Es importante que los directores de seguridad de la información (CISO) realicen un control de determinadas métricas para medir la eficiencia de su SOC y comprobar hasta qué punto han alcanzado sus objetivos. Esto les ayuda a percibir cómo ha progresado la función de seguridad en cada una de las métricas a lo largo del tiempo. Los KPI de seguridad informática también ayudarán a los CISO a compararse con los estándares del sector y comprender las áreas críticas de mejora.
El control de estos KPI también puede ayudar a los CISO a comunicarse claramente con la junta directiva. Proporcionar información sobre las métricas clave ayudará a los CISO a obtener la financiación presupuestaria necesaria y decidir cómo utilizar el presupuesto de forma eficiente.
Echemos un vistazo a cada una de estas métricas y a la información que puede obtener al controlarlas.
∙ Tasa de incidentes. ¿El número de incidentes se reduce mes a mes? En caso afirmativo, ¿en cuánto? Su control ayudará a los CISO a medir la efectividad de sus tecnologías de detección, como SIEM.
∙ Probabilidad de violación de la seguridad. ¿Cuál es la probabilidad de que se produzca una violación con los controles de seguridad actuales? Si se produjera el número estimado de violaciones de seguridad probables, ¿cuál sería el impacto de la violación?
∙ Costo por incidente. ¿Cuál es el costo total asociado a un incidente de seguridad en la organización? ¿Es mayor o menor que las normas del sector? Esto indicará a los CISO si van por buen camino o si es necesario corregir el rumbo para reducir los costos.
∙ Exposición al riesgo. ¿Cuál es el estado de su exposición al riesgo teniendo en cuenta la probabilidad de violación de la seguridad y su impacto? Controlar esto puede ayudar a los CISO a conseguir la aprobación de presupuestos y evitar ataques indeseables.
∙ Nivel de gravedad de una violación de la seguridad. En una escala del 1 al 5, ¿cuál es la gravedad de las violaciones de la seguridad? ¿Cuántas violaciones de la seguridad superan el nivel tres? Controlar esto proporcionará a los CISO un reflejo real de la postura de seguridad de su organización.
∙ Tiempo medio de detección (MTTD). ¿Con qué rapidez detecta el equipo de seguridad las amenazas? ¿Puede la organización reducir su MTTD invirtiendo en una solución SIEM para frustrar rápidamente los ataques cibernéticos? Si la organización ya dispone de una solución SIEM, ¿ha mejorado su MTTD?
∙ Tiempo medio de respuesta, recuperación y resolución. ¿Cuál es el tiempo medio de respuesta, recuperación y resolución completa de un incidente de seguridad? Controlar esto puede ayudar a los CISO a identificar si su tiempo medio de respuesta, recuperación y resolución de incidentes está mejorando con el tiempo. Esto reflejará el rendimiento de su equipo y su solución SIEM.
∙ Tiempo medio de aplicación de parches (MTTP). ¿Con qué rapidez aplica el equipo de seguridad los parches a los programas y aplicaciones vulnerables? Una implementación más rápida por parte del equipo de seguridad deja a los CISO menos incidentes de los que preocuparse.
∙ Nivel de madurez de la seguridad. Los CISO deben utilizar marcos de seguridad informática para determinar el nivel de madurez de seguridad de su organización. Identificar esto puede ayudarles a desarrollar un plan para elevar su madurez de seguridad a un nivel superior.
∙ Porcentaje de usuarios que no utilizan la MFA. ¿Cuántos usuarios no utilizan la MFA? ¿Esta cifra disminuye mes a mes? Controlar esto puede ayudar a las organizaciones a prevenir ataques cibernéticos.
∙ Frecuencia de las copias de seguridad. ¿Con qué frecuencia realizan las organizaciones copias de seguridad de sus datos? Si mañana se produjera un ataque, ¿cuál sería el alcance del impacto en su negocio? ¿Cuándo podría reanudar su actividad?
∙ Porcentaje de usuarios en lista de vigilancia. Los CISO deben saber cuántos usuarios de riesgo hay en su organización y quiénes son. ¿Este porcentaje disminuye mes a mes? Si un empleado intentara un ataque interno, ¿sería capaz su solución SIEM de identificarlo y frustrarlo en tiempo real?
∙ ROI. ¿Observa el CISO un ROI positivo de su gasto en seguridad? Su control repercutirá positivamente en las futuras aprobaciones de presupuestos de seguridad de su junta directiva.
Para obtener más información, lea nuestro ebook: Manual del CISO: Métricas, presupuestos y liderazgo en seguridad informática.
