Der zweite Teil einer Serie von Artikeln über Sicherheitsrisiken von Craig Jones, Chief Security Officer, Ontinue
Unser zweiter Artikel in der Serie über Sicherheitsrisiken von Ontinue befasst sich eingehender mit dem Konzept der metrischen Höhen, das ursprünglich in Sicherheitstheater: Fleißige Metriken in der SOC sind eine tolle Show, aber eine schreckliche Verteidigung. Die Verwendung verrauschter Metriken zur Darstellung des Erfolgs von Security Operations Centers (SOCs) mag beeindruckend aussehen, ist aber eine gefährliche und illusorische Messmethode.
Metric Altitudes ist ein von uns entwickeltes Framework, mit dem wir 100% unserer SOC-Metriken in Bezug auf bestimmte Zielgruppen kategorisieren können. So erhalten die wichtigsten Stakeholder ein klares und genaues Verständnis ihrer Verteidigungsposition über den gesamten Erkennungs- und Reaktionszyklus hinweg - und, was besonders wichtig ist, wir können die Auswirkungen der sich entwickelnden künstlichen Intelligenz auf die SOC-Effektivität quantifizieren.
Wie in unserem White Paper beschrieben, Den Hype durchschauen (Seite 4) sollten nur etwa 3% der Warnungen in einem “ruhigen”, strategischen SOC als sofortiger Handlungsbedarf auffallen. Das bedeutet jedoch nicht, dass die restlichen 97% überflüssig sind. Ganz im Gegenteil. Tatsächlich hat jede der verbleibenden 97% Warnungen eine eigene Bedeutung, eigene Maßnahmen und eigene Zielgruppen, um sie richtig zu verstehen und zu behandeln.
Grundsätzliches: Kategorisierung von Sicherheitstheatern in metrische Höhenstufen
Viele Sicherheitsteams kämpfen mit Metriken, die entweder zu abstrakt für die Entscheidungsfindung oder zu taktisch sind, um den Geschäftswert zu demonstrieren. Metriken sind nicht dazu gedacht, beeindruckende Dashboards zu erstellen oder Technologieanschaffungen oder Arbeitsplätze mit unbedeutenden Zahlen zu rechtfertigen. Sie wurden entwickelt, um echte betriebliche Ergebnisse zu messen: schnellere Erkennung, qualitativ hochwertigere Untersuchungen, geringere Belastung des CISO und nachweisliche Risikominderung. Jede der Hunderte von Metriken in der Bibliothek von Ontinue (jetzt verfügbar) ist auf eine der vier Grundlagen von Sicherheitsmaßnahmen zurückzuführen:
Geschwindigkeit
Qualität
Governance
Auswirkungen auf die Wirtschaft
Zusätzlich umfasst jede Metrik:
Berechnungsmethoden
Die genauen Messpunkte, die von bestimmten, bereits vorhandenen Systemen benötigt werden
Was unser Konzept der metrischen Höhen einzigartig praktisch macht, ist, dass es nicht nur definiert, was zu messen ist, sondern auch erklärt wie um sie zu messen.
Dadurch werden auch abstrakte Konzepte wie Mittlere Ermittlungszeit (MTTI) in konkrete Datenerfassungsanforderungen (z. B. "alert_created_time", "validated_time" und die Zeitstempel dazwischen).
In der Bibliothek wird unterschieden zwischen:
Grundlegende Messpunkte - was herkömmliche SOCs heute verfolgen können
AI-instrumentierte Messstellen - zusätzliche Telemetrie erforderlich, um den Beitrag der KI zu verstehen
Mit diesem zweigleisigen System können Unternehmen die Auswirkungen von KI messen durch direkter Vergleich, als eine Annahme.
Gebaut für jeden Stakeholder
Metric Altitudes erkennt eine grundlegende Wahrheit: Verschiedene Zielgruppen benötigen unterschiedliche Ansichten über die Sicherheitsleistung. Zum Beispiel:
Verwaltungsratsmitglieder/CEOs sich um strategische Ergebnisse und Risikominderung kümmern.
CISOs brauchen operative Einblicke in die Dienstleistungsqualität und kontinuierliche Verbesserungen.
Sicherheitsmanager taktische Metriken zur Optimierung der Arbeitsabläufe und der Ressourcenzuweisung benötigen.
In der Bibliothek werden mehr als 100 Metriken auf drei “Höhenstufen” abgebildet, wobei deutlich wird, welche Metriken für welche Zielgruppe wichtig sind:
Strategische
Operativ
Taktische
So wird sichergestellt, dass die Vorstände nicht in taktischen Details ertrinken, während die Manager an der Front die nötige Transparenz erhalten, um laufende Cyberangriffe abzuwehren (im Gegensatz zur wiederholten Reaktion auf routinemäßige tägliche Warnmeldungen).
Schauen wir uns die drei Ebenen und die wichtigsten Kennzahlen*, die für jede Ebene wichtig sind, genauer an.
*Hinweis: Die tatsächlichen Messgrößen sind hier als separater Artikel verlinkt.
1. Vorstandsebene/CEO-Ebene (Der Blick aus 30.000 Fuß Höhe)
Auf Vorstands- und CEO-Ebene müssen Cybersicherheitskennzahlen die Risikovermeidung messen, einschließlich der Aufrechterhaltung des guten Rufs und der Auswirkungen auf die Kapitalrendite (ROI), im Gegensatz zur Transparenz einzelner Warnungen oder Untersuchung Arbeitsabläufe. Sie benötigen klare Daten, die zeigen, dass das Unternehmen die Anfälligkeit für größere Cyber-Ereignisse verringert, den Unternehmenswert schützt und sicherstellt, dass die Sicherheitsinvestitionen effektive Ergebnisse liefern.
Wirksame Kennzahlen auf Vorstands- und Geschäftsführerebene sollten vier grundlegende Fragen beantworten: Wie exponiert sind wir? Verbessern wir uns? Investieren wir in die richtigen Kontrollen? Wie viel Budget wird benötigt, um etwaige Lücken zu schließen?
Die folgenden Beispiele für Kennzahlen sollen Vorständen und Geschäftsführern helfen, Cybersicherheit als eine Funktion der geschäftlichen Widerstandsfähigkeit und nicht als eine rein technische Disziplin zu verstehen.
Zu den wichtigsten zu messenden Parametern gehören:
Finanzielle Risikobelastung: Geschätzte Auswirkungen verschiedener Arten von Bedrohungsszenarien im Quartalsvergleich in Dollar.
Bereitschaft zur Cyber-Versicherung: Status der kritischen Kontrollen, die für die Erneuerung von Policen oder verbesserte Versicherungsbedingungen erforderlich sind.
Benchmarking der Industrie: Vergleich der wichtigsten Defensivindikatoren, wie z. B. die mittlere Zeit bis zur Schadensbehebung (MTTC), mit anderen Organisationen desselben Sektors.
Strategischer ROI: Prozentualer Anteil des Sicherheitsbudgets und der Operationen, die automatisiert und ergänzt werden durch Agentische KI um greifbare Effizienzgewinne zu erklären, die auch die Verteidigung verbessern.
2. CISO-Ebene (Die 10.000-Fuß-Sicht)
Da CISOs an der Schnittstelle zwischen Strategie und Ausführung agieren, müssen Metriken auf dieser Ebene einen klaren Überblick darüber geben, wie effektiv ein Sicherheitsprogramm funktioniert, wo Engpässe bestehen und wo zusätzliche Investitionen oder Prozessänderungen erforderlich sind.
Die Metriken befassen sich mit dem Zustand des Betriebs, der Einhaltung von Vorschriften, der Reife des Sicherheitsprogramms und der kontinuierlichen Verbesserung. Dadurch können CISOs wichtige operative Fragen beantworten, wie z. B.: Verbessern sich unsere Abwehrkräfte? Wo häuft sich das Risiko an? Welche Kontrollen sind unzureichend?
Die folgenden Indikatoren helfen CISOs, Ressourcen effektiv zuzuweisen, Investitionsentscheidungen zu rechtfertigen und den Programmfortschritt gegenüber der Geschäftsleitung zu demonstrieren.
Zu den wichtigsten zu messenden Parametern gehören:
Reifegrad des Programms: Fortschritte gegenüber etablierten Rahmenwerken wie NIST, CSF oder ISO 27001.
Kritische Schwachstelle Burn-down: Durchschnittlich benötigte Zeit für die Behebung von “kritischen” Schwachstellen im Vergleich zu “hoch” eingestuften Schwachstellen.
Sicherheit Schulden: Prozentsatz der Anlagen, bei denen zentrale Kontrollen fehlen, z. B. Endpunkt-Erkennung, Identitätsschutz oder Protokollierung.
Zusammenfassung der Auswirkungen des Vorfalls: Gesamte Ausfallzeiten, Betriebsunterbrechungen oder finanzielle Auswirkungen aufgrund von Sicherheitsvorfällen.
3. SOC Analysten-Ebene (Die Bodenansicht)
An der operativen Front benötigen SOC-Analysten Metriken, die die unmittelbare Verteidigungsleistung widerspiegeln. Diese Informationen helfen den Verteidigern zu verstehen, ob die Ermittlungen schnell genug voranschreiten, ob die Automatisierung sich das Rauschen aneignet und ob das Team echte Bedrohungen eindämmt, bevor sie eskalieren.
Im Gegensatz zu den Metriken der Geschäftsführung müssen diese Messungen genau, schnell und direkt mit den täglichen Arbeitsabläufen verknüpft sein, um einen klaren Einblick in die sofortigen Maßnahmen zu geben, die erforderlich sind 24/7. Außerdem ermöglichen sie es den Verteidigern, die Erkennungslogik, die Untersuchungsabläufe und die Automatisierungsstrategien kontinuierlich zu verbessern.
Zu den wichtigsten zu messenden Parametern gehören:
Aktive Vorfälle mit hohem Schweregrad: Echtzeitzählung der Bedrohungen, die derzeit untersucht oder eingedämmt werden.
AI Autonomierate: Prozentsatz der Warnungen, die vollständig von KI-Agenten gelöst werden, ohne dass ein menschliches Eingreifen erforderlich ist.
Falsch-Positiv-Unterdrückungsrate: Menge an gutartigen Alarmen, die durch Tuning und Automatisierung automatisch unterdrückt werden.
Mittlere Zeit bis zur Triage (MTTT): Zeit von der Erzeugung des Alarms bis zur ersten Ermittlungsmaßnahme durch das SOC.
*Zusätzlich zu diesem Artikel, der als Leitfaden für die Bestimmung und Zuweisung von metrischen Höhen dient, haben wir folgende Informationen zusammengetragen Ontinue's Bibliothek in ein metrisches Höhennetz.
PDF herunterladen: CISO-Vorstand Metriken
PDF herunterladen: Leitfaden für Cyber-Verteidigungsmaßnahmen
