Waarom het analyseren van incidenten uit het verleden teams meer helpt dan gebruikelijke beveiligingsstatistieken

Geaccepteerde statistieken voor het meten van de ernst van beveiligingsincidenten, zoals Mean Time to Repair (MTTR), zijn mogelijk niet zo betrouwbaar als eerder werd gedacht en voorzien IT-beveiligingsteams niet van de juiste informatie, volgens Verica's nieuwste Open Incident Database (VOID)-rapport .

Het rapport is gebaseerd op 10,000 incidenten van iets minder dan 600 bedrijven, variërend van Fortune 100's tot startups. De hoeveelheid verzamelde gegevens maakt een dieper niveau van statistische analyse mogelijk om patronen te bepalen en eerdere industriële aannames te ontkrachten die statistisch bewijs ontbraken, zei Verica.

"Bedrijven runnen een van de meest geavanceerde infrastructuur ter wereld, die vele delen van ons dagelijks leven ondersteunt, zonder dat de meesten van ons er zelfs maar aan denken - totdat iets niet werkt", zegt Nora Jones, CEO en mede-oprichter van Jeli. "Hun bedrijven zijn sterk afhankelijk van de betrouwbaarheid van de locatie, en toch verdwijnen incidenten niet naarmate de technologie steeds complexer wordt."

"De meeste organisaties nemen beslissingen over incidentbeheer op basis van langdurige aannames", zegt ze, waarbij ze opmerkt dat ondernemingen gegevensgestuurde beslissingen moeten nemen over hoe ze de veerkracht van de organisatie benaderen.

Deel informatie om incidenten te begrijpen

Courtney Nash, hoofdonderzoeksanalist bij Verica en bedenker van VOID, legt uit dat, net zoals luchtvaartmaatschappijen eind jaren '90 en later concurrentieproblemen opzij zetten om informatie te delen, ondernemingen een enorme hoeveelheid gecommoditiseerde kennis hebben die ze zouden kunnen gebruiken. gebruiken om van elkaar te leren en de industrie vooruit te helpen, terwijl wat wordt gebouwd voor iedereen veiliger wordt gemaakt.

"Het verzamelen van deze rapporten is van belang omdat software al lang is overgestapt van het online hosten van foto's van katten naar het uitvoeren van transport, infrastructuur, elektriciteitsnetten, software en apparaten voor de gezondheidszorg, stemsystemen, autonome voertuigen en vele kritieke (vaak veiligheidskritieke) maatschappelijke functies," zegt Nash.

David Severski, senior security data scientist bij het Cyentia Institute, wijst erop dat ondernemingen alleen hun eigen incidenten kunnen zien, wat het vermogen beperkt om bredere trends te zien en te vermijden die van invloed zijn op andere organisaties.

"Incidentdatabases en rapporten zoals [VOID] helpen hen te ontsnappen aan tunnelvisie en hopelijk te handelen voordat ze zelf problemen ondervinden", zegt hij.

Duur en ernst zijn 'oppervlakkige' gegevens

Hoe organisaties incidenten ervaren, varieert, net als de tijd die nodig is om die incidenten op te lossen, ongeacht de ernst. Welke scenario's zelfs worden herkend als een "incident" en op welk niveau varieert tussen collega's binnen een organisatie en is niet consistent tussen organisaties, waarschuwde het rapport.

Nash legt uit dat duur en ernst zijn "ondiepe" gegevens — ze zijn aantrekkelijk omdat ze een duidelijke, concrete betekenis lijken te geven aan rommelige, verrassende situaties die zich niet lenen voor eenvoudige samenvattingen. Het meten van de duur is echter niet echt nuttig.

"De duur van een incident levert weinig intern bruikbare informatie op over het incident, en de ernst wordt vaak op verschillende manieren onderhandeld, zelfs binnen hetzelfde team", zegt Nash.

Ernst kan worden gebruikt als maatstaf voor klantimpact of, in andere gevallen, technische inspanning die nodig is om het probleem op te lossen of urgentie. “Het wordt subjectief toegewezen, om verschillende redenen, onder meer om de aandacht te vestigen op of hulp te krijgen bij een incident, om een ​​beoordeling na het incident te activeren (of te vermijden), of om goedkeuring van het management te krijgen voor de gewenste financiering, personeelsbezetting, enzovoort. ' zegt Nash.

Volgens het rapport is er geen correlatie tussen de duur en de ernst van incidenten. Bedrijven kunnen lange of korte incidenten hebben die zeer klein, existentieel kritisch en bijna elke combinatie daartussenin zijn.

"Duur of ernst kunnen een team niet alleen niet vertellen hoe betrouwbaar of effectief ze zijn, maar ze zeggen ook niets nuttigs over de impact van de gebeurtenis of de inspanning die nodig is om met het incident om te gaan", zegt Nash.

Analyseer eerdere incidenten

“Terwijl MTTR niet nuttig is als een maatstaf,, wil niemand dat hun incidenten langer duren dan nodig is', zegt ze. "Om beter te kunnen reageren, moeten bedrijven eerst bestuderen hoe ze in het verleden hebben gereageerd met een meer diepgaande analyse, die hen zal leren over een groot aantal voorheen onvoorziene factoren, zowel technisch als organisatorisch."

Jones voegt eraan toe dat de cultuur van een organisatie ook een rol zal spelen in hoe teams incidenten taggen en in welke mate.

"Dit gaat allemaal terug naar de mensen van een organisatie - de mensen die de infrastructuur bouwen, de infrastructuur onderhouden, incidenten oplossen en ze vervolgens beoordelen", zegt ze. "Dit wordt allemaal gedaan door mensen."

Vanuit haar perspectief, hoe geautomatiseerd onze technologie ook wordt, mensen zijn nog steeds het meest aanpasbare deel van het systeem en de reden voor aanhoudend succes.

"Daarom moet je deze socio-technische systemen als zodanig herkennen en vervolgens je incidentanalyse met hetzelfde begrip benaderen", zegt Jones.

Severski zegt dat de beveiligingsindustrie vol meningen zit over wat er moet worden gedaan om dingen te verbeteren, en merkt op dat Cyentia grote datasets blijft analyseren in hun Information Risk Insights Study (IRIS) onderzoek.

"Het is een veel effectievere aanpak om onze aanbevelingen te baseren op daadwerkelijke mislukkingen en de lessen die we daaruit hebben getrokken", zegt hij. "We hechten veel waarde aan het bestuderen van incidenten uit de echte wereld."

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• Platoblockchain. Web3 Metaverse Intelligentie. Kennis versterkt. Toegang hier.
• Bron: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics