6 новых метрик для измерения реагирования на инциденты с помощью автоматизации

Поскольку автоматизация продолжает трансформировать процессы реагирования на инциденты, доказать, как она меняет эффективность реагирования на инциденты, будет почти невозможно. без включения этих новых показателей

По мере того как специалисты по безопасности пересматривают инфраструктуру безопасности своей организации, чтобы справиться с изменяющимся ландшафтом угроз, им часто требуется продемонстрировать, как эти изменения положительно повлияют на итоговую прибыль бизнеса.

Однако в 2016 году Институт SANS обнаружил, что 71 % организаций не имеют регулярных показателей или показателей эффективности реагирования на инциденты (IR). Несмотря на то, что в последние годы этот процент снизился — 58 % заявили об отсутствии показателей в 2017 году, — многие службы безопасности увидят необходимость измерять свою производительность только после крупного киберинцидента.

>См. также: Операции по обеспечению безопасности:должна ли автоматизация означать автоматизацию?

Автоматизация процессов реагирования на инциденты может помочь компаниям разработать совершенно новый подход к показателям кибербезопасности, сократить расходы, повысить эффективность и поставить перед менеджерами практические цели, не только усилив их операции по обеспечению безопасности, но и обеспечив соответствие подхода к безопасности бизнесу. Шесть новых показателей включают:

1. Стоимость инцидента (CPI)

Метрика CPI может быть измерена как продолжительность инцидента, умноженная на среднюю почасовую ставку для аналитика первого уровня. Многие службы безопасности используют эту формулу в своих методических рекомендациях по работе с инвесторами на каждом этапе инцидента, начиная с обнаружения и заканчивая реагированием и исправлением.

>См. также: Автоматизация безопасности:повышение производительности ИТ и отказоустойчивости сети

Использование автоматизации не только устраняет целые этапы или рабочие процессы, но и обеспечивает ускорение, значительную экономию средств и повышение эффективности, поскольку команды могут сосредоточиться на проверке и разрешении инцидентов, а не тратить время на погоню за дикими гусями.

2. Автоматическое и ручное обнаружение

Команды безопасности могут установить базовый уровень для определения соотношения обнаружений, производимых стеком безопасности, по сравнению с общим количеством полученных человеком обнаружений.

Чтобы определить случаи обнаружения людей, группы безопасности должны определить количество обнаружений сотрудниками, например, когда сотрудник осознает, что его машина работает со сбоями, или ИТ-администратор осознает, что система работает необычно. Добавьте к этому количество внешних обнаружений — например, количество раз, когда группа безопасности получает вызов от правительственных/ИТ-администраторов — и количество обнаружений, созданных сотрудниками службы безопасности, вручную синтезируя данные из своего стека безопасности или SEIM, и это даст организаций ощущение эффективности существующей системы.

>См. также: Мобильность требует, чтобы безопасность шла рука об руку с автоматизацией

Автоматизировав процессы реагирования на инциденты, компании могут рассчитывать на то, что соотношение существенно сместится в сторону автоматизации, что означает повышение эффективности операций по обеспечению безопасности.

3. Процент расследования по сравнению с объемом

Операции по обеспечению безопасности теперь могут определить, что ускользает. Измеряя количество расследований по сравнению с объемом предупреждений, компании могут измерить разрыв в рисках в текущих операциях по обеспечению безопасности. Благодаря автоматизированным процессам реагирования на инциденты процент расследований на том тома резко возрастет.

Например, если организация обычно проводит три расследования на каждые 100 предупреждений (3/100 или 3 %), а затем внедряет автоматизацию, которая обеспечивает 10-процентную долю предупреждений до заключения и еще два расследования (5/10 или 50 %). %), что значительно повышает эффективность операций безопасности на 1500 %.

4. Отношение расследования к ответу

Любая организация заинтересована в том, чтобы группа операций по обеспечению безопасности тратила как можно меньше времени, а соотношение показателей расследования и ответа может помочь определить, сколько элементов, которые были исследованы, привели к завершению рабочего процесса реагирования.

>См. также: Прогнозы кибербезопасности на 2018 г.

Автоматизация процессов реагирования на инциденты приведет к сближению расследований с реагированием, поскольку больше расследований проводится в отношении подтвержденных выводов, а не только в отношении предполагаемых атак.

5. Скорость решения

Этот показатель измеряет время, необходимое для принятия решения после создания предупреждения. «Аналитический паралич» и неопределенность операций по обеспечению безопасности нередко приводят к увеличению времени ожидания и риску распространения атаки. Это также отнимает время на расследование и реагирование на другие атаки, которые могут происходить одновременно.

Измеряя скорость принятия решений как до, так и после внедрения автоматизации, группа операций по обеспечению безопасности может продемонстрировать свою гибкость и повысить эффективность реагирования без привлечения дефицитных человеческих ресурсов.

6. Ответ на исправление и повторное изображение

Этот показатель измеряет сбои в бизнесе. Чем больше хирургических, удаленных ответов обеспечивается за счет автоматизации процессов, тем меньше приходится выполнять «больших молотков» по ​​изменению образа конечной точки конечного пользователя, а это означает меньше сбоев в работе и неудобств для сотрудников. Легко увидеть, как отнятие чьего-либо ноутбука на день или отключение сервера обработки платежей может серьезно нарушить работу системы безопасности, даже если частью решения являются горячее резервное копирование и отказоустойчивость кластера.

>См. также: Проблема кибербезопасности для ИТ-отдела розничной торговли

Автоматизация процессов реагирования на инциденты позволяет избежать таких сбоев за счет создания действенных правил, которые могут автоматически запускать хирургическое исправление и глубокий анализ.

Показатели как средство реализации

Поскольку автоматизация продолжает преобразовывать процессы реагирования на инциденты, доказать, как она меняет эффективность реагирования на инциденты, будет почти невозможно без включения этих новых показателей.

Проще говоря, каждый из этих новых показателей может продемонстрировать, как автоматизация процессов реагирования на инциденты может не только укрепить вашу инфраструктуру безопасности, но и повлиять на итоговые результаты.

Источник  Эндрю Бушби, директор Fidelis Cybersecurity в Великобритании.