В статье рассматриваются практики оценки эффективности центров мониторинга и реагирования на киберугрозы в условиях роста объемов телеметрии и усложнения атак. Показано, что распространенные показатели среднего времени обнаружения и среднего времени реагирования отражают преимущественно быстроту, но не отвечают на вопросы о достаточности данных для обоснованных выводов, наличии контекста расследования и повторяемости его шагов. Выполнено сопоставление международных руководств и обзорных отчетов с российскими нормативными требованиями и проведен анализ отраслевых публикаций. В качестве результата систематизированы источники данных центра мониторинга, выделены типовые узкие места в цепочке преобразования данных и ограничения классических временных метрик. Предложена простая рамка сравнения по трем направлениям: скорость, контекст, процесс. Новизна состоит во введении трех вычислимых индикаторов: полноты контекста (доля инцидентов, подтвержденных не менее чем тремя независимыми источниками), воспроизводимости расследований (доля шагов, выполненных по утвержденным сценариям с машиночитаемым журналированием) и устойчивости к пиковым нагрузкам (сопоставление соблюдения целевых сроков в пиковом и базовом режимах), а также интегрального показателя управляемости, объединяющего скорость, точность и полноту. Практическая значимость заключается в возможности расчета указанных индикаторов на имеющихся системах управления событиями информационной безопасности и в их включении в дашборды для аудита, планирования ресурсов и сопоставимости команд.
The paper examines practices for evaluating the effectiveness of cyber‑threat monitoring and response centers under growing telemetry volumes and increasingly complex attacks. It is shown that commonly used indicators such as mean time to detect and mean time to respond mainly capture speed while failing to assess whether available data are sufficient for sound conclusions, whether investigation context is present, and whether investigation steps are reproducible. The study compares international guidance and landscape reports with Russian regulatory requirements and analyzes industry publications. As a result, data sources used by monitoring centers are systematized, typical bottlenecks in the data value chain are identified, and limitations of classic time‑based metrics are highlighted. A simple three‑axis comparison framework is proposed: speed, context, and process. The contribution introduces three computable indicators: context completeness (share of incidents corroborated by at least three independent sources), investigation reproducibility (share of steps executed via approved playbooks with machine‑readable logging), and resilience to peak loads (comparison of service‑level target adherence in peak versus baseline periods), together with an integral manageability index combining speed, accuracy, and completeness. The practical value lies in the feasibility of calculating these indicators using existing security event management systems and incorporating them into monitoring dashboards for audit, resource planning, and cross‑team comparability.
The authors declare that there are no conflicts of interest present.