Six métriques innovantes pour mesurer l'efficacité de la réponse aux incidents automatisée

Alors que les processus de réponse aux incidents continuent d'être transformés par l'automatisation, prouver comment celle-ci transforme la performance de la réponse aux incidents sera quasi impossible sans l'activation de ces nouvelles métriques.

Alors que les équipes de sécurité redéfinissent l'infrastructure de sécurité de leur organisation pour faire face à l'évolution du paysage des menaces, elles ont souvent besoin de démontrer comment ces changements impacteront positivement les résultats de l'entreprise.

Cependant, en 2016, l'institut SANS a constaté que 71 % des organisations n'avaient pas de métriques régulières ou de mesures pour la performance de la réponse aux incidents (RI). Bien que ce pourcentage ait diminué ces dernières années – 58 % déclaraient ne pas avoir de métriques en 2017 – de nombreuses équipes de sécurité ne verront la nécessité de mesurer leur performance qu'après un incident cyber majeur.

En automatisant les processus de réponse aux incidents, les entreprises peuvent développer une toute nouvelle approche des métriques de cybersécurité, réduire les coûts, augmenter l'efficacité et fournir des objectifs actionnables pour les managers, non seulement en renforçant leurs opérations de sécurité, mais en s'assurant que leur approche de sécurité est alignée sur le métier. Les six nouvelles métriques incluent :

1. Coût par incident (CPI)

La métrique CPI peut être mesurée comme la durée d'un incident multipliée par le taux horaire moyen pour un analyste de niveau 1. De nombreuses équipes de sécurité feront passer cette formule dans le playbook RI pour chaque phase d'un incident, de la détection à la réponse et à la remédiation.

En utilisant l'automatisation, qui non seulement élimine des étapes ou des workflows entiers, mais apporte de l'accélération, d'énormes économies de coûts et améliore l'efficacité, les équipes peuvent se concentrer sur la validation et la conclusion des incidents, plutôt que de perdre du temps sur des pistes infructueuses.

2. Détection automatique versus détection manuelle

Les équipes de sécurité peuvent établir une ligne de base pour déterminer le ratio des détections produites par la pile de sécurité versus le nombre combiné de détections humaines reçues.

Pour déterminer les détections humaines, les équipes de sécurité doivent établir le nombre de détections par le personnel, comme un employé reconnaissant que sa machine dysfonctionne ou un administrateur IT remarquant qu'un système se comporte de manière inhabituelle. Ajoutez à cela le nombre de détections externes – comme le nombre de fois où l'équipe de sécurité reçoit un appel d'administrateurs gouvernementaux/IT – et le nombre de détections que le personnel des opérations de sécurité a créées manuellement en synthétisant les données de leur pile de sécurité ou SIEM, et cela donnera aux organisations une idée de l'efficacité du système actuel.

En automatisant les processus de réponse aux incidents, les entreprises peuvent s'attendre à ce que le ratio penche substantiellement du côté de l'automatisation, ce qui signifie une meilleure efficacité des opérations de sécurité.

3. Pourcentage d'investigation versus volume

Les opérations de sécurité peuvent maintenant déterminer ce qui passe à travers les mailles du filet. En mesurant les investigations versus le volume d'alertes, les entreprises peuvent mesurer le gap de risque dans les opérations de sécurité actuelles. Avec des processus de réponse aux incidents automatisés, le pourcentage d'investigations par volume augmentera de manière spectaculaire.

Par exemple, si une organisation effectue généralement trois investigations pour 100 alertes (3/100 ou 3 %) et implémente ensuite l'automatisation, qui voit un taux d'alerte-à-conclusion de 10 % et deux investigations supplémentaires (5/10 ou 50 %), cela produit une augmentation massive de 1 500 % de l'efficacité des opérations de sécurité.

4. Ratio investigation-réponse

Il est dans l'intérêt de toute organisation de s'assurer que l'équipe des opérations de sécurité perd le moins de temps possible – et la métrique du ratio investigation-réponse peut aider à déterminer combien d'éléments investigués mènent à un workflow de réponse mené à terme.

L'automatisation des processus de réponse aux incidents mènera à une convergence des investigations vers la réponse, puisque plus d'investigations porteront sur des conclusions validées, plutôt que sur de simples attaques suspectées.

5. Taux de décision

Cette métrique mesure le temps nécessaire pour prendre une décision suite à la génération d'une alerte. Il n'est pas rare que la « paralysie par l'analyse » et l'incertitude des opérations de sécurité augmentent les temps de présence et risquent la propagation d'une attaque. Cela prend aussi du temps loin de l'investigation et de la réponse à d'autres attaques qui pourraient se produire simultanément.

En mesurant le taux de décision avant et après l'implémentation de l'automatisation, l'équipe des opérations de sécurité peut démontrer sa réactivité et augmenter sa capacité de réponse sans ajouter de ressources humaines rares.

6. Réponse de remédiation versus re-imagerie

Cette métrique mesure la perturbation métier. Plus les réponses chirurgicales à distance sont permises par l'automatisation des processus, moins il y a de corrections « au marteau-pilon » consistant à re-imager le poste de travail d'un utilisateur final – ce qui signifie moins de perturbation métier et d'inconvénients pour les employés. Il est facile de voir comment retirer l'ordinateur portable de quelqu'un pour une journée, ou mettre hors service un serveur de traitement de paiement, peut perturber gravement les opérations de sécurité – même lorsque des sauvegardes à chaud et des basculements en grappe font partie de la solution.

L'automatisation des processus de réponse aux incidents évite de telles perturbations grâce à la création de règles actionnables qui peuvent déclencher automatiquement une remédiation chirurgicale et une analyse approfondie.

Les métriques comme facilitateurs

Alors que les processus de réponse aux incidents continuent d'être transformés par l'automatisation, prouver comment elle transforme la performance de la réponse aux incidents sera quasi impossible sans l'activation de ces nouvelles métriques.

Simplement, chacune de ces nouvelles métriques peut démontrer comment l'automatisation des processus de réponse aux incidents peut non seulement renforcer votre infrastructure de sécurité, mais aussi impacter les résultats financiers.

Source : Andrew Bushby, directeur UK chez Fidelis Cybersecurity