Skupina vydává jednotné metriky pro měření bezpečnosti IT

Centrum pro internetovou bezpečnost (CIS) je připraveno vydat pokyny pro to, jak podniky mohou měřit stav zabezpečení své organizace a spustit službu pro společnosti, aby porovnaly jejich výkony se svými vrstevníky.

Nejnovější projekt CIS je zaměřen na řešení zmatek a nedostatečné jednotnosti způsobů, jak měřit, zda se IT bezpečnost podniku nebo organizace zlepšuje či nikoliv, uvedl generální ředitel CIS Bert Miuccio. "" Problém, který jsme si uvědomili, je, že informační bezpečnost profesionálové skutečně stále více zmátli, jak definovat úspěch, "řekl Miuccio. "Vědí, že dodržování regulačních požadavků a rámců auditu nemusí nutně znamenat lepší bezpečnost a nejsou nejlepším měřítkem úspěchu."

[Další informace: Jak odstranit malware z počítače se systémem Windows]

CIS je neziskové organizace financované podniky a dalšími organizacemi se zájmem o bezpečnost. Od svého založení v roce 2000 vytvořilo 40 referenčních bodů pro výchozí konfigurace zabezpečení pro software od operačních systémů po middleware až po síťová zařízení. Měřítka, které jsou volně ke stažení na webu CIS, mají pomoci organizacím snížit bezpečnostní rizika.

Každý bezpečnostní odborník má různé definice, jak hodnotit bezpečnostní opatření, uvedl Miuccio. CIS shromáždil 85 odborníků na bezpečnost informací, kteří se dohodli na metodách měření osmi různých metrik. Metrika by měla být zveřejněna koncem října nebo začátkem listopadu, řekl Miuccio.

Dvě jsou metriky "výsledku": střední doba mezi bezpečnostními událostmi a střední dobou obnovení z bezpečnostních událostí. Zbývajících šest se vztahuje k procesu: procento systémů nakonfigurovaných podle schválených standardů; procentní podíl systémů, které jsou zpoplatněny politikou; procento systémů s antivirovou technologií; procentuální podíl obchodních aplikací, které mají hodnocení rizik; procentuální podíl obchodních aplikací, které mají hodnocení penetrace nebo zranitelnosti; a procentuální podíl kódu aplikace, který má před nasazením hodnocení bezpečnosti nebo kódování.

Společně s metrickými údaji plánuje CIS spouštět ve stejnou dobu softwarovou službu pro společnosti, aby porovnala, jak dělají, pokud jde o zabezpečení, proti jiným anonymním společnostem na svém vertikálním trhu. Tento typ srovnání je již běžně používán pro finanční výsledky a další aspekty výkonu podnikání, jako je zákaznický servis.

"To dnes není v oblasti bezpečnosti informací," řekl Miuccio. "Věříme, že tato služba začne to umožňovat."