2023年02月07日
正如現(xiàn)代管理學之父Peter Drucker所言，只有可以被衡量的事才能得到有效管理（what gets measured, gets managed），對于網絡安全建設工作也不例外。企業(yè)如果無法用可量化的指標來衡量網絡安全建設工作，實現(xiàn)有效地安全管理將無從談起。
網絡安全并非一朝一夕的事情。網絡威脅正在不斷發(fā)展，預防網絡威脅所需的流程和技術也在不斷變化?，F(xiàn)代企業(yè)組織需要有適當?shù)拇胧﹣碓u估所投資的安全保障措施是否有效。這很重要，因為：
對關鍵風險指標（KRIs）和企業(yè)安全狀態(tài)值的分析可以為安全團隊提供改善安全運營狀況的意見，幫助組織更好地了解哪些措施是有效的，哪些狀況在惡化，以此作為安全決策的依據；
通過量化的安全建設衡量指標，安全團隊可以向公司管理層和董事會表明，對企業(yè)敏感信息和IT資產的保護工作是有價值的。
本文收集整理了12個可被量化的網絡安全能力建設指標，可以幫助企業(yè)提升安全風險識別和補救的能力。IT安全團隊可以通過這些指標，向公司匯報目前網絡安全工作的開展情況：
1、企業(yè)當前的安全狀態(tài)
評估企業(yè)當前的安全現(xiàn)狀是衡量網絡安全能力的重要指標。例如：在企業(yè)的網絡系統(tǒng)中，已有多少占比的計算設備和應用軟件能夠得到及時的補丁更新？在CIS列舉的 20大企業(yè)安全控制措施中，將漏洞掃描和漏洞管理設置為必須要具備的基礎性防護要求，其他還包括了資產管理、權限管理和日志管理等。?
2、網絡系統(tǒng)中未識別的設備
未識別的設備是指來源和用途未知的計算設備。在許多情況下，未識別的設備并非惡意的。它們可能是工程師創(chuàng)建的新虛擬機，也可能是員工因為工作原因接入的移動設備。但隨著網絡邊界變得越來越模糊，組織將難以確認網絡設備的合法性和安全性。在此背景下，安全團隊更需要系統(tǒng)地跟蹤網絡上有多少未識別的設備。如果企業(yè)檢測到的未知設備突然激增，這表明企業(yè)或將面臨較嚴重的風險隱患。
3、入侵嘗試的數(shù)量
組織受到的入侵嘗試指的是未形成安全事件或后果探測行為，所有成功的入侵事件都可能由其發(fā)展而來。因此，企業(yè)應該將攻擊者嘗試獲得非法訪問的次數(shù)作為安全工作的衡量指標之一，這需要通過防火墻和SOC系統(tǒng)的日志來收集相關情報。
4、已發(fā)生的安全事件數(shù)量
企業(yè)組織已發(fā)生的安全事件指的是攻擊者已經成功實現(xiàn)的攻擊行為，對組織的資產或數(shù)據造成了實際的損失。攻擊者破壞企業(yè)信息資產或網絡的次數(shù)可以作為衡量企業(yè)網絡安全建設不足的重要指標。
5、平均威脅檢測時間（MTTD）
平均威脅檢測時間（MTTD）是IT運營團隊需衡量的標準指標，他們用它來評估識別特定的問題平均用時多久。由于威脅分子使用越來越隱蔽的手法來隱藏攻擊意圖，因此許多企業(yè)很難快速檢測到其面臨的網絡安全威脅，MTTD指標對評估企業(yè)網絡安全能力變得越來越重要。
6、平均威脅處置時間（MTTR）
檢測只是解決網絡安全事件的第一步。平均威脅處置時間（MTTR）反映了安全事件發(fā)生后安全運營團隊的處置效率有多高。如果跟蹤這個指標，就可以評估調整安全運營策略將可以獲得哪些好處。MTTR還可用于評估安全團隊快速解決不同安全事件的能力，比如DDoS攻擊、勒索軟件攻擊和數(shù)據泄漏等。
7、平均威脅響應時間（MTTC）
威脅響應是指在安全事件檢測與有效處置之間的事件應對情況。MTTC在一些方面甚至比MTTR還要重要，因為解決安全事件的總成本很大程度上取決于安全團隊對突發(fā)事件的快速響應能力，響應時間越短，解決問題的成本就會越低。如果企業(yè)需要很長時間才能啟動有效的響應機制和流程，這就反映出整體安全能力建設的不均衡。
8、第一方（First Party）安全評級
安全評級是指通過易于理解的評分向非技術人員傳達安全事件程度的方法。它可以為組織提供清晰完整的網絡安全風險評估，并幫助告知需要注意哪些信息安全指標。在安全評級時，可以包括網絡釣魚風險、電子郵件欺騙、社會工程風險、DMARC、中間人攻擊風險、數(shù)據泄露風險和漏洞狀況等具體指標項。
9、補丁修復的時間
網絡犯罪分子正在大量使用威脅情報工具，以利用補丁發(fā)布和實際修補之間的時間差。因此，企業(yè)應準確了解實施應用程序安全補丁或緩解CVE列出的高風險漏洞需要多長時間？典型的事例就是勒索軟件“WannaCry”的廣泛破壞，雖然其所利用的“永恒之藍（EternalBlue）”漏洞很快就被修補，但由于很多企業(yè)的補丁更新工作不夠及時，結果還是淪為了受害者。
10、訪問管理和控制
現(xiàn)代IT環(huán)境的訪問控制策略十分復雜。不同的網絡基礎設施（比如公有云和本地服務器）通常需要配置不同的訪問控制方法，因而需要使用不同的設備和策略。為此，企業(yè)需要全面而詳細的訪問控制管理技術，比如云安全態(tài)勢管理（CSPM）和云基礎設施權限管理（CIEM）。有很多安全分析策略可以跟蹤訪問控制配置中的用戶和角色數(shù)量等指標。企業(yè)還可以衡量訪問控制策略變化的頻率。這些指標若出現(xiàn)異常波動，很大程度上表明可能已經存在安全問題。
11、同行業(yè)安全能力比較
安全團隊向董事會級別進行工作報告時，一種重要的主題就是，企業(yè)目前的網絡安全狀況如能力，與所在行業(yè)的同行企業(yè)相比如何。這些匯報信息和評價指標更容易被管理層所理解，且在視覺上更加具有吸引力，容易受到非專業(yè)性領導的關注。
12、供應商安全評級與能力評價
組織面臨的網絡安全威脅形勢早已超出了組織自身范疇，因此評價安全能力的指標也需要同步發(fā)展。這就是為什么開展供應商風險管理和應用第三方風險管理框架將是加強企業(yè)安全能力建設的重要方面。通過持續(xù)監(jiān)控供應商安全風險，組織可以大大降低供應鏈安全事件發(fā)生的概率。供應商在遭受安全事件后，響應事件所需的時間越長，企業(yè)遭受第三方數(shù)據泄露的可能性就越大。
結語
企業(yè)組織在制定網絡安全建設工作的KPI方面并沒有硬性規(guī)定。上述這些指標的選用將取決于企業(yè)的應用需求、法規(guī)監(jiān)管、指導方針等多個因素，并參考企業(yè)組織對安全風險的容忍度和接受度。對安全團隊而言，最重要的考核指標之一是成本因素，向企業(yè)管理層和董事會展示的工作目標中，要能夠清晰說明網絡安全如何為組織節(jié)省資金或創(chuàng)造額外收入?？紤]到目前的數(shù)字化轉型發(fā)展趨勢和網絡安全威脅狀況，做到這一點并不困難。
文章來源：安全牛