0 
0 Dado o atual clima financeiro, os orçamentos de segurança cibernética podem estar sob revisão, juntamente com todas as outras despesas e, em alguns casos, no cepo. Uma das melhores maneiras de os líderes de segurança protegerem seu programa de operações de segurança é garantir o alinhamento com as prioridades de negócios de suas equipes executivas e conselhos. Uma parte importante disso é fornecer métricas que demonstrem a eficácia do programa. O desenvolvimento de métricas para suas operações de segurança permitirá que seus stakeholders rastreiem o estado atual do programa, bem como como o programa suporta os objetivos de negócios.
O centro de operações de segurança é uma função crítica para os negócios, mas medir a eficácia do SOC não é fácil. As organizações podem escolher entre uma ampla variedade de abordagens diferentes. A velocidade de resposta nas operações de segurança é um aspecto importante e pode fazer toda a diferença entre um comprometimento que é contido rapidamente e uma violação de dados catastrófica.
Portanto, começar com métricas básicas, como o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR), permitirá que você e seus stakeholders obtenham mais informações sobre as operações e tomem melhores decisões de investimento, bem como demonstrem valor à liderança executiva e ao conselho.
Melhore sua eficácia
O principal objetivo de um programa de operações de segurança resiliente deve ser reduzir o MTTD e o MTTR de uma organização para limitar qualquer dano causado por um incidente cibernético à sua organização.
O MTTD mede o tempo necessário para descobrir uma possível ameaça à segurança. Essa métrica ajuda você a entender a eficácia das operações de segurança de sua organização e a velocidade e capacidade de sua equipe em reconhecer uma ameaça. Portanto, o objetivo é manter essa métrica o mais baixa possível para reduzir o impacto de um comprometimento em sua organização.
Enquanto isso, o MTTR ajuda você a medir o tempo que leva para responder a uma ameaça depois que ela é detectada. Um tempo de resposta mais alto indica que um comprometimento pode levar a uma violação de dados prejudicial. O objetivo é acelerar sua resposta e diminuir seu risco, assim como o MTTD.
Tanto o MTTD quanto o MTTR são métricas-chave para medir e melhorar as capacidades de sua equipe , pois é crucial acompanhar a eficácia de sua equipe à medida que a maturidade de sua organização cresce . Como qualquer operação de negócios fundamental, para amadurecer sua organização, você deve medir a eficácia operacional para determinar se sua organização está atingindo seus KPIs e SLAs.
Além do MTTD e do MTTR, há outras métricas que você deve monitorar para garantir que está medindo e comunicando efetivamente a eficácia operacional.
Garantindo o sucesso das operações de segurança
Aqui estão as sete métricas que você deve medir para ajudar a ver onde seu programa de operações de segurança pode precisar de melhorias.
Tempo de alarme para triagem (TTT): Mede a capacidade da equipe de inspecionar um alarme com urgência. Ele ajuda você a entender o nível de resposta às ameaças em tempo real. Isso pode indicar que sua equipe pode precisar de funcionários adicionais para restringir seu foco de monitoramento ou que você tem funcionários suficientes para assumir uma carga de monitoramento maior.
Tempo de alarme para qualificação (TTQ): Mede e indica quanto tempo leva para um alarme ser totalmente investigado e qualificado. O TTQ ajuda você a identificar bloqueios e entender o escopo de sua equipe quando se trata de ameaças qualificadas.
Threat time to investigado (TTI): Mede e indica o número de horas necessárias para investigar minuciosamente uma ameaça qualificada. Ele permite identificar gargalos e entender os recursos de sua equipe ao investigar ameaças de maneira eficiente.
Tempo para mitigar (TTM): mede o tempo necessário para mitigar um incidente e abordar o risco comercial imediato. O TTM ajuda você a entender a rapidez com que sua equipe pode mitigar o problema para interromper ou impedir uma ameaça ativa.
Tempo de recuperação (TTV): Mede a quantidade de tempo que leva para se recuperar totalmente de um incidente. Medir o TTV ajuda você a descobrir a rapidez com que sua equipe de segurança e outros envolvidos podem restaurar completamente as operações de volta à normalidade. Gargalos nas operações e na colaboração também podem ser encontrados.
Tempo de detecção do incidente (TTD): mede o tempo necessário para confirmar que um incidente foi detectado inicialmente e finalmente qualificado. O TTD é um indicador crucial da eficácia das operações de segurança, pois demonstra o tempo necessário para identificar as ameaças que realmente resultaram em incidentes.
Tempo de resposta do incidente (TTR): mede a duração do tempo necessário para investigar completamente, bem como mitigar um incidente confirmado. O TTR é uma medida essencial da eficácia das operações de segurança, pois apresenta o tempo necessário para analisar e mitigar as ameaças que resultaram em um incidente.
As métricas são projetadas para fornecer informações sobre a eficácia, desempenho e responsabilidade do seu programa de segurança por meio da coleta, análise e relatório de dados. Eles também oferecem a capacidade de detectar gargalos no processo, bem como identificar onde ferramentas ou processos precisam ser retrabalhados. Todos os processos de negócios precisam ser medidos para melhorar, e as operações de segurança não são diferentes nesse aspecto. Demonstrar eficácia por meio de métricas é um elemento necessário para mostrar valor para o negócio mais amplo.
FONTE: DARK READING