Metryki biznesowe dla bezpieczników

„Jeśli nie możesz tego zmierzyć, nie możesz tego poprawić” – to słowa przytaczane na wielu szkoleniach menadżerskich. Wraz z biegiem czasu wyewoluowały one w „Jeśli nie możesz tego zmierzyć, nie możesz tym zarządzać”. Biznes opiera się na metrykach – wyniki finansowe, procent realizacji celów, liczba zatrudnionych, poziom satysfakcji klienta, liczba kliknięć na stronie internetowej. Cyfry są wspólnym językiem wszystkich działów. I dlatego w dzisiejszych czasach, aby chronić biznes trzeba mówić językiem biznesu – językiem cyfr.

W ostatniej dekadzie byliśmy świadkami rosnącego, choć czasem niechętnego, uznania tego faktu przez specjalistów ds. bezpieczeństwa. Pytanie wielu specjalistów w dziedzinie zabezpieczeń brzmi: „Jakie wskaźniki biznesowe powinienem znać?” Każda organizacja może mieć własne unikalne słowa kluczowe (KPI), które należy wziąć pod uwagę. Ale niektóre wskaźniki mają znaczenie dla każdej firmy i na nich się tu skupiamy.

Wydajność operacyjna

Ujmując rzecz najprościej, obliczenie produktywności jest proste:

Trudność zwykle pojawia się przy podejmowaniu decyzji, co dokładnie stanowi „jednostkę wkładu”. Trzeba wziąć pod uwagę kapitał, pracę i materiały, a pytanie, czy najdokładniejsza odpowiedź pochodzi z równego zważenia wszystkiego, czy też zastosowania różnych wag do różnych części całości. Odpowiedzi na takie pytania są przedmiotem niezliczonych rozpraw, raportów i książek.

Specjaliści ds. bezpieczeństwa powinni wiedzieć, że koszt bezpieczeństwa będzie stanowił część „jednostki wkładu” – kosztów pośrednich (niezwiązanych bezpośrednio z wytworzeniem produktu). Jest to fakt, który zostanie wyjaśniony każdego roku w okresie budżetowym.

Może być mniej oczywiste, że miernik wydajności operacyjnej może być przydatny dla bezpieczeństwa. Ustalenie jednostki wyjściowej czy to zablokowanych ataków, czy udaremnionych prób eksfiltracji danych, a następnie obliczenie jednostek wejściowych może pomóc zespołom bezpieczeństwa dowiedzieć się, czy działają tak skutecznie, jak to możliwe, w ramach swoich ograniczeń zasobów. Następnie mogą wykorzystać te informacje podczas omawiania budżetów i procesów z resztą firmy.

Lojalność i poziom utrzymania klientów (churn rate)

Lojalność klientów ma kluczowe znaczenie z jednego prostego powodu: znacznie taniej jest przyjąć zamówienie od istniejącego klienta niż wyjść i znaleźć nowego klienta. Umieszczone w innym kontekście zastępowanie utraconych klientów nie jest wzrostem, dodawanie nowych klientów przy jednoczesnym zachowaniu starych klientów jest. Dlaczego ma to znaczenie dla cyberbezpieczeństwa?

Bezpieczeństwo odgrywa kluczową rolę w zatrzymywaniu klientów – rolę, która ma dwojakie znaczenie. Po pierwsze, zabezpieczanie aplikacji internetowych i zapewnianie bezpieczeństwa informacji umożliwiających identyfikację osób (PII) często powoduje „zgrzyt”, opóźnienie w transakcjach, a w dzisiejszym świecie online klienci nienawidzą opóźnień. Jednocześnie badania pokazują, że klienci cenią teraz bezpieczeństwo ponad wygodę w aplikacjach internetowych. To, czego naprawdę chcą, to niewidzialne bezpieczeństwo. Sposób dostarczenia będzie miał ogromne znaczenie dla utrzymania klientów w Twojej firmie. Możliwość mówienia o swojej pracy w tych kategoriach znacznie usprawni współpracę z grupami handlowymi i marketingowymi.

Informacja o liczbie odejść klientów, może być również przydatna, jeśli chodzi o prognozowanie wymagań dotyczących sieci i urządzeń je zabezpieczających. Co ważniejsze, może to być miernik, który napędza współpracę między bezpieczeństwem, sprzedażą i marketingiem, aby upewnić się, że bezpieczeństwo ma minimalny wpływ na straty klientów jako część ogólnej rezygnacji.


Marża brutto

Marża brutto to jedna z liczb, które dyrektorzy i szefowie jednostek biznesowych zwykle znają w ten sam sposób, w jaki znają własne adresy i nazwiska swoich dzieci. Jest to dość prosta liczba do obliczenia: odejmij koszt sprzedanych towarów od całkowitych przychodów ze sprzedaży, a następnie podziel tę liczbę przez całkowity przychód ze sprzedaży – tak, łączne przychody ze sprzedaży są używane dwukrotnie. Otrzymujesz procent i chcesz, aby był jak najwyższy. Jest to liczba krytyczna dla bezpieczeństwa cybernetycznego, ponieważ wszelkiego rodzaju zabezpieczenia są częścią „kosztu sprzedanych towarów”. Ogólnie rzecz biorąc, liderzy biznesu starają się, aby była to jak najmniejsza liczba, ponieważ im mniejsza, tym lepsza będzie marża brutto.

Ponieważ bezpieczeństwo to wydatek, ważne będzie pokazanie, że cyberbezpieczeństwo jest maksymalnie wydajne w ramach budżetu. Kiedy menedżerowie ds. cyberbezpieczeństwa zrozumieją, skąd pochodzi marża brutto i jaki jest ich wkład w obliczenia, mogą prowadzić znacznie bardziej produktywne rozmowy z liderami biznesowymi z innych części firmy.

Liczba godzin w procesie

W wielu aspektach nowoczesnych firm praca ludzka – usługa jest głównym składnikiem kosztu sprzedawanych towarów. Dlatego ważne jest, aby zrozumieć, ile godzin zajmuje dany proces i dlaczego bezpieczeństwo może odgrywać nieoczekiwaną rolę w tym wskaźniku.

Ile godzin zajmuje zabezpieczenie aplikacji internetowej? Menedżerowie ds. bezpieczeństwa są często proszeni o poinformowanie kierownictwa, ile godzin poświęcono na naprawę włamania lub naruszenia, ale ile godzin potrzeba, aby zapobiec takim włamaniom lub naruszeniom? Do jakiego procesu biznesowego są przypisane te godziny? Liderzy biznesu muszą znać odpowiedzi na te pytania, aby dokładnie obliczyć koszt sprzedanych towarów.

Są to również rodzaje pytań, na które menedżerowie ds. bezpieczeństwa muszą odpowiedzieć, oceniając, czy ich procesy bezpieczeństwa są wydajne i efektywne. W dziedzinie bezpieczeństwa często uważa się, że wystarczy mierzyć skuteczność, ale odpowiedzi na pytania dotyczące wydajności pomogą lepiej zintegrować zabezpieczenia i sam dział bezpieczeństwa IT z resztą organizacji.

Net Promoter Score

Mówiąc najogólniej, są trzy rodzaje klientów: ci, którzy cię kochają, ci, którym nie przeszkadzają twoje produkty lub usługi oraz ci, którzy cię nienawidzą. Podczas gdy wielkość sprzedaży zwykle mieści się w średniej kategorii, w dzisiejszym krajobrazie mediów społecznościowych należy zmaksymalizować liczbę osób z pierwszej grupy, minimalizując jednocześnie tych z ostatniej. Sukces w tym zakresie jest mierzony wskaźnikiem Net Promoter Score.

Dział marketingu zbuduje Net Promoter Score, ale bezpieczeństwo musi wiedzieć, jaką rolę odgrywa w uszczęśliwianiu klientów. Czy bezpieczeństwo jest skuteczne i dyskretne? Czy polityka prywatności jest racjonalna i przejrzysta? Czy naruszenia są skutecznie usuwane i szybko ujawniane? Wszystkie one odgrywają rolę.

Zostanie partnerem w zakresie marketingu i sprzedaży jest ważne, aby zapewnić bezpieczeństwo jako działowi, który jest dobry w czymś więcej niż mówieniu „nie”. Zrozumienie znaczenia wskaźnika Net Promoter Score i roli bezpieczeństwa w jego ulepszaniu sprawi, że coś pozornie abstrakcyjnego jak dialog bezpieczeństwa z marketingiem może stać się rzeczywistością.

Współczynnik konwersji leadów

Leady są ważne, istniejący klienci są krytyczni. Miarą sukcesu firmy w przekształcaniu pierwszego w drugie jest współczynnik konwersji od potencjalnych klientów do klientów.

W klasycznym modelu sprzedaży zespołów sprzedaży wewnętrznej i zewnętrznej oraz cotygodniowych raportach sprzedaży menedżerowie sprzedaży mogą zobaczyć liczbę połączeń telefonicznych lub wizyt na miejscu, liczbę nowych leadów i liczbę nowych konwersji sprzedaży. Nadal są one ważne, ale dla organizacji konsumenckich pytanie brzmi, ilu odwiedzających stronę internetową staje się rzeczywistymi klientami.

W ramach ogólnego współczynnika konwersji dla bezpieczeństwa ważne jest, aby zobaczyć, gdzie potencjalni klienci rezygnują z procesu. Jeśli chodzi o rejestrację lub uwierzytelnianie w procesie składania zamówienia, jest to krytyczny wskaźnik, że coś jest nie tak z bezpieczeństwem witryny. Bądź wrażliwy na te dane, upewnij się, że bezpieczeństwo nie jest odpowiedzialne za obniżanie stawki, a będziesz trzymać marketing w swoim kącie, jeśli chodzi o budżet i spotkania projektowe.

Nie sposób nie zauważyć, wymienione wskaźniki dotyczą sprzedaży, marketingu i klientów. Warto to przypomnieć główny cel istnienia przedsiębiorstwa – generowanie wartości dla właścicieli/akcjonariuszy.

Na koniec dnia to wygenerowany zysk pozwala sfinansować rozwój i inwestycje, zapłacić pracownikom, dostawcom i spłacić zaległości.  Podsumowujące bezpieczeństwo nie może ograniczać biznesu, gdyż efekt może być analogiczny do cyberataku.