¿Cómo miden su éxito los profesionales de la seguridad? [cerrado]

Muchas personas, incluidos muchos profesionales de la seguridad, ven la seguridad en términos binarios: o estamos seguros o no. Esta es una perspectiva ridícula desde todos los lados.

La seguridad consiste en comprender, medir y administrar risk.

Para poner esto en términos de su lente propuesta de 'éxito':

1. ¿Nos ha sorprendido una amenaza y el impacto que se ha materializado?
2. ¿Hemos estado monitoreando y calculando el impacto de las amenazas que conocemos y la efectividad de nuestras mitigaciones en comparación con las amenazas e impactos que se materializaron?
3. ¿Hemos estado ajustando nuestras mitigaciones en respuesta a las amenazas en evolución para que cuando se materialicen, el impacto sea tolerable?

Si podemos decir "sí" a esos, entonces hemos tenido éxito.

Así es como se mide el éxito de un programa de seguridad de una organización, y así se mide su éxito personal como profesional de la seguridad.

Perseguir el estado de "seguro" es una tarea tonta, especialmente si se considera la realidad de 0 días y el hecho de que la operación segura de una organización depende completamente de personas que no son de seguridad (e incluso las personas de seguridad se equivocan a veces). ).

El camino hacia el éxito es sobre risk y resiliency .

Hay mediciones positivas y negativas, depende de cómo implementamos las mediciones.

Algunos ejemplos son los siguientes:

Medidas positivas:

1. Disminuir los incidentes notificados: disminución porcentual de las brechas de seguridad notificadas a la mesa de servicio
2. Disminución del impacto de los incidentes de seguridad: disminución porcentual del impacto de las violaciones e incidentes de seguridad
3. Aumento de la conformidad de SLA: aumento porcentual de la conformidad de SLA a las cláusulas de seguridad.

Medidas negativas:

1. Conformidad con el cumplimiento y la Política - Número de infracciones de incidentes Cumplimiento & Política
2. Número de medidas preventivas implementadas: número de medidas de seguridad preventivas que se implementaron en respuesta a las amenazas de seguridad identificadas
3. Duración de la implementación: la duración desde la identificación de una amenaza a la seguridad hasta la implementación de una medida para contrarrestar adecuada
4. Número de incidentes de seguridad importantes: número de incidentes de seguridad identificados, clasificados por categoría de gravedad
5. Número de tiempos de inactividad relacionados con el servicio de seguridad: número de incidentes de seguridad que causan la interrupción del servicio o la disponibilidad reducida
6. Número de pruebas de seguridad Número de pruebas de seguridad y capacitación realizadas
7. Número de deficiencias identificadas durante las pruebas de seguridad - Cantidad de deficiencias identificadas en los mecanismos de seguridad que se identificaron durante las pruebas

Fuente: enlace