Enam Metrik Inovatif untuk Mengukur Efektivitas Tanggap Insiden Otomatis
Sejak proses tanggap insiden terus diubah oleh otomatisasi, membuktikan bagaimana itu mengubah kinerja tanggap insiden akan hampir mustahil tanpa pengaktifan metrik baru ini
Saat tim keamanan menegakkan kembali infrastruktur keamanan organisasi mereka untuk menangani lanskap ancaman yang berubah, mereka sering perlu menunjukkan bagaimana perubahan tersebut akan berdampak positif pada garis bawah bisnis.
Namun, pada 2016, Institut SANS menemukan bahwa 71% organisasi tidak memiliki metrik atau pengukuran teratur untuk kinerja tanggap insiden (IR). Meskipun persentase ini telah menurun dalam beberapa tahun terakhir – 58% menyatakan tidak memiliki metrik pada 2017 – banyak tim keamanan hanya akan melihat keuntungan untuk mengukur kinerja mereka setelah insiden siber besar.
>Lihat juga: Operasi keamanan: apakah otomatisasi harus berarti otomatis?
Dengan mengotomatisasi proses tanggap insiden, dapat membantu perusahaan mengembangkan pendekatan yang sepenuhnya baru terhadap metrik keamanan siber, mengurangi biaya, meningkatkan efisiensi dan memberikan tujuan yang dapat ditindaklanjuti bagi manajer, tidak hanya memperkuat operasi keamanan mereka, tetapi memastikan bahwa pendekatan keamanan mereka selaras dengan bisnis. Enam metrik baru meliputi:
1. Biaya per insiden (CPI)
Metrik CPI dapat diukur sebagai durasi insiden dikalikan dengan tarif jam rata-rata untuk analis tingkat satu. Banyak tim keamanan akan menjalankan rumus itu melalui buku catatan IR untuk setiap fase insiden dari deteksi – hingga respons dan remediasi.
>Lihat juga: Otomatisasi keamanan: meningkatkan produktivitas IT dan ketahanan jaringan
Dengan menggunakan otomatisasi, itu tidak hanya menghapus seluruh langkah atau alur kerja, tetapi memberikan percepatan, penghematan biaya yang besar dan meningkatkan efisiensi karena tim dapat fokus pada memvalidasi dan menyelesaikan insiden, daripada membuang waktu pada pengejaran liar.
2. Deteksi otomatis versus deteksi manual
Tim keamanan dapat menetapkan dasar untuk menentukan rasio deteksi yang dihasilkan tumpukan keamanan versus jumlah gabungan deteksi manusia yang diterima.
Untuk mengetahui deteksi manusia, tim keamanan harus menentukan jumlah deteksi staf, seperti karyawan yang mengenali bahwa mesin mereka mengalami gangguan atau admin IT yang mengenali bahwa sistem beroperasi dengan cara yang tidak biasa. Tambahkan ini jumlah deteksi eksternal – seperti jumlah kali tim keamanan menerima panggilan dari pemerintah/admin IT – dan jumlah deteksi yang dibuat secara manual oleh staf operasi keamanan melalui sintesis data dari tumpukan keamanan atau SEIM mereka, dan ini akan memberikan organisasi gambaran tentang efisiensi sistem saat ini.
>Lihat juga: Mobilitas mengharuskan keamanan berjalan bersama dengan otomatisasi
Dengan mengotomatisasi proses tanggap insiden, perusahaan dapat berasah rasio untuk mencurahkan secara besar-besaran ke sisi otomatisasi dari persamaan, yang berarti efisiensi operasi keamanan yang lebih baik.
3. Persen investigasi versus volume
Operasi keamanan sekarang dapat menentukan apa yang lolos dari perhatian. Dengan mengukur investigasi versus volume peringatan, perusahaan dapat mengukur kesenjangan risiko dalam operasi keamanan saat ini. Dengan proses tanggap insiden yang terotomatisasi, persen investigasi per volume akan meningkat secara dramatis.
Misalnya, jika organisasi biasanya melakukan tiga investigasi untuk setiap 100 peringatan (3/100 atau 3%) dan kemudian menerapkan otomatisasi, yang menghasilkan tingkat peringatan-ke-kesimpulan sebesar 10% dan dua investigasi tambahan (5/10 atau 50%), ini menghasilkan peningkatan sebesar 1.500 persen terhadap efektivitas operasi keamanan.
4. Rasio investigasi terhadap respons
Ini adalah kepentingan organisasi apa pun untuk memastikan bahwa tim operasi keamanan tidak membuang waktu sebanyak mungkin – dan rasio investigasi terhadap respons metrik dapat membantu menentukan berapa banyak item yang telah diverifikasi yang mengarah ke alur kerja respons yang selesai.
>Lihat juga: Prediksi keamanan siber untuk 2018
Mengotomatisasi proses tanggap insiden akan mengarah pada konvergensi investigasi ke respons, karena lebih banyak investigasi terhadap kesimpulan yang divalidasi, daripada sekadar serangan yang dicurigai.
5. Tingkat keputusan
Metrik ini mengukur waktu yang dibutuhkan untuk mengambil keputusan setelah pembangkitan peringatan. Tidak jarang ‘paralisis analisis’ dan ketidakpastian operasi keamanan meningkatkan waktu tinggal dan membahayakan penyebaran serangan. Ini juga mengambil waktu dari investigasi dan respons terhadap serangan lain yang mungkin terjadi pada saat yang sama.
Dengan mengukur tingkat keputusan sebelum dan setelah menerapkan otomatisasi, tim operasi keamanan dapat menunjukkan fleksibilitas mereka dan meningkatkan kapasitas respons tanpa menambahkan sumber daya manusia yang langka.
6. Respons remediasi vs reimage
Metrik ini mengukur gangguan bisnis. Semakin banyak respons jarak jauh yang bedah yang diaktifkan dengan mengotomatisasi proses, semakin sedikit perbaikan ‘paluk besar’ dengan reimage endpoint pengguna akhir yang harus dilakukan – yang berarti lebih sedikit gangguan bisnis dan ketidaknyamanan bagi karyawan. Mudah untuk melihat bagaimana mengambil laptop seseorang untuk satu hari, atau mematikan server pemrosesan pembayaran, dapat sangat mengganggu operasi keamanan – bahkan ketika cadangan panas dan failover kluster adalah bagian dari solusi.
>Lihat juga: Tantangan keamanan siber untuk cabang IT ritail
Mengotomatisasi proses tanggap insiden menghindari gangguan tersebut melalui penciptaan aturan yang dapat ditindaklanjuti yang dapat secara otomatis memulai remediasi bedah dan analisis mendalam.
Metrik sebagai pengaktif
Sejak proses tanggap insiden terus diubah oleh otomatisasi, membuktikan bagaimana itu mengubah kinerja tanggap insiden akan hampir mustahil tanpa pengaktifan metrik baru ini.
Sederhananya, setiap metrik baru ini dapat menunjukkan bagaimana otomatisasi proses tanggap insiden dapat tidak hanya memperkuat infrastruktur keamanan Anda, tetapi juga berdampak pada garis bawah.
Sumber oleh Andrew Bushby, direktur UK di Fidelis Cybersecurity
