индекс» используют как единую, агрегированную метрику для руководства. Это удобно, потому что директору сложно сравнивать «клики», «сообщения», «прохождения» в разных местах.

Самый практичный подход — договориться о внутреннем определении, которое вы сможете воспроизводить каждый месяц. Вариант «минимум без математики» выглядит так:

*   Базовая метрика риска: доля сотрудников, совершивших рискованное действие в симуляции.
*   Базовая метрика зрелости: доля сотрудников, совершивших корректное действие (сообщили/отметили/обратились в поддержку по регламенту).

Если вы хотите один индекс, можно собрать его как взвешенную оценку (пример подхода, который легко объяснить руководству):

*   риск растёт, когда растёт доля рискованных действий;
*   риск падает, когда растёт доля корректных сообщений и падают повторные «попадания».

Ключевое правило: индекс должен вести к действию. Если индекс «плохой», у вас должны быть заранее определённые шаги — что вы делаете на уровне контента, коммуникации и процесса.

### Пример простого фишинг‑индекса, который можно считать каждый месяц

Главная цель индекса — не «идеальная математика», а воспроизводимость: один и тот же расчёт → один и тот же смысл → понятные действия.Выберите 3–4 события, которые вы реально можете стабильно собирать:

*   Click rate = кликнувшие / получившие симуляцию
*   Data entry rate (если используете формы) = ввели данные / получившие симуляцию
*   Report rate = корректно сообщили / получившие симуляцию
*   Repeat rate = повторно «попались» / все участники

Пример индекса (шкала условная, главное — тренд месяц к месяцу):

Фишинг‑индекс = 100 × (0.5×Click rate + 0.3×Data entry rate + 0.2×Repeat rate − 0.4×Report rate)

Если вы не собираете какие-то события (например, Data entry rate), просто уберите их из формулы и перераспределите веса. Весов «правильных для всех» не существует. Важно другое: зафиксировать формулу (и веса), чтобы сравнивать тренд месяц к месяцу и не спорить о числах на каждом отчёте.

## Таблица метрик: что считать, где брать и что делать по результату

Ниже — компактная таблица. Её можно использовать как основу для ежемесячного отчёта и как «контракт» между ИБ и руководством: что именно вы измеряете и зачем.

| Метрика | Что означает | Как посчитать | Что делать, если низкий показатель |
| --- | --- | --- | --- |
| Охват обучения | Кто включён в обязательный минимум | Сотрудники “в программе” / все сотрудники | Закрыть “дыры” по спискам, синхронизировать оргструктуру и роли |
| Прохождение и дедлайны | Есть ли дисциплина процесса | Прошли до срока / назначенные | Напоминания, эскалация руководителям, упрощение контента |
| Доля рискованных действий | Сотрудники реагируют на сценарии | Совершили рискованное действие / получившие симуляцию | Микротренинги после инцидента, повторная кампания по группе риска |
| Доля корректных сообщений | Сотрудники умеют правильно реагировать | Сообщили/отметили правильно / получившие симуляцию | Упростить механику “сообщить о фишинге”, закрепить сценарий на 1 странице |
| Динамика по группам | Где самая уязвимая функция | Сравнение показателей по отделам/ролям | Адресные кампании (финансы/кадры/закупки), отдельные сценарии и обучение |

## Как собрать данные без "зоопарка" таблиц: минимальный контур

Если у вас маленькая команда (или вы один), вам нужен контур, который минимизирует ручную работу.

Рабочий минимум выглядит так:

*   единый список сотрудников (с отделами и ролями);
*   назначения (кто что должен пройти и до какого срока);
*   события (что произошло: курс начат/завершён, симуляция пройдена, клик/сообщение);
*   выгрузка отчёта (в формат, который понимает директор).

Эта же логика решает вашу «личную» задачу как ЛПР: вы перестаёте зависеть от «знания в головах» и начинаете управлять процессом как системой.

## Как оформить отчёт для директора: структура на 1 страницу

Директору почти никогда не нужен «полный журнал обучения». Директору нужен ответ на 4 вопроса.

### 1) Что изменилось с прошлого периода

Один абзац: что стало лучше/хуже и почему это важно.

### 2) Где риск выше всего

2–3 группы (подразделения/роли) и короткое объяснение: «почему» и «что делаем».

### 3) Какие действия вы уже сделали

Список из 3–5 пунктов: кампании, обучение, регламенты, канал сообщений.

### 4) Что вы предлагаете руководству (одно решение)

Один управленческий запрос: например, закрепить регламент реакции на фишинг, назначить владельца процесса в HR, или выделить время на пилот инструмента.Такой отчёт одновременно защищает вас как ИБ‑руководителя: у вас есть след действий и понятная логика «измерили → исправили → проверили».

### Пример отчёта по кибербезопасности для директора (шаблон на 1 страницу)

Этот шаблон можно копировать в Word/Google Docs и заполнять каждый месяц. Он устроен так, чтобы директор увидел 1) тренд 2) риск‑зоны 3) действия 4) один понятный запрос.

Период: \_\_\_ / Охват обучения: \_\_\_ / Фишинг‑индекс: \_\_\_ (Δ к прошлому месяцу: \_\_\_)

1.  Что изменилось (3 строки)

*   …

1.  Где риск выше всего (топ‑3 группы)

*   …

1.  Что сделали за период (3–5 пунктов)

*   …

1.  Что нужно от руководства (1 решение)

*   …

_Примечание (необязательно): чем вы измеряли (симуляции/тесты/канал сообщений) и какие ограничения у данных._

## Как измерять эффективность обучения по кибербезопасности

Если коротко: «эффективность» — это не средний балл теста и не факт прохождения. Это изменение действий в сценариях, похожих на реальные атаки.

Практическая логика измерения выглядит так:

*   До: замерить базовый уровень (первая симуляция/тест) и зафиксировать группы риска.
*   Действие: обучение + короткие напоминания + упрощение «правильного шага» (например, как сообщить о фишинге).
*   После: повторный замер тем же способом и сравнение тренда (по группам, а не только «в среднем по компании»).

В отчёте руководству важно показывать не «мы обучили N людей», а «группа X стала делать безопаснее Y; у группы Z пока хуже — вот что делаем».

## Как часто измерять метрики и какой горизонт считать улучшением

Чтобы у метрик был смысл, их нужно считать в одном ритме:

*   ежемесячно: тренд по 3–5 ключевым метрикам (охват/прохождение + 1–2 поведенческих + фишинг‑индекс);
*   после каждой кампании: разбор по группам риска и корректирующие действия;
*   раз в квартал: короткий пересмотр программы (что убрать/что усилить/какие группы добавить).

Обычно вы увидите первые понятные сдвиги на горизонте 1–3 месяцев, если цикл «измерили → исправили → проверили» действительно запускается, а не остаётся в презентации без реальной работы.

## Какие метрики не брать на старте (и почему)

Ниже — частые ошибки новых ИБ‑руководителей. Они дают цифры, но плохо помогают управлять риском:

*   Средний балл теста без привязки к действиям: люди «выучили ответы», но всё ещё кликают.
*   «Сколько писем отправили» / «сколько тренингов провели»: это активность, а не результат.
*   Одна «средняя по больнице» цифра без групп: скрывает проблемные подразделения.
*   «Нулевые клики» как KPI: стимулирует нечестные сценарии и демотивирует, а не снижает риск.

Если хочется оставить одну цифру для директора — оставьте её как индекс (см. «фишинг‑индекс») и обязательно рядом держите разрез по группам риска.

## Если метрики «плохие»: что делать в первую очередь

Удобно думать в трёх разрезах. Идти лучше сверху вниз — от простого к сложному:

1.  Контент: микро‑обучение после инцидента, короткие напоминания, разбор «как правильно».
2.  Процесс: единый канал «сообщить о фишинге», дедлайны, напоминания, эскалация, понятные правила.
3.  Инструмент: автоматизация назначений и отчётности, сегментация, регулярные отчёты без ручной сборки.

Идея простая: вы не «ругаете людей», вы строите управляемый цикл и каждый месяц показываете, что сделали на основе измерений.

## Когда Excel уже не справляется: признаки, что пора искать платформу фишинг-симуляций и обучения

Excel и разрозненные инструменты работают до тех пор, пока вы не пытаетесь сделать процесс регулярным и доказуемым.

Сигналы, что вы «упёрлись»:

*   вы не можете быстро сегментировать результаты по отделам и ролям;
*   вы тратите время на ручные напоминания и сбор статусов;
*   у вас нет понятной регулярной отчётности в одном месте;
*   после инцидента вы не можете быстро назначить корректирующее микро‑обучение;
*   данные нужны «вчера», а чтобы собрать их, требуется несколько систем и людей.

Если вы узнали себя хотя бы в двух пунктах, это уже не проблема "людей", а проблема инструмента и процесса.

## Как AVAREANGE закрывает разрыв

Для нового ИБ‑руководителя ключевой критерий при выборе решений — гибкость и быстрое освоение, чтобы вы могли управлять программой самостоятельно и при этом получать видимые метрики.

По функциональности платформы AVAREANGE это закрывается так:

*   Встроенная LMS и курсы: хранение, управление и назначение материалов, контроль прохождения и сертификация; поддержка SCORM 1.2/2004.
*   Аналитика и отчёты: прогресс пользователей и эффективность кампаний/курсов/тестов; выгрузка в XLSX/CSV/PDF и автоматическая отправка регулярных отчётов на почту.
*   События и автоматизация: автоматическое назначение корректирующих микротренингов после инцидента и назначение материалов по событиям (триггерам); напоминания и уведомления (email/in‑app).
*   Интеграции: в том числе выгрузка логов в Syslog, REST API (OpenAPI/Swagger) для пользователей/курсов/кампаний/отчётов/событий.
*   Варианты развёртывания: SaaS (быстрый старт) и On‑Premise (данные внутри контура заказчика).

Платформа превращает обучение и симуляции из разовых активностей в управляемый цикл с доказательствами и повторяемостью.

## 3 вопроса, которые стоит задать себе перед следующим отчётом

1.  Есть ли у меня 3–5 метрик, которые я могу повторить в следующем месяце без "героизма"?
2.  Могу ли я объяснить директору что изменилось одним абзацем и одной таблицей?
3.  Есть ли у меня понятный следующий шаг, если метрики "плохие" (контент → процесс → инструмент)?

## Как ускорить процесс обучения ИБ

Пройдите этот путь быстрее: запишитесь на демо AVAREANGE и посмотрите, как будут выглядеть отчёты, автоматические назначения и сегментация по вашим отделам и ролям.

[Записаться на демо платформы AVAREANGE](https://avareange.ru/gos#trypplatform) 

[Скачать технический обзор платформы AVAREANGE](https://avareange.ru/gos) 

От знаний — к действию

## Проверьте устойчивость вашей команды.

Посмотрите, как AVAREANGE помогает моделировать атаки, обучать сотрудников и измерять результат.

[Запросить демо](https://avareange.ru/get_access)

[Все ресерчи и статьи](https://avareange.avacloude.ru/research/)

Продолжить чтение

## Ещё из блога

[10 мин чтения

### Тест на фишинг своими руками — 6 способов проверить устойчивость команды без дорогих решений

](https://avareange.avacloude.ru/blog/test-na-fishing-dlya-sotrudnikov-6-sposobov-proverit-ustoychivost-komandy/)[12 мин чтения

### Гонка технологий: как современные средства защиты почты противостоят эволюции фишинговых атак

](https://avareange.avacloude.ru/blog/zashchita-ot-fishinga-chelovek-i-tekhnologii-razbor-pt/)[3 мин чтения

### AVAREANGE — обновления I квартала 2026: фишинг-симуляции в Telegram и MAX, MSSP для партнёров и дорожная карта

](https://avareange.avacloude.ru/blog/avareange-obnovleniya-q1-2026-telegram-max-mssp-roadmap/)