Sechs innovative Kennzahlen zur Messung der Effektivität automatisierter Incident Response

Da Incident-Response-Prozesse zunehmend durch Automatisierung transformiert wird, ist es ohne diese neuen Kennzahlen nahezu unmöglich zu belegen, wie sich die Automatisierung auf die Performance auswirkt.

Sicherheitsteams definieren ihre Sicherheitsinfrastrukturen neu, um der sich wandelnden Bedrohungslandschaft zu begegnen, und müssen oft darlegen, wie sich diese Änderungen positiv auf das Geschäftsergebnis auswirken.

Noch 2016 fand das SANS Institute, dass 71 % der Organisationen keine regelmäßigen Kennzahlen für die Incident-Response-Performance haben. Zwar sank dieser Anteil 2017 auf 58 %, doch viele Teams messen ihre Leistung erst nach einem größeren Cyber-Vorfall.

Die sechs neuen Metriken

1. Cost per Incident (CPI)

CPI wird als Dauer eines Incidents multipliziert mit dem durchschnittlichen Stundensatz eines Tier-1-Analysten berechnet. Viele Teams wenden diese Formel für jede Phase des Incident-Response-Playbooks an – von Detection über Response bis Remediation.

Automatisierung eliminiert nicht nur ganze Schritte oder Workflows, sondern beschleunigt Prozesse, spart enorme Kosten und steigert Effizienz, da Teams sich auf Validierung und Abschluss von Incidents konzentrieren können, statt Zeit mit wilden Verfolgungsjagden zu verschwenden.

2. Automatische Erkennung versus manuelle Erkennung

Sicherheitsteams können eine Basislinie für das Verhältnis der Erkennungen durch den Security Stack versus die kombinierte Anzahl menschlicher Erkennungen festlegen.

Menschliche Erkennungen setzen sich zusammen aus Staff Detections (z. B. Mitarbeiter bemerkt Fehlfunktion), externen Erkennungen (Anrufe von Behörden/IT-Admins) und manuell synthetisierten Daten aus Security Stack oder SIEM. Dies gibt einen Eindruck von der Effizienz des aktuellen Systems.

Durch Automatisierung verschiebt sich das Verhältnis deutlich Richtung Automatisierung – was bessere Effizienz im Security Operations bedeutet.

3. Prozentuale Untersuchungen versus Volumen

Security Operations kann nun ermitteln, was durch die Maschen schlüpft. Durch Messen von Untersuchungen im Verhältnis zum Alert-Volumen lässt sich die Risikolücke im aktuellen Betrieb quantifizieren. Mit automatisierter Incident Response steigt der Prozentsatz der Untersuchungen pro Volumen dramatisch.

Beispiel: Eine Organisation führt typischerweise drei Untersuchungen pro 100 Alerts durch (3 %). Nach Implementierung von Automatisierung mit 10 % Alert-to-Conclusion-Rate und zwei zusätzlichen Untersuchungen (5/10 = 50 %) ergibt das eine 1.500-prozentige Steigerung der Effektivität.

4. Verhältnis von Untersuchung zu Response

Jede Organisation möchte sicherstellen, dass das Security Operations Team so wenig Zeit wie möglich verschwendet. Diese Metrik zeigt, wie viele untersuchte Items zu einem abgeschlossenen Response-Workflow führen.

Automatisierung führt zu einer Konvergenz von Untersuchung und Response, da mehr Untersuchungen gegen validierte Schlussfolgerungen statt bloßer Verdachtsmomente geführt werden.

5. Entscheidungsrate (Rate of Decision)

Diese Metrik misst die Zeit von der Alert-Generierung bis zur Entscheidung. „Analysis Paralysis“ und Unsicherheit verlängern Dwell Times und riskieren die Ausbreitung von Angriffen. Sie binden auch Ressourcen, die für andere Angriffe nötig wären.

Durch Messen der Entscheidungsrate vor und nach Automatisierung kann das Team seine Agilität demonstrieren und die Reaktionskapazität erhöhen, ohne knappe Personaleinsätze.

6. Remediation Response vs. Reimaging

Diese Metrik misst Business Disruption. Je mehr chirurgische, Remote-Responses durch Automatisierung ermöglicht werden, desto weniger „grobe Hammer“-Fixes wie Reimaging von Endpoints sind nötig – was weniger Störungen und Unannehmlichkeiten für Mitarbeiter bedeutet.

Automatisierung vermeidet solche Störungen durch actionable Rules, die automatisch chirurgische Remediation und Deep Analysis anstoßen.

Metriken als Enabler

Da Incident Response weiterhin durch Automatisierung transformiert wird, ist es ohne diese neuen Metriken nahezu unmöglich zu beweisen, wie sich die Performance verändert.

Kurz gesagt: Jede dieser Metriken kann zeigen, wie Automatisierung nicht nur die Sicherheitsinfrastruktur stärkt, sondern auch den Geschäftserfolg beeinflusst.

Quelle: Andrew Bushby, UK Director bei Fidelis Cybersecurity