Warum die Analyse früherer Vorfälle Teams mehr hilft als gewöhnliche Sicherheitskennzahlen

Akzeptierte Metriken zur Messung des Schweregrads von Sicherheitsvorfällen, wie die mittlere Reparaturzeit (MTTR), sind möglicherweise nicht so zuverlässig wie bisher angenommen und liefern IT-Sicherheitsteams nicht die richtigen Informationen, so der neueste Open Incident Database (VOID)-Bericht von Verica .

Der Bericht basiert auf 10,000 Vorfällen von knapp 600 Unternehmen, von Fortune-100-Unternehmen bis hin zu Startups. Die Menge der gesammelten Daten ermöglicht eine tiefere statistische Analyse, um Muster zu bestimmen und frühere Branchenannahmen zu widerlegen, denen statistische Beweise fehlten, sagte Verica.

„Unternehmen betreiben eine der fortschrittlichsten Infrastrukturen der Welt und unterstützen viele Teile unseres täglichen Lebens, ohne dass die meisten von uns daran denken – bis etwas nicht funktioniert“, sagt Nora Jones, CEO und Mitbegründerin von Jeli. „Ihre Unternehmen verlassen sich stark auf die Zuverlässigkeit der Standorte, und dennoch verschwinden Vorfälle nicht, da die Technologie immer komplexer wird.“

„Die meisten Organisationen treffen Entscheidungen zum Vorfallmanagement auf der Grundlage langjähriger Annahmen“, sagt sie und stellt fest, dass Unternehmen datengesteuerte Entscheidungen darüber treffen müssen, wie sie die organisatorische Resilienz angehen.

Teilen Sie Informationen, um Vorfälle zu verstehen

Courtney Nash, Lead Research Analyst bei Verica und Schöpferin von VOID, erklärt, dass Unternehmen, ähnlich wie Fluggesellschaften in den späten 90er Jahren und darüber hinaus Wettbewerbsbedenken beiseite legten, um Informationen auszutauschen, über einen immensen Bestand an verwertbarem Wissen verfügen, das sie könnten nutzen, um voneinander zu lernen und die Branche voranzubringen, während das, was gebaut wird, für alle sicherer wird.

„Das Sammeln dieser Berichte ist wichtig, weil sich die Software längst vom Online-Hosting von Katzenbildern zum Betrieb von Transportmitteln, Infrastruktur, Stromnetzen, Gesundheitssoftware und -geräten, Wahlsystemen, autonomen Fahrzeugen und vielen kritischen (oft sicherheitskritischen) gesellschaftlichen Funktionen entwickelt hat.“ sagt Nash.

David Severski, Senior Security Data Scientist am Cyentia Institute, weist darauf hin, dass Unternehmen nur ihre eigenen Vorfälle sehen können, was die Fähigkeit einschränkt, allgemeinere Trends zu erkennen und zu vermeiden, die andere Organisationen betreffen.

„Vorfalldatenbanken und Berichte wie [VOID] helfen ihnen, dem Tunnelblick zu entkommen und hoffentlich zu handeln, bevor sie selbst Probleme bekommen“, sagt er.

Dauer und Schweregrad sind „oberflächliche“ Daten

Wie Unternehmen Vorfälle erleben, ist unterschiedlich, ebenso wie die Zeit, die es dauert, diese Vorfälle zu lösen, unabhängig vom Schweregrad. Welche Szenarien überhaupt als „Vorfall“ erkannt werden und auf welcher Ebene, schwankt zwischen den Kollegen innerhalb einer Organisation und ist nicht organisationsübergreifend einheitlich, warnt der Bericht.

Nash erklärt Dauer und Schweregrad „oberflächliche“ Daten – Sie sind ansprechend, weil sie offensichtlich einen klaren, konkreten Sinn für chaotische, überraschende Situationen vermitteln, die sich nicht für einfache Zusammenfassungen eignen. Die Messung der Dauer ist jedoch nicht wirklich sinnvoll.

„Die Dauer eines Vorfalls liefert nur wenige intern umsetzbare Informationen über den Vorfall, und der Schweregrad wird oft auf unterschiedliche Weise ausgehandelt, sogar im selben Team“, sagt Nash.

Der Schweregrad kann stellvertretend für die Auswirkung auf den Kunden oder in anderen Fällen für den zur Behebung oder Dringlichkeit erforderlichen technischen Aufwand verwendet werden. „Es wird aus verschiedenen Gründen subjektiv zugewiesen, einschließlich, um auf einen Vorfall aufmerksam zu machen oder Unterstützung für einen Vorfall zu erhalten, eine Überprüfung nach dem Vorfall auszulösen – oder die Auslösung zu vermeiden – oder um die Genehmigung des Managements für die gewünschte Finanzierung, den Personalbestand usw. “, sagt Nash.

Dem Bericht zufolge besteht kein Zusammenhang zwischen Dauer und Schwere der Vorfälle. Unternehmen können lange oder kurze Zwischenfälle haben, die sehr geringfügig, existenziell kritisch und fast jede Kombination dazwischen sind.

„Dauer oder Schweregrad können einem Team nicht nur nicht sagen, wie zuverlässig oder effektiv es ist, sondern auch nichts Nützliches über die Auswirkungen des Ereignisses oder den Aufwand, der zur Bewältigung des Vorfalls erforderlich ist“, sagt Nash.

Analysieren Sie vergangene Vorfälle

„Wobei MTTR nicht nützlich ist als Metrik, niemand möchte, dass ihre Vorfälle länger andauern, als sie müssen“, sagt sie. „Um besser reagieren zu können, müssen Unternehmen zunächst untersuchen, wie sie in der Vergangenheit reagiert haben, und zwar mit eingehenderen Analysen, die sie über eine Vielzahl zuvor unvorhergesehener Faktoren, sowohl technischer als auch organisatorischer Art, aufklären.“

Jones fügt hinzu, dass die Kultur einer Organisation auch eine Rolle dabei spielen wird, wie und in welchem ​​Umfang Teams Vorfälle markieren.

„Das geht alles auf die Menschen einer Organisation zurück – die Menschen, die die Infrastruktur aufbauen, die Infrastruktur warten, Vorfälle lösen und sie dann überprüfen“, sagt sie. „Das wird alles von Menschen gemacht.“

Aus ihrer Sicht sind Menschen, egal wie automatisiert unsere Technologie wird, immer noch der anpassungsfähigste Teil des Systems und der Grund für anhaltenden Erfolg.

„Deshalb müssen Sie diese soziotechnischen Systeme als solche erkennen und dann mit dem gleichen Verständnis an Ihre Vorfallanalyse herangehen“, sagt Jones.

Laut Severski gibt es in der Sicherheitsbranche viele Meinungen darüber, was getan werden sollte, um die Dinge zu verbessern, und stellt fest, dass Cyentia weiterhin große Datensätze in ihrer Information Risk Insights Study (IRIS) analysiert. Forschungsprojekte.

„Unsere Empfehlungen auf tatsächlichen Fehlern und den daraus gezogenen Lehren zu stützen, ist ein weitaus effektiverer Ansatz“, sagt er. „Wir legen großen Wert auf die Untersuchung realer Vorfälle.“

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• Platoblockkette. Web3-Metaverse-Intelligenz. Wissen verstärkt. Hier zugreifen.
• Quelle: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics