Kumpulan untuk Melepaskan Metrik Seragam untuk Mengukur Keselamatan IT

Pusat Keselamatan Internet (CIS) ditetapkan untuk melepaskan garis panduan untuk bagaimana perusahaan boleh mengukur keadaan keselamatan organisasi mereka dan melancarkan perkhidmatan untuk syarikat untuk membandingkan prestasi mereka dengan rakan sebaya mereka.

Projek CIS terkini bertujuan untuk menyelesaikan kekeliruan dan kekurangan keseragaman dalam cara untuk mengukur sama ada keselamatan perusahaan atau organisasi IT bertambah baik atau tidak, kata Bert Miuccio, Ketua Pegawai Eksekutif CIS.

"Masalah yang telah kita kenali adalah keselamatan maklumat profesional benar-benar semakin bingung tentang bagaimana untuk menentukan kejayaan, "kata Miuccio. "Mereka tahu bahawa pematuhan terhadap keperluan pengawalseliaan dan rangka kerja audit tidak semestinya menghasilkan keselamatan yang lebih baik dan bukan merupakan langkah terbaik untuk berjaya."

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

CIS adalah organisasi bukan untung yang dibiayai oleh perusahaan dan organisasi lain yang mempunyai kepentingan dalam keselamatan. Sejak dibentuk pada tahun 2000, ia telah mencipta 40 tanda aras untuk konfigurasi keselamatan lalai untuk perisian dari sistem operasi kepada middleware untuk peranti rangkaian. Penanda aras, yang merupakan muat turun percuma di laman web CIS, bertujuan untuk membantu organisasi mengurangkan risiko keselamatan IT.

Setiap profesional keselamatan mempunyai definisi yang berbeza untuk menilai langkah-langkah keselamatan, kata Miuccio. CIS telah mengumpulkan 85 pakar keselamatan maklumat untuk bersetuju dengan kaedah untuk mengukur lapan metrik yang berbeza. Metrik itu perlu dikeluarkan pada akhir bulan Oktober atau awal November, Miuccio berkata.

Dua adalah "hasil" metrik: masa min antara insiden keselamatan dan masa min untuk pulih dari insiden keselamatan. Baki enam berkaitan dengan proses: peratusan sistem yang dikonfigurasi untuk standard yang diluluskan; peratusan sistem ditetap kepada dasar; peratusan sistem dengan teknologi antivirus; peratusan aplikasi perniagaan yang mempunyai penilaian risiko; peratusan aplikasi perniagaan yang mempunyai penembusan atau penilaian kerentanan; dan peratusan kod aplikasi yang mempunyai penilaian keselamatan atau semakan kod sebelum penggunaan.

Bersama dengan metrik, rancangan CIS untuk melancarkan masa yang sama sebuah perkhidmatan berasaskan perisian untuk syarikat membandingkan bagaimana mereka lakukan, dari segi keselamatan, terhadap syarikat-syarikat tanpa nama lain di pasaran mereka menegak. Perbandingan jenis ini sudah biasa digunakan untuk keputusan kewangan dan aspek prestasi perniagaan lain seperti perkhidmatan pelanggan.

"Itu tidak dilakukan dalam keselamatan maklumat hari ini," kata Miuccio. "Kami percaya bahawa perkhidmatan ini akan mula membolehkannya."