Mengapa Waktu Berarti untuk Memperbaiki Tidak Selalu Merupakan Metrik Keamanan yang Berguna

Tim keamanan secara tradisional digunakan waktu berarti untuk memperbaiki (MTTR) sebagai cara untuk mengukur seberapa efektif mereka menangani insiden keamanan. Namun, variasi dalam keparahan insiden, ketangkasan tim, dan kompleksitas sistem dapat membuat metrik keamanan tersebut kurang bermanfaat, kata Courtney Nash, analis riset utama di Verica dan penulis utama Buka laporan Incident Database (VOID).

MTTR berasal dari organisasi manufaktur dan merupakan ukuran waktu rata-rata yang diperlukan untuk memperbaiki komponen atau perangkat fisik yang gagal. Perangkat ini memiliki operasi yang lebih sederhana dan dapat diprediksi dengan keausan yang memungkinkan perkiraan MTTR yang standar dan konsisten. Seiring waktu penggunaan MTTR telah meluas ke sistem perangkat lunak, dan perusahaan perangkat lunak mulai menggunakannya sebagai indikator keandalan sistem dan ketangkasan atau efektivitas tim.

Sayangnya, kata Nash, variabilitasnya berarti bahwa MTTR dapat menyebabkan kepercayaan palsu atau menimbulkan kekhawatiran yang tidak perlu.

“Ini bukan metrik yang sesuai untuk sistem perangkat lunak yang rumit, sebagian karena distribusi data durasi yang tidak seimbang dan karena kegagalan dalam sistem seperti itu tidak terjadi secara seragam sepanjang waktu,” kata Nash. “Setiap kegagalan pada dasarnya berbeda, tidak seperti masalah pada perangkat manufaktur fisik.”

Menjauh Dari MTTR

“[MTTR] memberi tahu kita sedikit tentang seperti apa insiden sebenarnya bagi organisasi, yang dapat sangat bervariasi dalam hal jumlah orang dan tim yang terlibat, tingkat stres, apa yang diperlukan secara teknis dan organisasi untuk memperbaikinya, dan apa hasilnya tim belajar, ”kata Nash.

MTTR menjadi korban penyederhanaan insiden karena menghitung rata-rata — waktu rata-rata, kata Nora Jones, CEO dan salah satu pendiri Jeli. Hanya dengan mengukur rata-rata tunggal dari waktu yang dilaporkan ini (dan waktu yang dilaporkan tersebut juga telah terbukti tidak dapat diandalkan sejak awal) akan menghambat organisasi untuk melihat dan menangani apa yang terjadi dalam infrastruktur, apa yang berkontribusi terhadap insiden berulang tersebut, dan bagaimana orang-orangnya. menanggapi insiden.

“Insiden datang dalam berbagai bentuk dan ukuran — Anda akan melihat bahwa insiden tersebut mencakup tingkat keparahan yang lengkap, berdampak pada pelanggan, dan kompleksitas resolusi semua dalam satu organisasi,” jelas Jones. “Anda benar-benar harus melihat orang dan alat secara bersamaan dan mengambil pendekatan kualitatif untuk analisis insiden.”

Namun, Nash mengatakan pindah dari MTTR bukanlah perubahan dalam semalam - tidak sesederhana hanya menukar satu metrik dengan yang lain.

“Pada akhirnya, jujurlah tentang faktor-faktor yang berkontribusi, dan peran yang dimainkan orang dalam menghasilkan solusi,” katanya. “Kedengarannya sederhana, tapi butuh waktu, dan ini adalah aktivitas konkret yang akan membangun metrik yang lebih baik.”

Memperluas Penggunaan Metrik

kata Nash menganalisa dan belajar dari kejadian adalah jalur ideal untuk menemukan data dan metrik yang lebih mendalam. Sebuah tim dapat mengumpulkan hal-hal seperti jumlah orang yang terlibat langsung dalam suatu insiden; berapa banyak tim unik yang terlibat; alat apa yang digunakan orang; berapa banyak saluran obrolan yang ada; dan jika ada insiden bersamaan.

Sebagai sebuah organisasi menjadi lebih baik dalam melakukan tinjauan insiden dan belajar dari mereka, itu akan mulai melihat daya tarik dalam hal-hal seperti jumlah orang yang menghadiri pertemuan tinjauan pasca-insiden, peningkatan membaca dan berbagi laporan pasca-insiden, dan menggunakan laporan tersebut dalam hal-hal seperti tinjauan kode, pelatihan, dan onboarding.

David Severski, ilmuwan data keamanan senior di Cyentia Institute, mengatakan saat mengerjakan DBIR Verizon, Cyentia membuat dan merilis Vocabulary for Event Reporting and Incident Sharing untuk memperluas jenis metrik yang digunakan untuk mengukur insiden.

“Ini mendefinisikan poin data yang menurut kami penting untuk dikumpulkan pada insiden keamanan,” katanya. “Kami masih menggunakan template dasar ini dalam penelitian Cientia dengan beberapa pembaruan, misalnya mengidentifikasi penggunaan TTP ATT&CK.”

Metrik untuk mengukur insiden bukanlah satu ukuran yang cocok untuk semua ukuran dan jenis organisasi. “Tim memahami di mana mereka saat ini, menilai di mana prioritas mereka berada dalam batasan mereka saat ini, dan memahami metrik fokus mereka bahkan mungkin berkembang dari waktu ke waktu saat organisasi mereka berkembang dan berkembang,” kata Jones.

Selain itu, ini tentang mengalihkan fokus ke pembelajaran, lalu terus meningkatkan berdasarkan pembelajaran tersebut, misalnya beralih ke menilai tren dan jika segala sesuatunya menjadi tren ke arah yang benar dari waktu ke waktu, sebagai lawan dari metrik satu titik waktu.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Sumber: https://www.darkreading.com/edge-articles/why-mean-time-to-repair-no-longer-serves-as-a-useful-security-metric