6 novas métricas para medir a resposta a incidentes usando automação

À medida que os processos de resposta a incidentes continuam a ser transformados pela automação, provar como ela transforma o desempenho da resposta a incidentes será quase impossível sem a habilitação dessas novas métricas
À medida que as equipes de segurança redefinem as infraestruturas de segurança de suas organizações para lidar com o cenário de ameaças em constante mudança, elas geralmente precisam demonstrar como essas mudanças afetarão positivamente os resultados dos negócios.

No entanto, em 2016, o SANS Institute descobriu que 71% das organizações não possuem métricas ou medições regulares para o desempenho de resposta a incidentes (IR). Embora essa porcentagem tenha diminuído nos últimos anos – 58% declararam não ter métricas em 2017 – muitas equipes de segurança só verão a necessidade de medir seu desempenho após um grande incidente cibernético.

>Veja também: Operações de segurança:a automação precisa significar automática?

Ao automatizar os processos de resposta a incidentes, pode ajudar as empresas a desenvolver uma abordagem totalmente nova para as métricas de segurança cibernética, reduzir custos, aumentar a eficiência e fornecer metas acionáveis ​​para os gerentes, não apenas fortalecendo suas operações de segurança, mas garantindo que sua abordagem de segurança esteja alinhada com o negócio. As seis novas métricas incluem:

1. Custo por incidente (CPI)

A métrica CPI pode ser medida como a duração de um incidente multiplicada pela taxa horária média para um analista de nível um. Muitas equipes de segurança executarão essa fórmula por meio do manual de RI para cada fase de um incidente, desde a detecção até a resposta e a remediação.

>Veja também: Automação de segurança:aumentando a produtividade de TI e a resiliência da rede

Usando a automação, isso não apenas elimina etapas ou fluxos de trabalho inteiros, mas também oferece aceleração, enorme economia de custos e melhora a eficiência, pois as equipes podem se concentrar na validação e conclusão de incidentes, em vez de perder tempo em uma caça ao ganso.

2. Detecção automática versus detecção manual

As equipes de segurança podem estabelecer uma linha de base para determinar a proporção de detecções que a pilha de segurança produz em relação ao número combinado de detecções humanas recebidas.

Para descobrir as detecções humanas, as equipes de segurança devem determinar o número de detecções da equipe, como um funcionário reconhecendo que sua máquina está com defeito ou um administrador de TI reconhecendo que um sistema está funcionando de maneira incomum. Adicione a isso o número de detecções externas – como o número de vezes que a equipe de segurança recebe uma chamada do governo/administradores de TI – e o número de detecções que a equipe de operações de segurança criou manualmente sintetizando dados de sua pilha de segurança ou SEIM, e isso dará organizações um senso de eficiência do sistema atual.

>Veja também: A mobilidade exige que a segurança ande de mãos dadas com a automação

Ao automatizar os processos de resposta a incidentes, as empresas podem esperar que a proporção se incline substancialmente para o lado da automação da equação, o que significa melhor eficiência das operações de segurança.

3. Porcentagem de investigação versus volume

As operações de segurança agora podem determinar o que está escapando das rachaduras. Ao medir as investigações versus o volume de alertas, as empresas podem medir a lacuna de risco nas operações de segurança atuais. Com processos automatizados de resposta a incidentes, a porcentagem de investigações por volume aumentará drasticamente.

Por exemplo, se uma organização normalmente realiza três investigações para cada 100 alertas (3/100 ou 3%) e, em seguida, implementa a automação, que obtém uma taxa de alerta até a conclusão de 10% e duas investigações adicionais (5/10 ou 50 %), que gera um aumento maciço de 1.500% na eficácia das operações de segurança.

4. Proporção de investigação para resposta

É do interesse de qualquer organização garantir que a equipe de operações de segurança esteja desperdiçando o mínimo de tempo possível – e a proporção de investigação para métrica de resposta pode ajudar a determinar quantos itens que foram investigados levam a um fluxo de trabalho de resposta sendo concluído.

>Veja também: Previsões de segurança cibernética para 2018

A automatização dos processos de resposta a incidentes levará a uma convergência de investigações para resposta, uma vez que mais investigações são contra conclusões validadas, e não apenas ataques suspeitos.

5. Taxa de decisão

Essa métrica mede o tempo que leva para tomar uma decisão após a geração de um alerta. Não é incomum que a “paralisia de análise” e a incerteza das operações de segurança aumentem os tempos de permanência e arrisquem a propagação de um ataque. Também leva tempo para investigar e responder a outros ataques que podem estar acontecendo ao mesmo tempo.

Ao medir a taxa de decisão antes e depois da implementação da automação, a equipe de operações de segurança pode demonstrar sua agilidade e aumentar a capacidade de resposta sem adicionar recursos humanos escassos.

6. Resposta de correção x reimagem

Essa métrica mede a interrupção dos negócios. Quanto mais respostas cirúrgicas e remotas forem habilitadas pela automação de processos, menos correções de “grande martelo” para reimaginar o endpoint de um usuário final terão que acontecer – o que significa menos interrupções nos negócios e inconveniência para os funcionários. É fácil ver como tirar o laptop de alguém por um dia, ou derrubar um servidor de processamento de pagamentos, pode prejudicar gravemente as operações de segurança – mesmo quando backups a quente e failovers em cluster fazem parte da solução.

>Veja também: Odesafio de segurança cibernética para TI de filiais de varejo

A automatização dos processos de resposta a incidentes evita essas interrupções por meio da criação de regras acionáveis ​​que podem iniciar automaticamente a correção cirúrgica e a análise profunda.

Métricas como facilitadoras

À medida que os processos de resposta a incidentes continuam a ser transformados pela automação, provar como ela transforma o desempenho da resposta a incidentes será quase impossível sem a habilitação dessas novas métricas.

Simplificando, cada uma dessas novas métricas pode demonstrar como a automação dos processos de resposta a incidentes pode não apenas fortalecer sua infraestrutura de segurança, mas também impactar os resultados.



Fornecido por  Andrew Bushby, diretor do Reino Unido da Fidelis Cybersecurity