自動化インシデント対応の効果を測る6つの革新的指標

インシデント対応プロセスが自動化によって変革され続ける中、これらの新しい指標なしでは、自動化がインシデント対応パフォーマンスをどう変えるかを証明することはほぼ不可能です。

セキュリティチームが変化する脅威環境に対応するためにセキュリティインフラを再定義する際、それらの変更がビジネスのボトムラインにどう好影響を与えるかを示す必要に迫られることが多々あります。

しかし、2016年にSANS研究所が調査したところ、71%の組織がインシデント対応（IR）パフォーマンスの定期的な指標や測定を持っていませんでした。この割合は近年減少傾向にあります（2017年は58%が指標を持っていないと回答）が、多くのセキュリティチームは大規模なサイバーインシデントが発生して初めてパフォーマンス測定の必要性を認識します。

>関連記事: セキュリティ運用：自動化は「自動」を意味するのか？

インシデント対応プロセスを自動化することで、企業はサイバーセキュリティ指標への全く新しいアプローチを開発し、コスト削減、効率向上、管理者への実行可能な目標設定が可能になります。これによりセキュリティ運用を強化するだけでなく、セキュリティアプローチがビジネスと整合することを保証できます。6つの新しい指標は以下の通りです。

1. インシデント当たりコスト（CPI）

CPI指標は、インシデントの継続時間にティア1アナリストの平均時給を乗じて測定できます。多くのセキュリティチームは、この式をIRプレイブックの各フェーズ（検知から対応、修復まで）に適用します。

>関連記事: セキュリティ自動化：IT生産性とネットワークレジリエンスの向上

自動化を活用すれば、工程やワークフロー全体を削減できるだけでなく、大幅なコスト削減と効率改善を実現し、チームは野放図な追跡に時間を浪費する代わりに、インシデントの検証と結論に集中できます。

2. 自動検知 vs 手動検知

セキュリティチームは、セキュリティスタックが生成する検知数と、人間による検知数の合計の比率を基準として設定できます。

人間による検知を算出するには、スタッフによる検知数（従業員が自分のマシンの不具合に気づく、IT管理者がシステムの異常な挙動に気づくなど）、外部からの検知数（政府やIT管理者からセキュリティチームへの連絡回数）、セキュリティ運用スタッフがセキュリティスタックやSIEMからデータを手動で統合して作成した検知数を合計します。これにより、現在のシステム効率が把握できます。

>関連記事: モビリティの要求：セキュリティと自動化が手を携える必要性

インシデント対応プロセスを自動化すれば、この比率が自動化側に大きく傾き、セキュリティ運用効率が向上します。

3. 調査率 vs アラート量

セキュリティ運用は、何が見逃されているかを特定できます。調査数とアラート量を比較することで、現在のセキュリティ運用におけるリスクギャップを測定できます。自動化されたインシデント対応プロセスでは、量あたりの調査割合が劇的に増加します。

例えば、通常100アラートに対して3件の調査（3%）を行っている組織が、自動化導入によりアラート対結論率10%と追加2件の調査（10件中5件、50%）を実現した場合、セキュリティ運用効果は1,500%増大します。

4. 調査対応比率

セキュリティ運用チームが可能な限り時間を無駄にしないことは、あらゆる組織の利益となります。調査対応比率指標は、調査された項目のうち、何件が対応ワークフローの完了に至ったかを把握するのに役立ちます。

>関連記事: 2018年のサイバーセキュリティ予測

インシデント対応プロセスを自動化すれば、調査が単なる疑わしい攻撃ではなく検証済みの結論に対して行われるため、調査と対応の収束が進みます。

5. 意思決定率

この指標は、アラート発生から意思決定までの時間を測定します。「分析麻痺」やセキュリティ運用の不確実性がドウェルタイムを増大させ、攻撃の拡散リスクを高めることは珍しくありません。同時に、他の進行中の攻撃の調査・対応から時間を奪われます。

自動化導入前後で意思決定率を測定することで、セキュリティ運用チームは機敏さを実証し、貴重な人員リソースを追加せずに対応能力を向上できます。

6. 修復対応 vs 再イメージ化

この指標はビジネス中断を測定します。自動化プロセスによって実現されるより外科的なリモート対応が増えれば、「大ハンマー」的な修正、つまりエンドユーザーのエンドポイントを再イメージ化する必要が減り、従業員への業務中断と不便が軽減されます。誰かのノートPCを1日預かったり、決済処理サーバーを停止したりすれば、ホットバックアップやクラスターフェイルオーバーがあっても、セキュリティ運用に深刻な支障をきたします。

>関連記事: 小売支店ITのサイバーセキュリティ課題

インシデント対応プロセスを自動化すれば、自動的に開始される外科的修復と深層分析のための実行可能なルールを作成することで、こうした中断を回避できます。

指標としてのイネーブラー

インシデント対応プロセスが自動化によって変革され続ける中、これらの新しい指標なしでは、自動化がインシデント対応パフォーマンスをどう変えるかを証明することはほぼ不可能です。

端的に言えば、これらの新指標それぞれが、インシデント対応プロセスの自動化がセキュリティインフラを強化するだけでなく、ボトムラインにも影響を与えることを示せます。

 

提供：アンドリュー・ブッシュビー、Fidelis Cybersecurity UKディレクター