Az informatikai biztonság mérésére egységes mérőszámú csoportok

Az Internet Biztonsági Központ (CIS) arra irányul, hogy kiadjon iránymutatásokat arról, hogy a vállalatok miként mérhetik szervezetük biztonságát, és elindíthatnak egy szolgáltatást a vállalatoknak, hogy összehasonlítsák teljesítményüket társaikkal.

A legújabb CIS-projekt hogy a vállalkozás vagy a szervezet informatikai biztonsága javuljon, vagy sem - mondta Bert Miuccio, a CIS vezérigazgatója. "A probléma, amelyet elismernünk, hogy az információbiztonság a szakemberek egyre inkább összezavarodnak a siker meghatározásában "- mondta Miuccio. "Tudják, hogy a szabályozási követelményeknek és az ellenőrzési kereteknek való megfelelés nem feltétlenül eredményezi a biztonságot, és nem a legjobb sikertelenségek."

[További olvasmány: Hogyan távolítsuk el a rosszindulatú programokat Windows számítógépről]

A CIS egy nonprofit szervezet, amelyet a vállalkozások és más, a biztonság szempontjából érdekelt szervezetek finanszíroztak. 2000-ben alakult, 40 alapértelmezést hozott létre az alapértelmezett biztonsági konfigurációkhoz az operációs rendszerektől kezdve a middleware-től a hálózati eszközökig. A CIS webhelyen ingyenesen letölthető referenciaértékek célja, hogy segítsék a szervezeteket az informatikai biztonsági kockázatok csökkentésében.

Minden biztonsági szakembernek különböző definíciói vannak a biztonsági intézkedések értékelésére vonatkozóan, mondta Miuccio. A CIS 85 információbiztonsági szakértőt állított össze, hogy megegyezzen a nyolc különböző mutatószámmérés módszerével. A mutatókat október végén vagy november elején kell kiadni, Miuccio szerint.

Két "kimenetel" metrika: a biztonsági események közötti átlagos idő és a biztonsági események visszaszerzésének átlagos ideje. A fennmaradó hat a folyamathoz kapcsolódik: a jóváhagyott szabványokhoz rendelt rendszerek százalékos aránya; a politikákhoz rendezett rendszerek százalékos aránya; vírusirtó rendszerek százalékos aránya; kockázatértékeléssel rendelkező üzleti alkalmazások százalékos aránya; az olyan üzleti alkalmazások százalékos aránya, amely penetrációval vagy sérülékenységgel rendelkezik; és a telepítés előtti biztonsági értékelés vagy kódfelmérés alkalmazáskódjának százalékos aránya.

A mutatók mellett a CIS egyidejűleg egy szoftveralapú szolgáltatást is bevezet a cégek számára, hogy összehasonlíthassák azt, hogyan csinálják, a biztonság szempontjából, más, névtelen cégekkel szemben a piaci vertikumukban. Ez a fajta összehasonlítás már általánosan használatos a pénzügyi eredmények és az üzleti teljesítmény egyéb szempontjai, például az ügyfélszolgálat számára.

"Ez ma nem történt meg az információbiztonság terén" - mondta Miuccio. "Úgy gondoljuk, hogy ez a szolgáltatás elkezdi engedélyezni ezt."