7 métriques pour mesurer l'efficacité de vos opérations de sécurité

Compte tenu du climat financier actuel, les budgets de cybersécurité peuvent être en cours de révision, ainsi que toutes les autres dépenses, et, dans certains cas, sur le billot. L'un des meilleurs moyens pour les responsables de la sécurité de protéger leur programme d'opérations de sécurité est de s'assurer alignement avec les priorités de l'entreprise de leurs équipes de direction et de leurs conseils d'administration. Une partie importante de cela consiste à fournir des mesures qui démontrent l'efficacité du programme. Développer des métriques pour vos opérations de sécurité permettra à vos parties prenantes de suivre l'état actuel du programme ainsi que la manière dont le programme soutient les objectifs commerciaux.

Le centre des opérations de sécurité est une fonction essentielle pour l'entreprise, mais mesurer l'efficacité du SOC n'est pas facile. Les organisations peuvent choisir parmi une grande variété d'approches différentes. La rapidité de réponse dans les opérations de sécurité est un aspect important et peut faire toute la différence entre un compromis rapidement maîtrisé et une violation de données catastrophique. 

Par conséquent, en commençant par des mesures de base telles que temps moyen de détection (MTTD) et le temps moyen de réponse (MTTR) vous permettront, à vous et à vos parties prenantes, de mieux comprendre les opérations et de prendre de meilleures décisions d'investissement, ainsi que de démontrer leur valeur à la direction et au conseil d'administration.

Améliorez votre efficacité

L'objectif principal d'un programme d'opérations de sécurité résilientes devrait être d'abaisser une organisation»s MTTD et MTTR pour limiter les dommages causés par un cyberincident à votre organisation. 

MTTD mesure le temps qu'il faut pour découvrir une menace de sécurité potentielle. Cette mesure vous aide à comprendre l'efficacité de votre organisation»s les opérations de sécurité et votre équipe»sa rapidité et sa capacité à reconnaître une menace. Par conséquent, l'objectif est de maintenir cette métrique aussi basse que possible afin de réduire l'impact d'un compromis sur votre organisation.

Pendant ce temps, MTTR vous aide à mesurer le temps qu'il faut pour répondre à une menace une fois qu'elle est détectée. Un temps de réponse plus élevé indique qu'un compromis pourrait entraîner une violation de données préjudiciable. L'objectif est d'accélérer votre réponse et de réduire votre risque, tout comme MTTD. 

Le MTTD et le MTTR sont des mesures clés pour mesurer et améliorer votre équipe»s car il est crucial de suivre l'efficacité de votre équipe en tant que votre organisation»sa maturité grandit. Comme toute opération commerciale fondamentale, pour faire mûrir votre organisation, vous devez mesurer l'efficacité opérationnelle afin de déterminer si votre organisation atteint ses KPI et SLA.

Outre le MTTD et le MTTR, il existe d'autres mesures que vous devez surveiller pour vous assurer que vous mesurez et communiquez efficacement l'efficacité opérationnelle.

Assurer le succès des opérations de sécurité

Voici les sept mesures que vous devez mesurer pour vous aider à voir où votre programme d'opérations de sécurité peut avoir besoin d'améliorations.

Délai d'alarme avant triage (TTT) : Mesure l'équipe»s capacité à inspecter en urgence une alarme. Il vous aide à comprendre le niveau de réactivité aux menaces en temps réel. Cela pourrait indiquer que votre équipe pourrait avoir besoin de personnel supplémentaire pour affiner son champ de surveillance ou que vous disposez de suffisamment de personnel pour assumer une charge de surveillance plus importante. 

Temps d'alarme pour se qualifier (TTQ): Mesure et indique combien de temps il faut à une alarme pour être entièrement examinée et qualifiée. TTQ vous aide à repérer les blocages et à comprendre votre équipe»s portée lorsqu'il s'agit de qualifier les menaces. 

Délai d'investigation de la menace (TTI) : Mesure et indique le nombre d'heures nécessaires pour enquêter de manière approfondie sur une menace qualifiée. Il vous permet d'identifier les goulots d'étranglement et de comprendre votre équipe»s lors de l'investigation efficace des menaces.

Temps d'atténuation (TTM) : Mesure le temps nécessaire pour atténuer un incident et traiter le risque commercial immédiat. TTM vous aide à comprendre à quelle vitesse votre équipe peut atténuer le problème pour arrêter ou entraver une menace active. 

Temps de récupération (TTV): Mesure le temps nécessaire pour se remettre complètement d'un incident. La mesure de la TTV vous aide à déterminer la rapidité avec laquelle votre équipe de sécurité et les autres personnes impliquées peuvent rétablir complètement les opérations à la normale. Des goulots d'étranglement dans les opérations et la collaboration peuvent également être trouvés. 

Temps d'incident à détecter (TTD) : Mesure le temps nécessaire pour confirmer qu'un incident a été initialement détecté et finalement qualifié. Le TTD est un indicateur crucial de l'efficacité des opérations de sécurité car il démontre le temps nécessaire pour identifier les menaces qui ont réellement entraîné des incidents.

Délai de réponse à l'incident (TTR) : Mesure le temps qu'il faut pour enquêter pleinement et atténuer un incident confirmé. Le TTR est une mesure essentielle de l'efficacité des opérations de sécurité étant donné qu'il présente le temps nécessaire pour analyser et atténuer les menaces qui ont entraîné un incident.

Les métriques sont conçues pour fournir des informations sur l'efficacité, les performances et la responsabilité de votre programme de sécurité grâce à la collecte, l'analyse et la création de rapports de données. Ils vous donnent également la possibilité de mettre en évidence les goulots d'étranglement dans le processus et d'identifier les endroits où les outils ou les processus doivent être retravaillés. Tous les processus métier doivent être mesurés afin de s'améliorer, et les opérations de sécurité ne sont pas différentes à cet égard. Démontrer l'efficacité par le biais de mesures est un élément nécessaire pour montrer la valeur à l'ensemble de l'entreprise.