Метрики: время закрытия critical, % retested closed, повторные findings (регрессии), покрытие критичных приложений расписанием, снижение mean severity, улучшения детекта после purple. Не число отчётов и не «нас никто не взломал» как единственный KPI.
Разбор
- Связка с product risk.
- Удовлетворённость engineering процессом.
- Доля systemic fixes vs one-off.
- Budget vs residual risk narrative.
Итог
Успех = закрытие риска и меньше регрессий, не тонна PDF.