Por que a análise de incidentes anteriores ajuda as equipes mais do que as métricas de segurança comuns

As métricas aceitas para medir a gravidade dos incidentes de segurança, como o tempo médio de reparo (MTTR), podem não ser tão confiáveis ​​quanto se pensava anteriormente e não estão fornecendo às equipes de segurança de TI as informações corretas, de acordo com o último relatório Open Incident Database (VOID) da Verica .

O relatório é baseado em 10,000 incidentes de pouco menos de 600 empresas, desde empresas da Fortune 100 até startups. A quantidade de dados coletados permite um nível mais profundo de análise estatística para determinar padrões e desmascarar suposições anteriores da indústria que careciam de evidências estatísticas, disse Verica.

“As empresas estão executando algumas das infraestruturas mais sofisticadas do mundo, dando suporte a muitas partes de nossas vidas diárias, sem que a maioria de nós sequer pense nisso — até que algo não esteja funcionando”, diz Nora Jones, CEO e cofundadora da Jeli. “Seus negócios dependem fortemente da confiabilidade do local e, ainda assim, os incidentes não desaparecem à medida que a tecnologia se torna cada vez mais complexa.”

“A maioria das organizações está tomando decisões de gerenciamento de incidentes com base em suposições de longa data”, diz ela, observando que as empresas precisam tomar decisões baseadas em dados sobre como abordam a resiliência organizacional.

Compartilhar informações para entender os incidentes

Courtney Nash, principal analista de pesquisa da Verica e criadora do VOID, explica que, da mesma forma que as companhias aéreas deixaram de lado as preocupações competitivas no final dos anos 90 e além para compartilhar informações, as empresas têm um imenso corpo de conhecimento comoditizado que poderiam usam para aprender uns com os outros e impulsionar a indústria, tornando o que é construído mais seguro para todos.

“A coleta desses relatórios é importante porque o software há muito deixou de hospedar fotos de gatos online para administrar transporte, infraestrutura, redes elétricas, software e dispositivos de saúde, sistemas de votação, veículos autônomos e muitas funções sociais críticas (geralmente críticas para a segurança) ”, diz Nash.

David Severski, cientista sênior de dados de segurança do Cyentia Institute, aponta que as empresas só podem ver seus próprios incidentes, o que limita a capacidade de ver e evitar tendências mais amplas que afetam outras organizações.

“Bancos de dados de incidentes e relatórios como [VOID] os ajudam a escapar da visão de túnel e, com sorte, agir antes que eles próprios tenham problemas”, diz ele.

Duração e gravidade são dados "superficiais"

A maneira como as organizações vivenciam os incidentes varia, assim como o tempo necessário para resolvê-los, independentemente da gravidade. Quais cenários são reconhecidos como um “incidente” e em que nível varia entre os colegas dentro de uma organização e não é consistente entre as organizações, alertou o relatório.

Nash explica que a duração e a gravidade são dados “rasos” — eles são atraentes porque parecem dar um sentido claro e concreto ao que são situações confusas e surpreendentes que não se prestam a resumos simples. No entanto, medir a duração não é realmente útil.

“A duração de um incidente fornece poucas informações acionáveis ​​internamente sobre o incidente, e a gravidade geralmente é negociada de maneiras diferentes, até mesmo na mesma equipe”, diz Nash.

A gravidade pode ser usada como um substituto para o impacto no cliente ou, em outros casos, o esforço de engenharia necessário para corrigir ou a urgência. “Ele é atribuído subjetivamente, por vários motivos, inclusive para chamar a atenção ou obter assistência para um incidente, acionar – ou evitar o acionamento – uma revisão pós-incidente ou obter a aprovação da gerência para o financiamento desejado, número de funcionários e assim por diante, ” Nash diz.

Não há correlação entre a duração e a gravidade dos incidentes, de acordo com o relatório. As empresas podem ter incidentes longos ou curtos que são muito pequenos, existencialmente críticos e quase todas as combinações intermediárias.

“Não apenas a duração ou a gravidade não dizem a uma equipe o quão confiável ou eficaz ela é, mas também não transmitem nada útil sobre o impacto do evento ou o esforço necessário para lidar com o incidente”, diz Nash.

Analisar Incidentes Passados

“Embora o MTTR não seja útil como uma métrica, ninguém quer que seus incidentes durem mais do que o necessário ”, diz ela. “Para responder melhor, as empresas devem primeiro estudar como responderam no passado com uma análise mais aprofundada, o que as ensinará sobre uma série de fatores imprevistos anteriormente, tanto técnicos quanto organizacionais.”

Jones acrescenta que a cultura de uma organização também desempenhará um papel em como as equipes marcam os incidentes e em que grau.

“Tudo isso remonta às pessoas de uma organização – as pessoas que constroem a infraestrutura, mantêm a infraestrutura, resolvem incidentes e depois os revisam”, diz ela. “Tudo isso é feito por pessoas.”

De sua perspectiva, não importa o quão automatizada seja nossa tecnologia, as pessoas ainda são a parte mais adaptável do sistema e a razão do sucesso contínuo.

“É por isso que você deve reconhecer esses sistemas sociotécnicos apenas como isso e, em seguida, abordar sua análise de incidentes com o mesmo entendimento”, diz Jones.

Severski diz que o setor de segurança está cheio de opiniões sobre o que deve ser feito para melhorar as coisas, observando que a Cyentia continua analisando grandes conjuntos de dados em seu Estudo de Insights de Risco de Informação (IRIS) pesquisa.

“Basear nossas recomendações em falhas reais e lições aprendidas com isso é uma abordagem muito mais eficaz”, diz ele. “Nós valorizamos muito o estudo de incidentes do mundo real.”

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• Platoblockchain. Inteligência Metaverso Web3. Conhecimento Ampliado. Acesse aqui.
• Fonte: https://www.darkreading.com/edge-articles/why-analyzing-past-incidents-helps-teams-more-than-usual-security-metrics