A múltbeli események elemzése miért segít a csapatoknak a szokásosnál nagyobb biztonsági mutatókban?

A Verica legfrissebb Open Incident Database (VOID) jelentése szerint a biztonsági incidensek súlyosságának mérésére elfogadott mérőszámok, például az átlagos javítási idő (MTTR) nem biztos, hogy olyan megbízhatóak, mint korábban gondolták, és nem adják meg a megfelelő információkat az IT-biztonsági csapatoknak. .

A jelentés 10,000 600 incidensen alapul, amelyek alig 100 vállalattól származnak, a Fortune XNUMX-tól kezdve az induló vállalkozásokig. Az összegyűjtött adatok mennyisége lehetővé teszi a statisztikai elemzés mélyebb szintjét a minták meghatározásához és a korábbi iparági feltételezések megdöntéséhez, amelyekből hiányoztak a statisztikai bizonyítékok, mondta Verica.

„A vállalatok a világ legkifinomultabb infrastruktúráját üzemeltetik, támogatva mindennapi életünk számos részét, anélkül, hogy a legtöbben erre gondolnánk – amíg valami nem működik” – mondja Nora Jones, a Jeli vezérigazgatója és társalapítója. „Vállalkozásaik nagymértékben támaszkodnak a telephely megbízhatóságára, de az incidensek nem szűnnek meg, ahogy a technológia egyre összetettebbé válik.”

„A legtöbb szervezet régóta fennálló feltételezéseken alapuló incidenskezelési döntéseket hoz” – mondja, megjegyezve, hogy a vállalatoknak adatvezérelt döntéseket kell hozniuk a szervezeti rugalmasság megközelítésével kapcsolatban.

Ossza meg az információkat az események megértése érdekében

Courtney Nash, a Verica vezető kutatási elemzője és a VOID megalkotója elmagyarázza, hogy ugyanúgy, ahogy a légitársaságok a 90-es évek végén és azután félretették a versenyre vonatkozó aggodalmakat az információk megosztása érdekében, a vállalatok hatalmas mennyiségű, árucikké vált tudással rendelkeznek. tanuljanak egymástól, és mozdítsák elő az iparágat, miközben mindenki számára biztonságosabbá tegyék azt, ami készül.

"A jelentések összegyűjtése azért fontos, mert a szoftverek már régóta a macskákról készült képek online tárolásáról a közlekedés, az infrastruktúra, az elektromos hálózatok, az egészségügyi szoftverek és eszközök, a szavazórendszerek, az autonóm járművek és számos kritikus (gyakran a biztonság szempontjából kritikus) társadalmi funkció működtetésére váltak." - mondja Nash.

David Severski, a Cyentia Intézet vezető biztonsági adatkutatója rámutat, hogy a vállalatok csak a saját incidenseiket láthatják, ami korlátozza a más szervezeteket érintő szélesebb körű trendek megtekintését és elkerülését.

„Az incidens adatbázisok és a [VOID]-hoz hasonló jelentések segítenek nekik elkerülni az alagútlátást, és remélhetőleg még azelőtt cselekedni fognak, mielőtt maguk is problémákat tapasztalnának” – mondja.

Az időtartam és a súlyosság „sekély” adatok

Az, hogy a szervezetek hogyan tapasztalják meg az incidenseket, eltérő, és mennyi időbe telik az incidensek megoldása, függetlenül a súlyosságtól. A jelentés figyelmeztet, hogy mely forgatókönyveket ismerik el „incidensként”, és milyen szinten, a szervezeten belüli kollégák között változik, és nem konzisztens az egyes szervezetek között.

Nash elmagyarázza az időtartamot és a súlyosságot „sekély” adatok — vonzóak, mert látszólag világosan, konkrétan érzékeltetik azokat a zűrzavaros, meglepő helyzeteket, amelyek nem alkalmasak egyszerű összefoglalásra. Az időtartam mérése azonban nem igazán hasznos.

„Az incidens időtartama kevés belsőleg meghozható információt ad az incidensről, és a súlyosság gyakran különböző módokon egyeztethető, még ugyanazon a csapaton belül is” – mondja Nash.

A súlyosság az ügyfelekre gyakorolt ​​hatás vagy más esetekben a javításhoz vagy sürgősséghez szükséges mérnöki erőfeszítések helyettesítőjeként használható. „Szubjektív módon van hozzárendelve, különböző okok miatt, például azért, hogy felhívják a figyelmet egy incidensre vagy segítséget kapjanak az esethez, hogy elindítsák – vagy elkerüljék – az incidens utáni felülvizsgálatot, vagy a vezetőség jóváhagyását kérjék a kívánt finanszírozáshoz, létszámhoz stb. – mondja Nash.

A jelentés szerint nincs összefüggés az incidensek időtartama és súlyossága között. A vállalatoknál előfordulhatnak hosszú vagy rövidebb incidensek, amelyek nagyon kisebbek, egzisztenciálisan kritikusak, és ezek között szinte minden kombináció.

„Nemcsak az időtartam vagy a súlyosság nem mondhatja meg a csapatnak, hogy mennyire megbízhatóak vagy hatékonyak, de semmi hasznosat sem árulnak el az esemény hatásáról vagy az incidens kezeléséhez szükséges erőfeszítésekről” – mondja Nash.

A múltbeli események elemzése

„Bár az MTTR nem hasznos mérőszámként, senki sem akarja, hogy az incidensek a kelleténél tovább folytatódjanak” – mondja. "Ahhoz, hogy jobban reagálhassanak, a vállalatoknak először meg kell vizsgálniuk, hogyan reagáltak a múltban egy mélyrehatóbb elemzéssel, amely megtanítja őket egy sor korábban előre nem látható, technikai és szervezeti tényezőre."

Jones hozzáteszi, hogy a szervezet kultúrája abban is szerepet fog játszani, hogy a csapatok hogyan jelölik meg az incidenseket, és milyen mértékben.

„Ez mind a szervezet embereire nyúlik vissza – az infrastruktúrát építő, az infrastruktúrát karbantartó, az incidensek megoldására, majd azok felülvizsgálatára szolgáló emberekre” – mondja. – Mindezt az emberek csinálják.

Az ő szemszögéből, függetlenül attól, hogy technológiánk mennyire automatizálódik, az emberek továbbra is a rendszer leginkább alkalmazkodó részei, és a folyamatos siker oka.

„Ezért kell felismerni ezeket a szociotechnikai rendszereket, mint amilyeneket, majd az incidenselemzést ugyanilyen megértéssel kell megközelíteni” – mondja Jones.

Severski szerint a biztonsági ágazat tele van véleményekkel arról, hogy mit kellene tenni a dolgok javítása érdekében, és megjegyzi, hogy a Cyentia továbbra is nagy adatkészleteket elemez az Information Risk Insights Study (IRIS) tanulmányában. kutatás.

„Sokkal hatékonyabb megközelítés, ha ajánlásainkat a tényleges kudarcokra és az ebből levont tanulságokra alapozzuk” – mondja. „Nagyon fontosnak tartjuk a valós események tanulmányozását.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• Platoblockchain. Web3 metaverzum intelligencia. Felerősített tudás. Hozzáférés itt.
• Forrás: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics