6 nieuwe statistieken voor het meten van respons op incidenten met behulp van automatisering

Omdat processen voor reactie op incidenten voortdurend worden getransformeerd door automatisering, is het bijna onmogelijk om te bewijzen hoe dit de prestaties van reactie op incidenten transformeert zonder het inschakelen van deze nieuwe statistieken

Omdat beveiligingsteams de beveiligingsinfrastructuren van hun organisatie opnieuw definiëren om het hoofd te bieden aan het veranderende dreigingslandschap, moeten ze vaak aantonen hoe deze veranderingen een positieve invloed zullen hebben op de bedrijfsresultaten.

In 2016 ontdekte het SANS Institute echter dat 71% van de organisaties geen reguliere statistieken of metingen heeft voor de prestaties van incidentrespons (IR). Hoewel dit percentage de afgelopen jaren is afgenomen – 58% gaf aan geen statistieken te hebben in 2017 – zullen veel beveiligingsteams pas de noodzaak inzien om hun prestaties te meten na een groot cyberincident.

>Zie ook: Beveiligingsoperaties:moet automatisering automatisch betekenen?

Door incidentresponsprocessen te automatiseren, kunnen bedrijven een geheel nieuwe benadering van cyberbeveiligingsstatistieken ontwikkelen, kosten verlagen, efficiëntie verhogen en uitvoerbare doelen voor managers bieden, niet alleen om hun beveiligingsactiviteiten te versterken, maar ervoor te zorgen dat hun beveiligingsaanpak is afgestemd op het bedrijf. De zes nieuwe statistieken omvatten:

1. Kosten per incident (CPI)

De CPI-statistiek kan worden gemeten als de duur van een incident vermenigvuldigd met het gemiddelde uurtarief voor een eersteklas analist. Veel beveiligingsteams zullen die formule door het IR-playbook laten lopen voor elke fase van een incident, van detectie tot reactie en herstel.

>Zie ook: Beveiligingsautomatisering:de IT-productiviteit en netwerkbestendigheid vergroten

Door automatisering te gebruiken, worden niet alleen hele stappen of workflows geëlimineerd, maar levert het ook versnelling, enorme kostenbesparingen en verbeterde efficiëntie op, omdat teams zich kunnen concentreren op het valideren en afsluiten van incidenten, in plaats van tijd te verspillen aan een wilde gansjacht.

2. Automatische detectie versus handmatige detectie

Beveiligingsteams kunnen een basislijn bepalen voor het bepalen van de verhouding tussen detecties die de beveiligingsstack produceert en het gecombineerde aantal ontvangen menselijke detecties.

Om de menselijke detecties te achterhalen, moeten beveiligingsteams het aantal detecties door het personeel bepalen, zoals een werknemer die herkent dat zijn machine niet goed functioneert of een IT-beheerder die herkent dat een systeem op ongebruikelijke manieren presteert. Voeg daarbij het aantal externe detecties – zoals het aantal keren dat het beveiligingsteam een ​​telefoontje krijgt van de overheid/IT-beheerders – en het aantal detecties dat beveiligingsmedewerkers handmatig hebben gemaakt door gegevens uit hun beveiligingsstack of SEIM te synthetiseren, en dit geeft organisaties een idee krijgen van de efficiëntie van het huidige systeem.

>Zie ook: Mobiliteit vereist dat beveiliging hand in hand gaat met automatisering

Door incidentresponsprocessen te automatiseren, kunnen bedrijven verwachten dat de verhouding aanzienlijk naar de automatiseringskant van de vergelijking zal kantelen, wat een betere efficiëntie van de beveiligingsoperaties betekent.

3. Percentage onderzoek versus volume

Beveiligingsoperaties kunnen nu bepalen wat er door de kieren glipt. Door onderzoeken versus waarschuwingsvolume te meten, kunnen bedrijven de risicokloof in de huidige beveiligingsactiviteiten meten. Met geautomatiseerde incidentresponsprocessen zal het percentage onderzoeken per volume drastisch toenemen.

Als een organisatie bijvoorbeeld doorgaans drie onderzoeken uitvoert voor elke 100 waarschuwingen (3/100 of 3%) en vervolgens automatisering implementeert, waardoor een waarschuwingspercentage van 10% en nog eens twee onderzoeken (5/10 of 50 %), wat een enorme toename van 1.500 procent oplevert voor de effectiviteit van beveiligingsoperaties.

4. Verhouding van onderzoek tot respons

Het is in het belang van elke organisatie om ervoor te zorgen dat het beveiligingsteam zo min mogelijk tijd verspilt - en de verhouding tussen onderzoeks- en responsstatistieken kan helpen bepalen hoeveel items die zijn onderzocht ertoe leiden dat een responsworkflow wordt voltooid.

>Zie ook: Cyberbeveiligingsvoorspellingen voor 2018

Het automatiseren van incidentresponsprocessen zal leiden tot een convergentie van onderzoeken naar respons, aangezien meer onderzoeken in strijd zijn met gevalideerde conclusies, in plaats van alleen vermoedelijke aanvallen.

5. Beslissingssnelheid

Deze statistiek meet de tijd die nodig is om een ​​beslissing te nemen na het genereren van een waarschuwing. Het is niet ongebruikelijk dat 'analyseverlamming' en onzekerheid van beveiligingsoperaties de verblijftijd verlengen en de verspreiding van een aanval riskeren. Het kost ook tijd om andere aanvallen te onderzoeken en erop te reageren die tegelijkertijd kunnen plaatsvinden.

Door het beslissingspercentage te meten, zowel voor als na de implementatie van automatisering, kan het beveiligingsteam hun wendbaarheid aantonen en de responscapaciteit vergroten zonder schaarse personele middelen toe te voegen.

6. Herstelreactie vs reimage

Deze statistiek meet bedrijfsverstoring. Hoe meer chirurgische, externe reacties die mogelijk zijn door processen te automatiseren, hoe minder "grote hamer" -oplossingen voor het opnieuw in beeld brengen van het eindpunt van een eindgebruiker hoeven te gebeuren - wat betekent minder verstoring van de bedrijfsvoering en minder ongemak voor werknemers. Het is gemakkelijk in te zien hoe het een dag wegnemen van iemands laptop of het uitschakelen van een betalingsverwerkingsserver de beveiligingsactiviteiten ernstig kan verstoren, zelfs wanneer hot back-ups en geclusterde failovers deel uitmaken van de oplossing.

>Zie ook: Tde cyberbeveiligingsuitdaging voor IT in de detailhandel

Het automatiseren van incidentresponsprocessen vermijdt dergelijke verstoringen door het creëren van bruikbare regels die automatisch chirurgische sanering en diepgaande analyse kunnen starten.

Statistieken als enablers

Aangezien incidentresponsprocessen door automatisering voortdurend worden getransformeerd, zal het bijna onmogelijk zijn om te bewijzen hoe het de prestaties van incidentrespons transformeert zonder het inschakelen van deze nieuwe statistieken.

Simpel gezegd, elk van deze nieuwe statistieken kan aantonen hoe de automatisering van incidentresponsprocessen niet alleen uw beveiligingsinfrastructuur kan versterken, maar ook van invloed is op het resultaat.

Afkomstig van  Andrew Bushby, directeur VK bij Fidelis Cybersecurity