Por qué el análisis de incidentes pasados ​​ayuda a los equipos más que las métricas de seguridad habituales

Las métricas aceptadas para medir la gravedad de los incidentes de seguridad, como el tiempo medio de reparación (MTTR), pueden no ser tan fiables como se pensaba anteriormente y no proporcionan a los equipos de seguridad de TI la información correcta, según el último informe de la base de datos abierta de incidentes (VOID) de Verica. .

El informe se basa en 10,000 600 incidentes de poco menos de 100 empresas que van desde Fortune XNUMX hasta nuevas empresas. La cantidad de datos recopilados permite un nivel más profundo de análisis estadístico para determinar patrones y desacreditar suposiciones anteriores de la industria que carecían de evidencia estadística, dijo Verica.

“Las empresas ejecutan algunas de las infraestructuras más sofisticadas del mundo, lo que respalda muchas partes de nuestra vida diaria, sin que la mayoría de nosotros siquiera lo piense, hasta que algo no funciona”, dice Nora Jones, directora ejecutiva y cofundadora de Jeli. “Sus negocios dependen en gran medida de la confiabilidad del sitio y, sin embargo, los incidentes no desaparecen a medida que la tecnología se vuelve cada vez más compleja”.

“La mayoría de las organizaciones están tomando decisiones de gestión de incidentes basadas en suposiciones de larga data”, dice, y señala que las empresas deben tomar decisiones basadas en datos sobre cómo abordan la resiliencia organizacional.

Comparta información para comprender los incidentes

Courtney Nash, analista principal de investigación en Verica y creadora de VOID, explica que, de la misma manera en que las compañías aéreas dejaron de lado las preocupaciones competitivas a finales de los 90 y más allá para compartir información, las empresas tienen un inmenso cuerpo de conocimiento mercantilizado que podrían utilizar para aprender unos de otros e impulsar la industria, al tiempo que hace que lo que se construye sea más seguro para todos.

"Recopilar estos informes es importante porque el software ha pasado hace mucho tiempo de alojar imágenes de gatos en línea a ejecutar transporte, infraestructura, redes eléctricas, software y dispositivos de atención médica, sistemas de votación, vehículos autónomos y muchas funciones sociales críticas (a menudo críticas para la seguridad)". dice Nash.

David Severski, científico sénior de datos de seguridad del Instituto Cyentia, señala que las empresas solo pueden ver sus propios incidentes, lo que limita la capacidad de ver y evitar tendencias más amplias que afectan a otras organizaciones.

“Las bases de datos de incidentes y los informes como [VOID] los ayudan a escapar de la visión de túnel y, con suerte, a actuar antes de que ellos mismos experimenten problemas”, dice.

La duración y la gravedad son datos 'superficiales'

La forma en que las organizaciones experimentan los incidentes varía, al igual que el tiempo que lleva resolver esos incidentes, independientemente de su gravedad. Qué escenarios incluso se reconocen como un "incidente" y en qué nivel varía entre colegas dentro de una organización y no es consistente entre organizaciones, advirtió el informe.

Nash explica que la duración y la gravedad son datos "superficiales" — son atractivos porque parecen dar un sentido claro y concreto a lo que son situaciones confusas y sorprendentes que no se prestan a resúmenes simples. Sin embargo, medir la duración no es realmente útil.

“La duración de un incidente arroja poca información procesable internamente sobre el incidente, y la gravedad a menudo se negocia de diferentes maneras, incluso en el mismo equipo”, dice Nash.

La severidad se puede usar como indicador del impacto en el cliente o, en otros casos, el esfuerzo de ingeniería requerido para corregir o la urgencia. “Se asigna subjetivamente, por diversas razones, incluso para llamar la atención u obtener asistencia para un incidente, para desencadenar, o evitar desencadenar, una revisión posterior al incidente, o para obtener la aprobación de la gerencia para la financiación deseada, el número de empleados, etc. —dice Nash—.

No hay correlación entre la duración y la gravedad de los incidentes, según el informe. Las empresas pueden tener incidentes largos o cortos que son muy menores, existencialmente críticos y casi todas las combinaciones intermedias.

“La duración o la gravedad no solo no le dicen a un equipo qué tan confiables o efectivos son, sino que tampoco transmiten nada útil sobre el impacto del evento o el esfuerzo requerido para lidiar con el incidente”, dice Nash.

Analizar incidentes pasados

“Si bien MTTR no es útil como una métrica, nadie quiere que sus incidentes duren más de lo debido”, dice ella. “Para responder mejor, las empresas primero deben estudiar cómo han respondido en el pasado con un análisis más profundo, que les enseñará sobre una serie de factores previamente imprevistos, tanto técnicos como organizacionales”.

Jones agrega que la cultura de una organización también desempeñará un papel en la forma en que los equipos etiquetan los incidentes y en qué medida.

“Todo esto se remonta a las personas de una organización: las personas que construyen la infraestructura, mantienen la infraestructura, resuelven incidentes y luego los revisan”, dice ella. “Todo esto lo hace la gente”.

Desde su perspectiva, no importa cuán automatizada se vuelva nuestra tecnología, las personas siguen siendo la parte más adaptable del sistema y la razón del éxito continuo.

“Es por eso que debe reconocer estos sistemas sociotécnicos como eso y luego abordar su análisis de incidentes con la misma comprensión”, dice Jones.

Severski dice que la industria de la seguridad está llena de opiniones sobre lo que se debe hacer para mejorar las cosas, y señala que Cyentia continúa analizando grandes conjuntos de datos en su Estudio de información sobre riesgos de la información (IRIS) la investigación.

“Basar nuestras recomendaciones en fallas reales y lecciones aprendidas de esto es un enfoque mucho más efectivo”, dice. “Le damos un gran valor al estudio de incidentes del mundo real”.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics