Метрики безопасности Security Metrics
Простыми словами
Самый большой подраздел главы 5 — и при этом процесс, которого нет в перечне разд. 2.2: там состав эксплуатации кончается соответствием, а метрики появляются только в главе 5 и в чек-листе прил. B. Ради чего строка вообще есть, сказано прямо: «The primary purpose of security and risk metrics is decision support», а не отчётность. Отсюда различение, которое нарушают чаще всего: «Useful metrics measure how a process or system behaves, where the metric value will change according to process or system behavior», тогда как «a structural component which is not likely to be affected by process or system behavior may have a measurement but is not a useful metric». Число серверов — измерение; доля интерфейсов с проверкой входных данных — метрика. Второе требование практическое: метрики собираются постоянно, поэтому дорогие в сборе не годятся.
Примеры
Разд. 5.9.3 требует описать метрику десятью полями, среди них «Required logic, algorithms, or formulae (Measurement Procedure in O-ISM3)», «Frequency of measurement (Measurement Frequency in O-ISM3)» и «Benchmark or goal (Target Value in O-ISM3)». Без эталона метрика не читается.
O-ESA (The Open Group Guide G112), разд. 5.9.3 — что такое метрика безопасности
Метрика обязана быть воспроизводимой, дешёвой в сборе, иметь единицы измерения и выражаться числом: «Give the results as a percentage, ratio, or some other kind of actual measurement». Зелёный, жёлтый и красный этому не отвечают.
O-ESA (The Open Group Guide G112), разд. 5.9.5 — применение метрик безопасности
Разд. 5.9.6 разводит метрики времени проектирования, развёртывания и выполнения; последние особенно ценны, потому что «Runtime metrics are critical because they show both the threats and vulnerabilities».
O-ESA (The Open Group Guide G112), разд. 5.9.6 — типы метрик по моменту съёма
Определение из первоисточника
дословная выпискаSecurity metrics offer objective methods to track and communicate the overall maturity of the security architecture. Because security issues manifest themselves in both technical terms (like vulnerabilities) and business terms (like availability outages), the security metrics field is expanding to fill the age-old gap between IT and the business. This section describes some currently observed practices around information security operational metrics. These are necessary but not sufficient for an overall security metrics program.
Метрики безопасности дают объективные способы отслеживать и доносить общую зрелость архитектуры безопасности. Поскольку проблемы безопасности проявляются и в технических терминах (например, уязвимости), и в деловых (например, простои доступности), область метрик безопасности расширяется, заполняя давний разрыв между ИТ и бизнесом. В этом разделе описаны некоторые наблюдаемые сегодня практики операционных метрик информационной безопасности. Они необходимы, но недостаточны для полноценной программы метрик безопасности.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Модель данных метрики (разд. 5.9.3, имена по O-ISM3): имя, описание, назначение, требуемые источники данных, требуемая логика или формула (Measurement Procedure), частота измерения (Measurement Frequency), единицы измерения (Units), эталон или цель (Target Value), визуализация, отчёт. Три типа метрик (таблица 4): Reporting Metrics, Predictive Models, Real-time Metrics. Процесс метрик (разд. 5.9.7): Interpret, Investigation, Representation, Diagnosis, Report.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormРеестр процессовИмитационное моделированиеАрхитектура систем и интеграций