Seis Métricas Inovadoras para Medir a Eficácia da Resposta Automatizada a Incidentes

À medida que os processos de resposta a incidentes continuam sendo transformados pela automação, provar como ela transforma o desempenho da resposta a incidentes será praticamente impossível sem a habilitação dessas novas métricas.

À medida que as equipes de segurança redefinem a infraestrutura de segurança de suas organizações para lidar com a paisagem de ameaças em mudança, muitas vezes precisam demonstrar como essas mudanças impactarão positivamente os resultados do negócio.

No entanto, em 2016, o Instituto SANS descobriu que 71% das organizações não têm métricas ou medições regulares para desempenho de resposta a incidentes (IR). Embora essa porcentagem tenha diminuído nos últimos anos — 58% declararam não ter métricas em 2017 — muitas equipes de segurança só veem a necessidade de medir seu desempenho após um grande incidente cibernético.

Leia também: Operações de segurança: automação tem que significar automático?

Ao automatizar processos de resposta a incidentes, as empresas podem desenvolver uma abordagem totalmente nova para métricas de cibersegurança, reduzir custos, aumentar eficiências e fornecer metas acionáveis para gestores, não apenas fortalecendo suas operações de segurança, mas garantindo que sua abordagem de segurança esteja alinhada com o negócio. As seis novas métricas incluem:

1. Custo por incidente (CPI)

A métrica CPI pode ser medida como a duração de um incidente multiplicada pela taxa horária média para um analista de nível um. Muitas equipes de segurança executam essa fórmula no playbook de IR para cada fase de um incidente, da detecção à resposta e remediação.

Leia também: Automação de segurança: aumentando produtividade de TI e resiliência de rede

Usando automação, que não apenas elimina etapas ou fluxos de trabalho inteiros, mas entrega aceleração, enorme economia de custos e melhora a eficiência, pois as equipes podem focar em validar e concluir incidentes, em vez de perder tempo em buscas infrutíferas.

2. Detecção automática versus detecção manual

As equipes de segurança podem estabelecer uma linha de base para determinar a proporção de detecções que a pilha de segurança produz versus o número combinado de detecções humanas recebidas.

Para calcular as detecções humanas, as equipes de segurança devem determinar o número de detecções de funcionários, como um funcionário reconhecendo que sua máquina está com mau funcionamento ou um administrador de TI reconhecendo que um sistema está se comportando de forma incomum. Adicione a isso o número de detecções externas — como o número de vezes que a equipe de segurança recebe uma ligação de governo/administradores de TI — e o número de detecções que a equipe de operações de segurança criou manualmente sintetizando dados de sua pilha de segurança ou SIEM, e isso dará às organizações uma noção da eficiência do sistema atual.

Leia também: Mobilidade exige que segurança caminhe de mãos dadas com automação

Ao automatizar processos de resposta a incidentes, as empresas podem esperar que a proporção se incline substancialmente para o lado da automação, o que significa melhor eficiência nas operações de segurança.

3. Percentual de investigação versus volume

As operações de segurança agora podem determinar o que está escapando pelas frestas. Medindo investigações versus volume de alertas, as empresas podem medir a lacuna de risco nas operações de segurança atuais. Com processos automatizados de resposta a incidentes, o percentual de investigações por volume aumentará dramaticamente.

Por exemplo, se uma organização normalmente realiza três investigações para cada 100 alertas (3/100 ou 3%) e então implementa automação, que vê uma taxa de alerta-para-conclusão de 10% e duas investigações adicionais (5/10 ou 50%), isso resulta em um aumento massivo de 1.500% na eficácia das operações de segurança.

4. Razão de investigação para resposta

É do interesse de qualquer organização garantir que a equipe de operações de segurança esteja desperdiçando o mínimo de tempo possível — e a métrica de razão de investigação para resposta pode ajudar a determinar quantos itens investigados levam a um fluxo de trabalho de resposta até a conclusão.

Leia também: Previsões de cibersegurança para 2018

Automatizar processos de resposta a incidentes levará a uma convergência de investigações para resposta, pois mais investigações são contra conclusões validadas, em vez de meros ataques suspeitos.

5. Taxa de decisão

Esta métrica mede o tempo que leva para tomar uma decisão após a geração de um alerta. Não é incomum que "paralisia de análise" e incerteza nas operações de segurança aumentem o tempo de permanência e arrisquem a propagação de um ataque. Também tira tempo da investigação e resposta a outros ataques que podem estar ocorrendo simultaneamente.

Medindo a taxa de decisão antes e depois da implementação da automação, a equipe de operações de segurança pode demonstrar sua agilidade e aumentar a capacidade de resposta sem adicionar recursos humanos escassos.

6. Resposta de remediação versus reimage

Esta métrica mede a disrupção do negócio. Quanto mais respostas remotas e cirúrgicas forem habilitadas pela automação de processos, menos "soluções de marreta" de reimagem do endpoint de um usuário final precisarão acontecer — significando menos disrupção e inconveniência para os funcionários. É fácil ver como tirar o laptop de alguém por um dia, ou derrubar um servidor de processamento de pagamentos, pode prejudicar severamente as operações de segurança — mesmo quando backups quentes e failovers em cluster fazem parte da solução.

Leia também: O desafio de cibersegurança para TI de varejo em filiais

Automatizar processos de resposta a incidentes evita tais disrupções através da criação de regras acionáveis que podem iniciar automaticamente remediação cirúrgica e análise profunda.

Métricas como habilitadoras

À medida que os processos de resposta a incidentes continuam sendo transformados pela automação, provar como ela transforma o desempenho da resposta a incidentes será praticamente impossível sem a habilitação dessas novas métricas.

Simplificando, cada uma dessas novas métricas pode demonstrar como a automação de processos de resposta a incidentes não apenas fortalece sua infraestrutura de segurança, mas também impacta os resultados financeiros.

Fornecido por Andrew Bushby, diretor no Reino Unido da Fidelis Cybersecurity