Perché l'analisi degli incidenti passati aiuta i team più delle solite metriche di sicurezza

Le metriche accettate per misurare la gravità degli incidenti di sicurezza, come il tempo medio di riparazione (MTTR), potrebbero non essere così affidabili come si pensava in precedenza e non forniscono ai team di sicurezza IT le informazioni corrette, secondo l'ultimo rapporto Open Incident Database (VOID) di Verica .

Il rapporto si basa su 10,000 incidenti di poco meno di 600 aziende che vanno dalle Fortune 100 alle startup. La quantità di dati raccolti consente un livello più profondo di analisi statistica per determinare i modelli e sfatare le precedenti ipotesi del settore che mancavano di prove statistiche, ha affermato Verica.

"Le aziende gestiscono alcune delle infrastrutture più sofisticate al mondo, supportando molte parti della nostra vita quotidiana, senza che la maggior parte di noi ci pensi nemmeno, finché qualcosa non funziona", afferma Nora Jones, CEO e co-fondatrice di Jeli. "Le loro attività fanno molto affidamento sull'affidabilità del sito, eppure gli incidenti non scompaiono man mano che la tecnologia diventa sempre più complessa".

"La maggior parte delle organizzazioni prende decisioni di gestione degli incidenti basate su presupposti di vecchia data", afferma, osservando che le aziende devono prendere decisioni basate sui dati su come affrontare la resilienza organizzativa.

Condividere informazioni per comprendere gli incidenti

Courtney Nash, capo analista di ricerca presso Verica e creatore di VOID, spiega che, più o meno allo stesso modo in cui le compagnie aeree hanno messo da parte le preoccupazioni sulla concorrenza alla fine degli anni '90 e oltre per condividere informazioni, le imprese hanno un immenso corpo di conoscenza mercificata che potrebbero utilizzare per imparare gli uni dagli altri e far progredire il settore, rendendo ciò che viene costruito più sicuro per tutti.

"La raccolta di questi rapporti è importante perché il software è passato da tempo dall'hosting di immagini di gatti online alla gestione di trasporti, infrastrutture, reti elettriche, software e dispositivi sanitari, sistemi di voto, veicoli autonomi e molte funzioni sociali critiche (spesso critiche per la sicurezza)". Nash dice.

David Severski, senior security data scientist presso il Cyentia Institute, sottolinea che le aziende possono vedere solo i propri incidenti, il che limita la capacità di vedere ed evitare tendenze più ampie che interessano altre organizzazioni.

"I database e i rapporti sugli incidenti come [VOID] li aiutano a sfuggire alla visione a tunnel e, si spera, ad agire prima che incontrino problemi da soli", afferma.

Durata e gravità sono dati "superficiali".

Il modo in cui le organizzazioni sperimentano gli incidenti varia, così come il tempo necessario per risolverli, indipendentemente dalla gravità. Quali scenari vengono persino riconosciuti come un "incidente" e a quale livello varia tra i colleghi all'interno di un'organizzazione e non è coerente tra le organizzazioni, avverte il rapporto.

Nash spiega che la durata e la gravità lo sono dati “superficiali”. — sono attraenti perché sembrano dare un senso chiaro e concreto a quelle che sono situazioni disordinate e sorprendenti che non si prestano a semplici riassunti. Tuttavia, misurare la durata non è molto utile.

"La durata di un incidente fornisce poche informazioni utilizzabili internamente sull'incidente e la gravità viene spesso negoziata in modi diversi, anche all'interno dello stesso team", afferma Nash.

La gravità può essere utilizzata come proxy per l'impatto del cliente o, in altri casi, lo sforzo ingegneristico necessario per correggere o l'urgenza. "Viene assegnato soggettivamente, per vari motivi, tra cui attirare l'attenzione o ottenere assistenza per un incidente, attivare - o evitare di attivare - una revisione post-incidente o ottenere l'approvazione della direzione per il finanziamento desiderato, l'organico e così via, dice Nash.

Non c'è alcuna correlazione tra la durata e la gravità degli incidenti, secondo il rapporto. Le aziende possono avere incidenti lunghi o brevi che sono molto minori, esistenzialmente critici e quasi tutte le combinazioni intermedie.

"Non solo la durata o la gravità non possono dire a un team quanto siano affidabili o efficaci, ma non trasmettono nemmeno nulla di utile sull'impatto dell'evento o sullo sforzo richiesto per affrontare l'incidente", afferma Nash.

Analizzare gli incidenti passati

“Mentre MTTR non è utile come metrica, nessuno vuole che i loro incidenti durino più a lungo del necessario", afferma. "Per rispondere meglio, le aziende devono prima studiare come hanno risposto in passato con un'analisi più approfondita, che insegnerà loro una serie di fattori precedentemente imprevisti, sia tecnici che organizzativi".

Jones aggiunge che anche la cultura di un'organizzazione avrà un ruolo nel modo in cui i team etichettano gli incidenti e in che misura.

"Tutto questo risale alle persone di un'organizzazione: le persone che costruiscono l'infrastruttura, la mantengono, risolvono gli incidenti e poi li rivedono", afferma. "Tutto questo è fatto da persone."

Dal suo punto di vista, non importa quanto sia automatizzata la nostra tecnologia, le persone sono ancora la parte più adattabile del sistema e la ragione del continuo successo.

"Questo è il motivo per cui è necessario riconoscere questi sistemi socio-tecnici come tali e quindi affrontare l'analisi degli incidenti con la stessa comprensione", afferma Jones.

Severski afferma che il settore della sicurezza è pieno di opinioni su ciò che dovrebbe essere fatto per migliorare le cose, osservando che Cyentia continua ad analizzare grandi set di dati nel loro Information Risk Insights Study (IRIS) riparazioni.

"Basare le nostre raccomandazioni sui fallimenti effettivi e sulle lezioni apprese da questo è un approccio molto più efficace", afferma. "Attribuiamo grande importanza allo studio degli incidenti del mondo reale".

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics