Seis métricas innovadoras para medir la efectividad de la respuesta a incidentes automatizada

A medida que los procesos de respuesta a incidentes continúan transformándose por la automatización, demostrar cómo esta transforma el rendimiento de la respuesta a incidentes será casi imposible sin la habilitación de estas nuevas métricas.

A medida que los equipos de seguridad redefinen las infraestructuras de seguridad de sus organizaciones para lidiar con el panorama de amenazas cambiante, a menudo necesitan demostrar cómo esos cambios impactarán positivamente en la línea de fondo del negocio.

Sin embargo, en 2016, el Instituto SANS encontró que el 71 % de las organizaciones no tienen métricas o mediciones regulares para el rendimiento de la respuesta a incidentes (IR). Si bien este porcentaje ha disminuido en años recientes —el 58 % declaró no tener métricas en 2017—, muchos equipos de seguridad solo verán la necesidad de medir su rendimiento tras un incidente cibernético importante.

Al automatizar los procesos de respuesta a incidentes, se puede ayudar a las empresas a desarrollar un enfoque totalmente nuevo para las métricas de ciberseguridad, reducir costes, aumentar eficiencias y proporcionar objetivos accionables para los gerentes, no solo fortaleciendo sus operaciones de seguridad, sino asegurando que su enfoque de seguridad esté alineado con el negocio. Las seis nuevas métricas incluyen:

1. Coste por incidente (CPI)

La métrica CPI se puede medir como la duración de un incidente multiplicada por la tarifa horaria media para un analista de nivel uno. Muchos equipos de seguridad ejecutarán esa fórmula a través del playbook de IR para cada fase de un incidente, desde la detección hasta la respuesta y remediación.

Usando automatización, no solo se eliminan pasos o flujos de trabajo completos, sino que se entrega aceleración, enormes ahorros de costes y mejora de eficiencia, ya que los equipos pueden centrarse en validar y concluir incidentes, en lugar de perder tiempo en búsquedas infructuosas.

2. Detección automática versus detección manual

Los equipos de seguridad pueden establecer una línea base para determinar la proporción de detecciones que produce la pila de seguridad versus el número combinado de detecciones humanas recibidas.

Para calcular las detecciones humanas, los equipos de seguridad deben determinar el número de detecciones del personal, como un empleado que reconoce que su máquina falla o un administrador de TI que reconoce que un sistema funciona de manera inusual. A esto se suma el número de detecciones externas —como el número de veces que el equipo de seguridad recibe una llamada de administradores de gobierno/TI— y el número de detecciones que el personal de operaciones de seguridad creó manualmente sintetizando datos de su pila de seguridad o SIEM, y esto dará a las organizaciones una idea de la eficiencia del sistema actual.

Al automatizar los procesos de respuesta a incidentes, las empresas pueden esperar que la proporción se incline sustancialmente hacia el lado de la automatización, lo que significa una mejor eficiencia en las operaciones de seguridad.

3. Porcentaje de investigación versus volumen

Las operaciones de seguridad ahora pueden determinar qué se les escapa. Al medir investigaciones versus volumen de alertas, las empresas pueden medir la brecha de riesgo en las operaciones de seguridad actuales. Con procesos de respuesta a incidentes automatizados, el porcentaje de investigaciones por volumen aumentará dramáticamente.

Por ejemplo, si una organización normalmente realiza tres investigaciones por cada 100 alertas (3/100 o 3 %) y luego implementa automatización, que ve una tasa de alerta a conclusión del 10 % y dos investigaciones adicionales (5/10 o 50 %), eso produce un aumento masivo del 1500 % en la efectividad de las operaciones de seguridad.

4. Ratio de investigación a respuesta

Es interés de cualquier organización asegurar que el equipo de operaciones de seguridad desperdicie el menor tiempo posible, y la métrica de ratio de investigación a respuesta puede ayudar a determinar cuántos elementos investigados llevan a un flujo de trabajo de respuesta hasta su finalización.

Automatizar los procesos de respuesta a incidentes conducirá a una convergencia de investigaciones a respuesta, ya que más investigaciones son contra conclusiones validadas, en lugar de meros ataques sospechosos.

5. Tasa de decisión

Esta métrica mide el tiempo que toma tomar una decisión tras la generación de una alerta. No es raro que la «parálisis por análisis» y la incertidumbre de las operaciones de seguridad aumenten los tiempos de permanencia y arriesguen la propagación de un ataque. También quita tiempo de investigar y responder a otros ataques que puedan estar ocurriendo al mismo tiempo.

Al medir la tasa de decisión tanto antes como después de implementar la automatización, el equipo de operaciones de seguridad puede demostrar su agilidad y aumentar la capacidad de respuesta sin agregar escasos recursos humanos.

6. Respuesta de remediación vs reimagen

Esta métrica mide la disrupción del negocio. Cuantas más respuestas remotas y quirúrgicas permitan los procesos automatizados, menos «soluciones de martillo grande» de reimagen del endpoint de un usuario final tienen que ocurrir, lo que significa menos disrupción e inconvenientes para los empleados. Es fácil ver cómo quitarle el portátil a alguien por un día, o derribar un servidor de procesamiento de pagos, puede interrumpir severamente las operaciones de seguridad, incluso cuando las copias de seguridad en caliente y los failovers en clúster son parte de la solución.

Automatizar los procesos de respuesta a incidentes evita tales disrupciones mediante la creación de reglas accionables que pueden iniciar automáticamente la remediación quirúrgica y el análisis profundo.

Métricas como habilitadores

A medida que los procesos de respuesta a incidentes continúan transformándose por la automatización, demostrar cómo esta transforma el rendimiento de la respuesta a incidentes estará cerca de ser imposible sin la habilitación de estas nuevas métricas.

En términos simples, cada una de estas nuevas métricas puede demostrar cómo la automatización de los procesos de respuesta a incidentes no solo puede fortalecer su infraestructura de seguridad, sino también impactar la línea de fondo.

Fuente: Andrew Bushby, director en Reino Unido de Fidelis Cybersecurity