6 metrik baru untuk mengukur respons insiden menggunakan otomatisasi
Karena proses respons insiden terus diubah oleh otomatisasi, membuktikan bagaimana hal itu mengubah kinerja respons insiden hampir tidak mungkin tanpa mengaktifkan metrik baru ini
Saat tim keamanan mendefinisikan ulang infrastruktur keamanan organisasi mereka untuk menghadapi lanskap ancaman yang terus berubah, mereka sering kali perlu menunjukkan bagaimana perubahan tersebut akan berdampak positif pada laba bisnis.
Namun, pada tahun 2016, SANS Institute menemukan bahwa 71% organisasi tidak memiliki metrik atau pengukuran reguler untuk kinerja respons insiden (IR). Meskipun persentase ini telah menurun dalam beberapa tahun terakhir – 58% dinyatakan tidak memiliki metrik pada tahun 2017 – banyak tim keamanan hanya akan melihat kebutuhan untuk mengukur kinerja mereka setelah insiden cyber besar.
>Lihat juga: Operasi keamanan:apakah otomatisasi harus berarti otomatis?
Dengan mengotomatiskan proses respons insiden, dapat membantu perusahaan mengembangkan pendekatan baru untuk metrik keamanan siber, mengurangi biaya, meningkatkan efisiensi, dan memberikan tujuan yang dapat ditindaklanjuti bagi para manajer, tidak hanya memperkuat operasi keamanan mereka, tetapi juga memastikan bahwa pendekatan keamanan mereka selaras dengan bisnis. Enam metrik baru meliputi:
1. Biaya per insiden (CPI)
Metrik CPI dapat diukur sebagai durasi insiden dikalikan dengan tarif rata-rata per jam untuk analis tingkat satu. Banyak tim keamanan akan menjalankan formula tersebut melalui buku pedoman IR untuk setiap fase insiden mulai dari deteksi – hingga respons dan perbaikan.
>Lihat juga: Otomasi keamanan:meningkatkan produktivitas TI dan ketahanan jaringan
Menggunakan otomatisasi, yang tidak hanya menghilangkan seluruh langkah atau alur kerja, tetapi juga memberikan akselerasi, penghematan biaya yang besar, dan meningkatkan efisiensi karena tim dapat fokus pada validasi dan penyelesaian insiden, daripada membuang waktu untuk mengejar angsa liar.
2. Deteksi otomatis versus deteksi manual
Tim keamanan dapat menetapkan dasar untuk menentukan rasio deteksi yang dihasilkan tumpukan keamanan versus jumlah gabungan deteksi manusia yang diterima.
Untuk mengetahui deteksi manusia, tim keamanan harus menentukan jumlah deteksi staf, seperti karyawan yang mengetahui bahwa mesin mereka tidak berfungsi atau admin TI yang mengetahui bahwa sistem bekerja dengan cara yang tidak biasa. Tambahkan ke ini jumlah deteksi eksternal – seperti berapa kali tim keamanan mendapat panggilan dari admin pemerintah/TI – dan jumlah deteksi yang dibuat staf operasi keamanan secara manual mensintesis data dari tumpukan keamanan atau SEIM mereka, dan ini akan memberikan organisasi rasa efisiensi sistem saat ini.
>Lihat juga: Mobilitas menuntut keamanan berjalan seiring dengan otomatisasi
Dengan mengotomatiskan proses respons insiden, perusahaan dapat mengharapkan rasio untuk miring secara substansial ke sisi otomatisasi persamaan, yang berarti efisiensi operasi keamanan yang lebih baik.
3. Persentase investigasi versus volume
Operasi keamanan sekarang dapat menentukan apa yang lolos dari celah. Dengan mengukur investigasi versus volume peringatan, perusahaan dapat mengukur kesenjangan risiko dalam operasi keamanan saat ini. Dengan proses respons insiden otomatis, persentase investigasi per volume akan meningkat secara dramatis.
Misalnya, jika sebuah organisasi biasanya melakukan tiga investigasi untuk setiap 100 peringatan (3/100 atau 3%) dan kemudian menerapkan otomatisasi, yang melihat tingkat peringatan hingga kesimpulan 10% dan dua investigasi tambahan (5/10 atau 50 %), yang menghasilkan peningkatan besar-besaran 1.500 persen pada efektivitas operasi keamanan.
4. Rasio investigasi terhadap tanggapan
Merupakan kepentingan organisasi mana pun untuk memastikan bahwa tim operasi keamanan membuang waktu sesedikit mungkin – dan rasio investigasi terhadap metrik respons dapat membantu menentukan berapa banyak item yang diselidiki yang mengarah ke alur kerja respons yang akan diselesaikan.
>Lihat juga: Prediksi keamanan siber untuk 2018
Mengotomatiskan proses respons insiden akan mengarah pada konvergensi investigasi ke respons, karena lebih banyak investigasi yang bertentangan dengan kesimpulan yang divalidasi, bukan hanya dugaan serangan.
5. Tingkat keputusan
Metrik ini mengukur waktu yang diperlukan untuk membuat keputusan setelah pembuatan peringatan. Tidak jarang 'kelumpuhan analisis' dan ketidakpastian operasi keamanan meningkatkan waktu tunggu dan risiko penyebaran serangan. Ini juga membutuhkan waktu untuk menyelidiki dan menanggapi serangan lain yang mungkin terjadi pada saat yang bersamaan.
Dengan mengukur tingkat keputusan sebelum dan sesudah menerapkan otomatisasi, tim operasi keamanan dapat menunjukkan kegesitan mereka dan meningkatkan kapasitas respons tanpa menambahkan sumber daya manusia yang langka.
6. Tanggapan remediasi vs reimage
Metrik ini mengukur gangguan bisnis. Semakin banyak respons bedah dan jarak jauh yang diaktifkan oleh proses otomatisasi, semakin sedikit perbaikan "palu besar" dari pencitraan ulang titik akhir pengguna akhir yang harus terjadi – yang berarti lebih sedikit gangguan bisnis dan ketidaknyamanan bagi karyawan. Sangat mudah untuk melihat bagaimana mengambil laptop seseorang selama sehari, atau menghapus server pemrosesan pembayaran, dapat sangat mengganggu operasi keamanan – bahkan ketika pencadangan panas dan failover yang dikelompokkan adalah bagian dari solusi.
>Lihat juga: TTantangan keamanan siber untuk TI cabang ritel
Mengotomatiskan proses respons insiden menghindari gangguan tersebut melalui pembuatan aturan yang dapat ditindaklanjuti yang dapat secara otomatis memulai remediasi bedah dan analisis mendalam.
Metrik sebagai pengaktif
Karena proses respons insiden terus ditransformasikan oleh otomatisasi, membuktikan bagaimana hal itu mengubah kinerja respons insiden akan hampir mustahil tanpa pengaktifan metrik baru ini.
Sederhananya, masing-masing metrik baru ini dapat menunjukkan bagaimana otomatisasi proses respons insiden tidak hanya dapat memperkuat infrastruktur keamanan Anda, tetapi juga berdampak pada intinya.
Bersumber dari Andrew Bushby, direktur Inggris di Fidelis Cybersecurity
