Key Performance Indicators (KPIs) sind entscheidend für jedes Sicherheitsprogramm, und die meisten Sicherheitsverantwortlichen wissen das bereits. Dennoch besteht in der Praxis Verwirrung darüber, welche Cybersicherheits-KPIs tatsächlich auf ein SOC-Dashboard gehören und welche nur Rauschen erzeugen. Erfahren Sie, welche KPIs Sie verfolgen müssen und wie Sie die richtigen KPIs auswählen, um die Robustheit Ihres Sicherheitsprogramms zu messen und zu verbessern.
Hier schlagen wir einige Ideen vor, wie Sie die richtigen KPIs für Ihre Organisation auswählen und verfolgen.
Security-KPIs und Sicherheitsmetriken: Sind sie dasselbe?
Zunächst müssen wir einige Klarstellungen vornehmen.
Security-KPIs und Sicherheitsmetriken sind Begriffe, die oft synonym verwendet werden, aber es gibt einen leichten Unterschied in ihrer Bedeutung. Während Metriken „quantifizierbare Messungen” sind, die sich hauptsächlich auf Ihre Sicherheitstaktiken und die tägliche Messung von Ergebnissen beziehen, sind Ihre KPIs Messgrößen, die an Ihre langfristige Sicherheitsstrategie und Ihre endgültigen Ziele gebunden sind. Ihre gewählten Security-KPIs treiben entscheidende strategische Entscheidungen voran, daher hängt die Glaubwürdigkeit Ihres Sicherheitsprogramms von ihnen ab.
Sicherheitsmetriken sind das breitere Konzept der beiden. Security-KPIs sind einfach Sicherheitsmetriken, die für eine Organisation mehr Gewicht haben als die übrigen Sicherheitsmetriken.
Mit Sicherheit meinen wir sowohl Cybersicherheit als auch Informationssicherheit, daher werden Sie „Security-KPIs”, „Cybersicherheits-KPIs” und „Cybersicherheits-KPIs” synonym sehen (etwas locker, wie manche sagen würden). Dasselbe gilt für „Sicherheitsmetriken” und „Cybersicherheitsmetriken”.
So wählen Sie Ihre Security-KPIs
Qualität
Bei der Auswahl von Cybersicherheits-KPIs sollte Qualität immer Quantität überwiegen. In diesem Fall ist Qualität gleichbedeutend mit Effektivität.
Ein effektiver Security-KPI sollte sein:
- Einfach
- Messbar
- Verwertbar
- Relevant
- Zeitbasiert
Quantität
Die Verfolgung zu vieler KPIs kann Entscheidungsträger in einen Zustand der Informationsüberflutung versetzen.
Um zu entscheiden, welche KPIs Sie überwachen sollten, ohne in dieses Kaninchenloch zu fallen, stellen Sie zwei einfache Fragen:
- Wird dieser KPI zu sinnvollen Veränderungen in Ihrer Organisation führen?
- Kann er angepasst werden, um unvorhergesehene Mängel Ihres Sicherheitsprogramms zu beheben oder seine Anwendbarkeit zu erhöhen?
Security-KPIs, die in Sicherheitsabläufen gemessen werden
Nachfolgend finden Sie eine kleine Liste ausgewählter kritischer Cybersicherheitsmetriken, d. h. KPIs, die Security Operations Centers (SOCs) normalerweise messen. Darüber hinaus enthält die Liste einige wichtige Fragen, die Sie beantworten müssen, wenn Sie prüfen, ob eine Cybersicherheitsmetrik ein geeigneter KPI für Ihr Unternehmen ist.
| KPI | Zu berücksichtigende Fragen |
| Mean Time to Detect (MTTD) | Gibt es alternative Verfahren, um die Erkennungszeit zu verkürzen? |
Mean Time to Respond (MTTR) | Gibt es Möglichkeiten, die Reaktionsphasen zu verbessern? |
Mean Time to Contain (MTTC) | Können Eindämmungstechniken verbessert werden? |
| Gesamtzahl der Vorfälle | Wie viele Sicherheitsvorfälle werden bearbeitet? |
Anzahl der Fehlalarme | Gibt es eine Möglichkeit, durch Automatisierung die SecOps-Schmerzpunkte zu beheben? |
| Zeit zur Identifizierung einer Warnmeldung als Fehlalarm | Kann die Zeit für die Erkennung von Fehlalarmen verkürzt werden? |
| Anzahl der überwachten Geräte | Welche Geräte stellen das größte Angriffsrisiko dar? |
| Anzahl der Vorfälle pro Gerät oder Host | Sind einige Geräte oder Hosts anfälliger für Fehlalarme? |
| Anzahl der Vorfälle pro Dienst oder Anwendung | Sind bestimmte Dienste oder Anwendungen anfälliger für Sicherheitsprobleme und verursachen ein erhöhtes Sicherheitsrisiko? |
| Anzahl der Vorfälle pro Konto | Führen bestimmte Konten (Benutzer) mit höherer Wahrscheinlichkeit zu riskantem Verhalten? |
| Anzahl der zugewiesenen Analysten | Können Ressourcen für die Vorfallreaktion effizienter zugewiesen werden? |
| Durchschnittliche Dauer der Vorfallphasen | Gibt es potenzielle Verbesserungen des Eskalationsprozesses, die die Bearbeitung von Sicherheitsvorfällen effizienter gestalten können? |
| Vorfallquellen | Wie oft erfolgt die Vorfallserkennung manuell durch einen Analysten, bevor ein Ereignis von einer bestimmten Technologie empfangen wird? |
Wie SIEM Ihnen hilft, Security-KPIs zu verfolgen
Ein SIEM bietet Ihnen die Dashboards zum Verfolgen dieser KPIs mit Echtzeitdaten, anstatt sie nachträglich manuell zusammenzustellen. In der Sumo Logic-Kundenbasis verarbeitet SIEM täglich mehr als 1,1 Milliarden Ereignisse, filtert sie auf etwa 10.000 Warnmeldungen auf Dispositionsebene herunter, wo kontextuelle Validierung und Tuning von Fehlalarmen stattfinden, und wendet dann Korrelation an, um dies weiter auf etwa zehn verwertbare Warnmeldungen zu reduzieren. Ohne KPI-Dashboards hat ein SOC keine Möglichkeit, jemandem zu zeigen, was mit den anderen über einer Milliarde Ereignissen passiert ist.
Und mit unserem SOC Analyst Agent empfiehlt er statt einer weiteren Warnmeldung eine spezifische Reaktionsmaßnahme, die darauf abzielt, die MTTR in dem Schritt zu reduzieren, wo die meisten SOCs die meiste Zeit verlieren.
Fazit
Es wird nie einen Satz korrekter Security-KPIs für jede Organisation geben. Die Ziele und Vorgaben jedes Unternehmens unterscheiden sich zwangsläufig, und die KPIs einer Organisation sollten immer ihre individuellen Prioritäten und Umstände widerspiegeln. Mit anderen Worten: Die Security-KPIs Ihrer Organisation sollten eine Funktion der Umgebung und der Ziele Ihres Unternehmens sein.
Sehen Sie, wie SIEM dies vereinfacht. Buchen Sie eine Demo.
