Pourquoi l'analyse des incidents passés aide les équipes plus que les mesures de sécurité habituelles

Les métriques acceptées pour mesurer la gravité des incidents de sécurité, comme le temps moyen de réparation (MTTR), peuvent ne pas être aussi fiables qu'on le pensait auparavant et ne fournissent pas aux équipes de sécurité informatique les informations correctes, selon le dernier rapport de Verica Open Incident Database (VOID) .

Le rapport est basé sur 10,000 600 incidents d'un peu moins de 100 entreprises allant des sociétés Fortune XNUMX aux startups. La quantité de données recueillies permet un niveau d'analyse statistique plus approfondi pour déterminer les modèles et démystifier les hypothèses antérieures de l'industrie qui manquaient de preuves statistiques, a déclaré Verica.

"Les entreprises exploitent certaines des infrastructures les plus sophistiquées au monde, prenant en charge de nombreux aspects de notre vie quotidienne, sans que la plupart d'entre nous y réfléchissent - jusqu'à ce que quelque chose ne fonctionne pas", déclare Nora Jones, PDG et co-fondatrice de Jeli. "Leurs entreprises dépendent fortement de la fiabilité du site, et pourtant les incidents ne disparaissent pas à mesure que la technologie devient de plus en plus complexe."

« La plupart des organisations prennent des décisions de gestion des incidents sur la base d'hypothèses de longue date », dit-elle, notant que les entreprises doivent prendre des décisions basées sur des données sur la façon dont elles abordent la résilience organisationnelle.

Partager des informations pour comprendre les incidents

Courtney Nash, analyste de recherche principal chez Verica et créateur de VOID, explique que, de la même manière que les compagnies aériennes ont mis de côté les préoccupations concurrentielles à la fin des années 90 et au-delà afin de partager des informations, les entreprises disposent d'un immense corpus de connaissances banalisées qu'elles pourraient utiliser pour apprendre les uns des autres et faire avancer l'industrie, tout en rendant ce qui est construit plus sûr pour tout le monde.

"La collecte de ces rapports est importante car les logiciels sont depuis longtemps passés de l'hébergement de photos de chats en ligne à la gestion des transports, des infrastructures, des réseaux électriques, des logiciels et appareils de santé, des systèmes de vote, des véhicules autonomes et de nombreuses fonctions sociétales critiques (souvent critiques pour la sécurité)", dit Nash.

David Severski, scientifique principal des données de sécurité à l'Institut Cyentia, souligne que les entreprises ne peuvent voir que leurs propres incidents, ce qui limite la capacité de voir et d'éviter les tendances plus larges affectant d'autres organisations.

"Les bases de données et les rapports d'incidents comme [VOID] les aident à échapper à la vision en tunnel et, espérons-le, à agir avant qu'ils ne rencontrent eux-mêmes des problèmes", dit-il.

La durée et la gravité sont des données "peu profondes"

La façon dont les organisations vivent les incidents varie, tout comme le temps nécessaire pour résoudre ces incidents, quelle que soit leur gravité. Quels scénarios sont même reconnus comme un «incident» et à quel niveau varient entre les collègues au sein d'une organisation et ne sont pas cohérents d'une organisation à l'autre, met en garde le rapport.

Nash explique que la durée et la gravité sont données "superficielles" - ils sont attrayants parce qu'ils semblent donner un sens clair et concret à des situations désordonnées et surprenantes qui ne se prêtent pas à de simples résumés. Cependant, mesurer la durée n'est pas vraiment utile.

« La durée d'un incident donne peu d'informations exploitables en interne sur l'incident, et la gravité est souvent négociée de différentes manières, même au sein de la même équipe », explique Nash.

La gravité peut être utilisée comme indicateur de l'impact sur le client ou, dans d'autres cas, de l'effort d'ingénierie requis pour résoudre le problème ou de l'urgence. "Il est attribué subjectivement, pour diverses raisons, notamment pour attirer l'attention ou obtenir de l'aide pour un incident, pour déclencher - ou éviter de déclencher - un examen post-incident, ou pour obtenir l'approbation de la direction pour le financement souhaité, les effectifs, etc., " dit Nash.

Il n'y a pas de corrélation entre la durée et la gravité des incidents, selon le rapport. Les entreprises peuvent avoir des incidents longs ou courts qui sont très mineurs, critiques sur le plan existentiel et presque toutes les combinaisons entre les deux.

"Non seulement la durée ou la gravité ne peuvent pas dire à une équipe à quel point elle est fiable ou efficace, mais elles ne transmettent rien d'utile sur l'impact de l'événement ou l'effort requis pour faire face à l'incident", déclare Nash.

Analyser les incidents passés

"Bien que le MTTR ne soit pas utile comme métrique, personne ne veut que ses incidents durent plus longtemps qu'il ne le faut », dit-elle. "Pour mieux réagir, les entreprises doivent d'abord étudier comment elles ont réagi dans le passé avec une analyse plus approfondie, qui leur apprendra une foule de facteurs auparavant imprévus, à la fois techniques et organisationnels."

Jones ajoute que la culture d'une organisation jouera également un rôle dans la manière dont les équipes marquent les incidents et dans quelle mesure.

"Tout cela revient aux personnes d'une organisation - les personnes qui construisent l'infrastructure, entretiennent l'infrastructure, résolvent les incidents, puis les examinent", dit-elle. "Tout est fait par des gens."

De son point de vue, quelle que soit l'automatisation de notre technologie, les gens sont toujours la partie la plus adaptable du système et la raison du succès continu.

"C'est pourquoi vous devez reconnaître ces systèmes socio-techniques comme tels, puis aborder votre analyse d'incident avec la même compréhension", déclare Jones.

Severski dit que l'industrie de la sécurité est pleine d'opinions sur ce qui devrait être fait pour améliorer les choses, notant que Cyentia continue d'analyser de grands ensembles de données dans son étude Information Risk Insights (IRIS) un article.

«Baser nos recommandations sur les échecs réels et les leçons tirées de cela est une approche beaucoup plus efficace», dit-il. "Nous accordons une grande importance à l'étude des incidents du monde réel."

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• Platoblockchain. Intelligence métaverse Web3. Connaissance Amplifiée. Accéder ici.
• La source: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics