如何選擇正確的安全指標來衡量？

在決定測量什么時，我們建議您考慮以下一些事項。

決定你想要實現什么

每家公司都有不同的需求。重要的是不要為了衡量而衡量——選擇對您的業務真正重要的指標。舉幾個例子……

• 一家公司仍處于預防模式，而另一家公司正試圖從嚴重的攻擊中恢復。
• 一家公司的目標是改進其技術堆棧，而另一家公司需要提高其員工的網絡意識。
• 一家公司正在從頭構建其網絡安全，而另一家公司則擁有一個大型專門部門。

因此，請先確定您的網絡安全目標。然后，將其分解為可衡量的不同方面和領域，然后再確定確切的指標。

選擇可實現的安全指標

將指標分解成更小的部分會很有幫助。這樣做的目的是讓你的團隊快速獲勝，并激勵他們保持正軌，及時實現雄心勃勃的更高目標。畢竟，《財富》雜志最近的一份報告發現，目標無法實現與焦慮加劇之間存在聯系。?

驗證您的測量是否可以受時間限制

最好的指標是按計劃進行衡量，以便在下一個截止日期之前實現某些改進。在這種情況下，截止日期也需要是可以實現的，并且隨著您的技術變得更加智能以及您的團隊獲得技能和實踐而逐漸擴大。通過定期報告和審查來保持責任感。讓每個人都知道時間表以及到那時需要實現的目標，這樣他們就可以將其分解為可操作的步驟。

每個工程師都應該知道的7個關鍵安全指標

讓我們回顧一下您需要了解的一些安全指標、它們為何重要以及如何衡量它們。

用戶訪問控制

用戶訪問控制可幫助您驗證只有經過身份驗證的必要身份才能訪問您公司的資源。

為什么至關重要：?82%的公司在沒有充分理由的情況下向第三方供應商提供高度特權的角色。事實上，在 2022 年，錯誤配置的訪問權限造成了一個小的安全漏洞，導致150 萬個敏感數據文件暴露給公眾。當這些特權未被使用和無人監督時，黑客很容易在不被發現的情況下闖入。用戶訪問控制可防止不受歡迎且通常很危險的身份訪問組織的敏感部分。如果您采用強烈推薦的零信任或最小特權框架，則可以確保每個團隊成員和機器都具有良好表現所需的訪問權限 – 但僅此而已。

工程師如何衡量：首先跟蹤您提供的權限數量和登錄百分比。如果您發現訪問權限百分比很高，但使用百分比卻很小，那么是時候撤銷未使用的訪問權限了。您還可以衡量最常用的訪問權限類型（例如，哪些角色更多地使用他們對特定資源的訪問權限），以更好地了解真正需要什么。

平均檢測時間 (MTTD)

該指標是關于您的技術和/或團隊檢測威脅所需的時間。

為何至關重要： 威脅在系統中存在的時間越長，問題升級的可能性就越大。例如，黑客可能會進一步侵入您的系統，獲取更多敏感數據。

工程師如何測量： 跟蹤從事件發生到發現威脅所用的時間。也許有一次需要 15 分鐘，另一次需要 75 分鐘，還有一天需要 125 分鐘。然后，將所有這些時間（15 + 75 + 120 = 210）相加，除以事件數量（3），即可得出平均檢測時間 (MTTD)。在本例中，您的 MTTD 為 70 分鐘。如果您有相關工具，則無需手動執行此操作。無論如何，您的目標是展示如何隨著時間的推移減少此安全指標。

漏洞發現率

您在組織中發現了多少新漏洞？這些漏洞可能包括未修補的軟件、易受攻擊的代碼依賴項、基礎架構配置錯誤以及薄弱的授權憑據。

為什么它至關重要：?漏洞是黑客進入您網絡的接入點。您需要發現它們以確保它們不會被利用。工程師如何測量它：測量您發現的新漏洞
數量以及該數量隨時間的變化情況。如果數量上升，就該調查原因了。另一方面，如果您突然發現數量大幅下降，也要注意。重要的是分析您的檢測軟件是否不再適合您，或者這是否是好消息，例如您的團隊在減少漏洞方面正在進步。

平均解決時間 (MTTR)

一旦檢測到威脅， MTTR 會讓您知道解決威脅以及恢復安全和完整的系統功能的速度。

為什么它至關重要：與 MTTD 類似，解決問題的速度越快，問題就越不嚴重（且成本越低）。

工程師如何測量：與 MTTD 類似，您可以測量從事件發生到解決所需的時間，然后將其除以事件數量即可得出您的 MTTR。除此之外，您可以努力不斷減少這個數字。

遵守合規性

網絡安全的一部分是確保企業遵守涉及數據隱私和完整性等方面的法規和法律。

為何至關重要： 不遵守規定可能會導致巨額罰款或認證被吊銷。這可能會對客戶和潛在客戶信任貴公司的能力產生負面影響。畢竟，不遵守規定可能表明貴組織存在漏洞，而委托給您的數據并不安全。

工程師如何衡量：分解下一次審核需要做什么，并創建安全指標以提前檢查內部審核。定期進行內部審核并對其進行評分。最后，您可以努力提高每次的分數。

網絡安全和事件管理的成本

到 2028 年，網絡安全管理成本將增加近70%。它需要很多資源——人力資源、硬件、軟件，還有……是的，遭受攻擊的成本。

為何至關重要： 降低事件管理成本以及通過結合高效技術和員工培訓來提高資源利用率，可以直接影響公司的盈利能力和成功能力。當您這樣做時，向管理層證明您為什么需要額外資源就更容易了。
工程師如何衡量：您可以先計算通過妥善管理事件節省的成本。包括損失工作時間或公司資產的成本或組織本應支付的監管罰款。同樣，如果您正在采用新軟件，請跟蹤它為您的團隊節省了多少時間以及他們如何利用這些時間來進一步保護公司。

你的競爭對手表現如何

檢查您的網絡安全管理與同行相比如何。

為什么至關重要：如果您在網絡安全方面表現更好，這可能是一種市場優勢，特別是如果您在或服務于受到嚴格監管的行業。了解您的公司在某些指標上“落后”可以讓您采取行動，在公司遭受業務影響之前縮小差距。 

工程師如何衡量：您可以使用允許匿名指標比較的網絡安全管理軟件產品或邀請您的同行進行匿名調查。

測量、監控、重復

68% 的公司正在轉向 […] 讓開發人員共同承擔安全軟件開發生命周期的責任。了解和衡量關鍵安全指標至關重要，但您不必全部手動完成。

API安全

除了上述提到的安全指標，冪簡集成認為API安全也是不可忽視的一項。

API 在現代數字架構中占據著核心地位，因為它們能夠無縫集成各種系統，增強互操作性和數據交換。這種重要性意味著 API 安全性不應是次要考慮因素，而應是數據安全的基本要求。?

現代應用程序嚴重依賴 API 來運行并與第三方應用程序和軟件進行通信。API 允許外部客戶端高效無縫地請求數據和服務，但存在固有的安全風險。 非常 API 的功能使其對企業有價值 — 應用程序和系統之間的無縫數據交換 — 也使它們成為黑客的有吸引力的目標，因為它們在數據架構中引入了更多的漏洞。 

與 API 相關的違規行為正在增多， 60％的組織 過去兩年內，有 74% 的組織經歷了三次或三次以上的入侵，23% 的組織經歷了六次以上。這些數字表明安全漏洞一直存在。API 數據泄露的后果非常嚴重，受影響的組織面臨知識產權盜竊、財務損失和品牌受損。

文章來源：7 Crucial Security Metrics Every Engineer Must Know