14 métricas de segurança cibernética + KPIs que você deve acompanhar em 2023

Quando se trata de proteger dados confidenciais, prevenir violações de dados e detectar ataques cibernéticos, uma lista de verificação deve ser seguida para rastrear seus esforços. Os indicadores-chave de desempenho (KPIs) são uma maneira eficaz de medir o sucesso de qualquer programa (incluindo segurança cibernética) e auxiliar na tomada de decisões.

De acordo com a PwC, apenas 22% dos CEOs acreditam que seus dados de exposição ao risco são abrangentes o suficiente para tomar decisões. Um número que - alarmantemente - não mudou em 10 anos. A Pesquisa Global de Segurança da Informação da EY apóia isso, com apenas 15% das organizações dizendo que seus relatórios de segurança da informação (InfoSec) atendem totalmente às suas expectativas.

Nesta postagem, descrevemos 14 métricas de segurança cibernética acionáveis para ajudá-lo a se apropriar de seus esforços de identificação e correção de riscos.

Saiba como o UpGuard simplifica o gerenciamento de riscos do fornecedor >

Por que as métricas de segurança cibernética são importantes?

Como disse Peter Drucker, o que é medido, é gerenciado - e a segurança cibernética não é diferente. Se você não puder medir seus esforços de segurança, não saberá como está rastreando.

A segurança cibernética não é um assunto único. As ameaças à segurança cibernética estão em constante evolução e os processos e a tecnologia necessários para evitá-las estão mudando constantemente. Você precisa ter medidas em vigor para avaliar frequentemente a eficácia das salvaguardas nas quais investiu.

Isso é importante por dois motivos:

A análise de KPIs, indicadores-chave de risco (KRIs) e posturas de segurança fornece um instantâneo de como sua equipe de segurança está funcionando ao longo do tempo. Ajudando você a entender melhor o que está funcionando e o que está piorando, melhorando a tomada de decisões sobre projetos futuros.
As métricas fornecem informações quantitativas que você pode usar para mostrar aos membros da gerência e do conselho que você leva a sério a proteção e a integridade de informações confidenciais e ativos de tecnologia da informação.

Relatar e fornecer contexto sobre métricas de segurança cibernética está sendo uma parte importante do trabalho de muitos Chief Information Security Officers (CISOs) e Chief Information Officers (CIOs), impulsionado pelo crescente interesse em relatar nos níveis de acionistas, regulatórios e conselhos.

Para muitos membros do conselho em setores como serviços financeiros, eles têm o dever fiduciário ou regulatório de gerenciar o risco de segurança cibernética e proteger informações de identificação pessoal (PII).

Isso foi impulsionado por novos regulamentos, como a Lei Gramm-Leach-Bliley, o Regulamento de Segurança Cibernética do NYDFS, o PIPEDA e o CPS 234. Combine isso com leis extraterritoriais de proteção de dados, como GDPR, CCPA e LGPD, e o gerenciamento de segurança se tornará um foco importante para todas as organizações.

Os melhores profissionais de segurança de TI usam métricas para contar uma história, especialmente ao fornecer um relatório a colegas não técnicos.

Saiba como o UpGuard simplifica o gerenciamento da superfície de ataque >

14 KPIs de segurança cibernética a serem rastreados

Abaixo estão exemplos de KPIs e métricas claras que você pode acompanhar e apresentar às partes interessadas e ao conselho de administração. Para demonstrar como melhorar o desempenho em todas as 14 principais métricas de segurança cibernética, cada item da lista de verificação é apresentado em forma de pergunta.

Baixe esta lista como uma lista de verificação editável >

1. Nível de preparação

O nível de preparação para ataques cibernéticos da sua organização é uma métrica importante que determina sua postura de segurança e o valor geral do seu programa de segurança cibernética. A eficácia de seus esforços de segurança cibernética durante um incidente cibernético pode ser medida com o seguinte conjunto de métricas.

O número de incidentes de segurança detectados e resolvidos em um período específico (por exemplo, mês, trimestre ou ano).
A porcentagem de incidentes evitados devido a medidas de segurança proativas, como proteção de endpoint, sistemas de detecção de intrusão e inteligência de ameaças.
O número de falsos positivos e falsos negativos gerados pelas ferramentas de monitoramento de segurança e como esses números estão sendo reduzidos por meio do refinamento contínuo do processo de monitoramento.
O nível de conscientização sobre segurança dos funcionários e a frequência dos programas de treinamento de conscientização sobre segurança cibernética.
A frequência de ataques de phishing simulados para testar a suscetibilidade a ataques de phishing.
Quantos dispositivos em sua rede corporativa têm os patches de segurança mais recentes instalados?
Quantas vulnerabilidades de alto risco foram identificadas?
Quantos sistemas falharam nas verificações de vulnerabilidade e qual é o plano para corrigir esses problemas?
Com que frequência os backups são feitos e como eles são testados quanto à integridade e precisão?
Com que frequência os planos de recuperação de desastres, resposta a incidentes e continuidade de negócios são testados e quando o último teste foi bem-sucedido?
Como sua organização está gerenciando as políticas de classificação e retenção de dados e como essas políticas são aplicadas?
Qual é a frequência do treinamento de conscientização de segurança para os funcionários e quais métricas são usadas para medir sua eficácia?
Como as políticas e procedimentos de segurança são atualizados e comunicados aos funcionários e como a conformidade é monitorada?
Quantos dispositivos em sua rede corporativa estão executando sistemas operacionais ou software desatualizados?
Quantos dispositivos em sua rede estão executando software de fim de vida útil (EOL) que não está mais recebendo atualizações de segurança?
Com que frequência as avaliações de risco de segurança são realizadas e quais ações são tomadas como resultado dessas avaliações?
Como os controles de segurança são testados quanto à eficácia e garantia?
Com que frequência as políticas e procedimentos de segurança são revisados e atualizados para refletir as mudanças no cenário de ameaças?

2. Dispositivos não identificados em redes internas

Qual é o inventário de dispositivos autorizados em sua rede e como ele é mantido e atualizado?
Quantos ativos existem em sua rede?
Quantos desses ativos armazenam dados confidenciais?
Qual é o processo para responder a dispositivos não autorizados na rede e como esses dispositivos são colocados em quarentena e monitorados?
Como os dispositivos IoT são protegidos e qual é o processo para monitorar e corrigir suas vulnerabilidades?
Como a segmentação de rede é implementada e como os diferentes tipos de dispositivos são segregados na rede?
Como os controles de acesso são implementados para dispositivos em sua rede e qual é o processo para conceder e revogar permissões de acesso?
Como os dispositivos são autenticados e autorizados antes de serem autorizados a se conectar à rede?
Qual é a política para funcionários que trazem seus próprios dispositivos (BYOD) para o trabalho e como esses dispositivos são gerenciados e protegidos?
Quais medidas estão em vigor para detectar e responder a pontos de acesso não autorizados ou outra infraestrutura de rede não autorizada?
Qual é o processo para rastrear o ciclo de vida dos dispositivos em sua rede, incluindo aquisição, implantação, manutenção e desativação?
Como os dispositivos e serviços de terceiros são integrados com segurança à sua rede e qual é o processo para gerenciar seu acesso e permissões?
Qual é a política de acesso remoto à sua rede e quais medidas estão em vigor para proteger e monitorar conexões remotas?

A solução de monitoramento de superfície de ataque da UpGuard pode ajudá-lo a mapear rapidamente sua superfície de ataque, identificando todos os endereços IP em seu inventário digital. Esse scanner pode ajudá-lo a descobrir ativos sem manutenção, expandindo sua superfície de ataque e aumentando o risco de sofrer uma violação de dados.

Para aprender alguns truques para reduzir rapidamente sua superfície de ataque com o UpGuard, assista ao vídeo abaixo:

Faça um tour pelos recursos de gerenciamento de superfície de ataque do UpGuard >

3. Tentativas de intrusão

Quantas tentativas de intrusão foram detectadas e bloqueadas pelo seu sistema de detecção de intrusão?
Qual é o tempo médio necessário para investigar e responder às tentativas de intrusão detectadas?
Qual é o processo para relatar tentativas de intrusão às partes interessadas relevantes, incluindo gerenciamento, jurídico e aplicação da lei?
Quantas tentativas de acesso não autorizado foram detectadas e bloqueadas pelo seu firewall?
Qual é o processo para investigar e responder às tentativas de intrusão detectadas e como essas descobertas são comunicadas?
Como os logs e outros dados de eventos de segurança são coletados e analisados e quais ferramentas e processos são usados para essa finalidade?
Como os incidentes de segurança são classificados e priorizados e quais procedimentos de resposta estão em vigor para cada classificação?
Com que frequência os logs de segurança são revisados e qual é o processo para revisá-los?
Como os eventos e incidentes de segurança são correlacionados e analisados para identificar possíveis ameaças e ataques?
Quais medidas estão em vigor para evitar falsos positivos e falsos negativos em sistemas de detecção de intrusão?
Como os padrões e anomalias de tráfego de rede são monitorados para detectar possíveis invasões?
Como os planos de resposta a incidentes são atualizados e testados em resposta a novas tentativas de intrusão e tendências de ataque?
Como os controles de segurança são ajustados e ajustados com base nos resultados dos esforços de detecção e resposta a invasões?

4. Incidentes de segurança

Quantos incidentes de segurança foram detectados e resolvidos no último mês/trimestre/ano?
Quantos ataques cibernéticos bem-sucedidos ocorreram no último mês/trimestre/ano?
Que tipos de incidentes ocorreram e qual foi o impacto de cada incidente?
Quais métricas são usadas para rastrear os tempos de resposta e resolução de incidentes e como essas métricas são usadas para melhorar o processo de resposta a incidentes?
Como a recuperação de dados é gerenciada no caso de um incidente de segurança e como os backups são testados e validados?
Qual é a análise da causa raiz de cada incidente e quais ações corretivas foram tomadas para evitar que incidentes semelhantes ocorram no futuro?
Qual é o tempo médio de inatividade experimentado durante um incidente de segurança e qual é o impacto nas operações da organização?
Qual é o custo médio associado a um incidente de segurança, incluindo custos de resposta a incidentes, correção e danos à reputação?
Como o comportamento do usuário é monitorado para identificar possíveis incidentes de segurança ou ameaças internas?
Como a inteligência de ameaças é coletada e usada para detectar e prevenir incidentes de segurança de forma proativa?
Qual é o processo para relatar incidentes de segurança às autoridades reguladoras, clientes e outras partes interessadas?
Como o plano de resposta a incidentes da organização é atualizado e testado para garantir que permaneça eficaz e relevante?

O módulo de detecção de vulnerabilidades do UpGuard classifica os riscos de segurança descobertos por criticidade, ajudando as equipes de segurança a lidar com ameaças com maior probabilidade de resultar em violação de dados. Ao facilitar a priorização de riscos críticos, o UpGuard mantém sua postura de segurança otimizada para níveis resilientes em todos os momentos.

Módulo de Gerenciamento de Vulnerabilidades do UpGuard.

Solicite uma avaliação gratuita do UpGuard >

5. Tempo Médio de Detecção (MTTD)

O MTTD é uma métrica crucial para determinar a eficiência dos recursos de detecção e resposta a ameaças da sua organização. Para melhorar o MTTD, considere o seguinte:

Utilizando feeds de inteligência de ameaças e outras fontes de informações de segurança para aprimorar seus recursos de detecção.
Ajustar os controles de segurança e as ferramentas de monitoramento para melhorar os tempos de detecção e resposta, reduzindo a probabilidade de ataques cibernéticos bem-sucedidos.
Implementar um sistema robusto de classificação e priorização de incidentes para garantir que as ameaças de alta prioridade sejam tratadas prontamente.
Quanto tempo leva para sua equipe tomar conhecimento de ameaças e incidentes de segurança?
Qual é o MTTD médio para sua organização?
Qual é o processo para detectar e responder a ameaças e incidentes de segurança e como esse processo é testado e validado?
Como os feeds de inteligência de ameaças e outras fontes de informações de segurança são usados para melhorar o MTTD?
Como os controles de segurança e as ferramentas de monitoramento são ajustados para melhorar os tempos de detecção e resposta?
Como os alertas e eventos das ferramentas de monitoramento de segurança são triados e priorizados e quais critérios são usados para determinar a gravidade?
Com que frequência as ferramentas e sensores de monitoramento de segurança são atualizados e como seu desempenho atualizado é monitorado?
Qual é o processo para investigar e resolver alertas e incidentes de segurança e como essas descobertas são comunicadas?
Como os falsos positivos e falsos negativos são abordados no processo de monitoramento de segurança e como esse processo é continuamente refinado?
Como os incidentes de segurança são classificados e priorizados e quais procedimentos de resposta estão em vigor para cada classificação?
Quais programas de treinamento e educação estão em vigor para analistas de segurança e respondentes a incidentes e como seu desempenho é monitorado e avaliado?
Como as principais métricas e KPIs estão relacionados ao MTTD.

6. Tempo Médio de Resolução (MTTR)

Qual é o seu tempo médio de resposta após a conscientização imediata de um ataque cibernético?
Qual é o MTTR médio para sua organização?
Como a resposta a incidentes é coordenada e gerenciada e quais recursos e pessoal estão envolvidos no processo de resposta?
Como o processo de resposta a incidentes é continuamente avaliado e aprimorado e quais métricas são usadas para rastrear esse processo?
Como os incidentes de segurança são categorizados e priorizados e quais procedimentos de resposta estão em vigor para cada categoria?
Quais são as principais etapas envolvidas no processo de resposta a incidentes e como elas são rastreadas e medidas?
Qual é o tempo médio necessário para identificar a causa raiz dos incidentes de segurança e quais medidas estão em vigor para garantir uma investigação completa?
Como as equipes de resposta a incidentes são treinadas e preparadas para diferentes tipos de incidentes de segurança e como seu desempenho é avaliado durante os exercícios de resposta a incidentes?
Qual é o processo de restauração de sistemas e dados após um incidente de segurança e como a eficácia desse processo é validada?
Como as lições aprendidas com os incidentes de segurança são incorporadas aos planos e procedimentos de resposta a incidentes para evitar incidentes semelhantes no futuro?
Qual é o papel dos recursos externos, como fornecedores de resposta a incidentes e agências de aplicação da lei, no processo de resposta a incidentes e como eles são coordenados e gerenciados?
Como as partes interessadas, como clientes e parceiros de negócios, são informadas e atualizadas durante o processo de resposta a incidentes?

7. Tempo Médio de Confinamento (MTTC)

Quanto tempo leva para conter vetores de ataque identificados em todos os endpoints e sistemas desde o momento da detecção inicial?
Qual é o MTTC médio para cada tipo de incidente ou ataque de segurança, como infecções por malware, violações de dados e ataques DDoS?
Quão eficazes são suas medidas de contenção na prevenção de mais danos ou perda de dados, conforme medido pelo escopo e gravidade de cada incidente?
Quão bem sua equipe e processos de resposta a incidentes trabalham na coordenação de esforços de contenção em diferentes departamentos, como TI, jurídico e relações públicas?
Como você prioriza e aloca recursos para diferentes tipos de incidentes com base em sua gravidade, impacto e risco para suas operações de negócios e reputação?
Como você evitará incidentes semelhantes no futuro em cada uma das seguintes categorias de mitigação de ameaças - controles de segurança, treinamento de conscientização, atualizações de políticas e procedimentos?
Como você avalia o sucesso de seus esforços de contenção, como medir a redução na frequência de incidentes, custo e tempo de correção, bem como a melhoria na conscientização e conformidade de segurança?
Como você mede a redução na frequência de incidentes?
Como você mede a redução no tempo de correção?
Como você mede a melhoria nos hábitos de segurança cibernética de sua equipe?

8. Classificações de segurança primárias

As classificações de segurança primárias são uma métrica essencial para avaliar a postura de segurança cibernética da sua organização. Ao utilizar um sistema de classificação de segurança, como o fornecido pelo UpGuard, você pode avaliar rapidamente o desempenho de segurança da sua organização com base em vários critérios, incluindo segurança de rede, risco de phishing, DNSSEC, falsificação de e-mail, risco de engenharia social, DMARC, risco de ataques man-in-the-middle, vazamentos de dados e vulnerabilidades.

As classificações de segurança geralmente são a maneira mais fácil de comunicar métricas a colegas não técnicos por meio de uma pontuação fácil de entender.

As classificações de segurança podem alimentar seu processo de avaliação de risco de segurança cibernética e ajudar a informar quais métricas de segurança da informação precisam de atenção.

Para manter ou melhorar sua classificação de segurança, considere o seguinte:

Revisar e atualizar regularmente seus controles e práticas de segurança para se manter alinhado com as melhores práticas do setor
Aproveitar os canais de comunicação para compartilhar sua classificação de segurança com as partes interessadas, criando confiança com clientes e parceiros
Implementar um processo de melhoria contínua para rastrear e avaliar a eficácia de suas medidas de segurança

Qual é a classificação de segurança atual da sua organização e como ela é calculada?
Como sua classificação de segurança mudou ao longo do tempo e quais fatores contribuíram para essas mudanças?
Quais controles e práticas de segurança são avaliados como parte da avaliação de classificação de segurança?
Como sua organização se compara aos benchmarks e práticas recomendadas do setor em termos de classificação de segurança?
Como a classificação de segurança é usada para identificar áreas de fraqueza e priorizar investimentos em segurança?
Quais canais de comunicação são usados para compartilhar a classificação de segurança com as partes interessadas e como essas informações são usadas para criar confiança com clientes e parceiros?
Quais ações são tomadas para manter ou melhorar a classificação de segurança ao longo do tempo e como essas ações são rastreadas e avaliadas?

9. Classificação média de segurança do fornecedor

O cenário de ameaças para sua organização se estende além de suas fronteiras e suas métricas de desempenho de segurança devem fazer o mesmo.

É por isso que o gerenciamento de riscos do fornecedor e uma estrutura robusta de gerenciamento de riscos de terceiros são um requisito essencial para as operações de segurança. O Relatório de Resumo Executivo da UpGuard fornece acesso instantâneo à sua classificação média de fornecedores nos últimos doze meses, bem como à distribuição de classificações de fornecedores. As práticas tradicionais de gerenciamento de fornecedores eram limitadas a um instantâneo das classificações de segurança do fornecedor em um único momento. Ao monitorar continuamente os riscos do fornecedor, você pode reduzir bastante o risco de terceiros e quartos.

Quantos fornecedores estão na cadeia de suprimentos da sua organização e qual porcentagem desses fornecedores é considerada de alto risco?
Quais critérios são usados para avaliar a segurança do fornecedor e como esses critérios são ponderados?
Com que frequência as avaliações de segurança do fornecedor são realizadas e qual é o processo para realizar essas avaliações?
Que tipos de classificações de segurança ou sistemas de pontuação são usados para avaliar a segurança do fornecedor e como essas classificações são incorporadas ao processo de seleção do fornecedor?
Como as classificações de segurança do fornecedor são monitoradas e atualizadas ao longo do tempo e qual é o processo para reavaliar a segurança do fornecedor quando surgem novas vulnerabilidades ou ameaças?
Qual é o processo para resolver problemas de segurança do fornecedor e como esses problemas são comunicados ao fornecedor?
Como o desempenho de segurança do fornecedor é avaliado e relatado à alta administração ou ao conselho, e quais métricas são usadas para medir o desempenho de segurança do fornecedor?

Os recursos de classificação de segurança do UpGuard permitem que você rastreie as posturas de segurança de todos os fornecedores em tempo real. Com as classificações de segurança quantificadas usando um mecanismo de cálculo objetivo e confiável, uma queda nas classificações de segurança é uma indicação provável de uma nova exposição de segurança que pode resultar em um incidente de segurança se explorada por hackers.

Classificações de segurança da UpGuard.

Saiba como o UpGuard calcula as classificações de segurança >

10. Cadência de patch

Com que frequência os patches e atualizações de segurança são lançados pelos fornecedores de software e com que rapidez eles são implementados?
Como as vulnerabilidades de alto risco são priorizadas para aplicação de patches e qual é o processo para testar e validar patches antes da implementação?
Como os sistemas e softwares legados que não são mais suportados pelos fornecedores são corrigidos e quais medidas estão em vigor para mitigar seus riscos de segurança?
Como os patches e atualizações são distribuídos e instalados em diferentes dispositivos e sistemas e como esse processo é gerenciado e monitorado?
Qual é o tempo médio necessário para aplicar patches depois que eles são lançados e qual é a janela máxima aceitável de patches para vulnerabilidades de alto risco?
Quais métricas são usadas para rastrear a eficácia e a conformidade dos patches e como essas métricas são usadas para impulsionar melhorias no processo de patches?
Como os patches são validados para garantir que não causem conflitos ou interrupções nos sistemas aos quais estão sendo aplicados?
Como os sistemas e aplicativos legados que não são mais suportados com patches de segurança estão sendo tratados? Existe um plano para lidar com esses sistemas?
Há alguma exceção ao processo de aplicação de patches, como determinados sistemas ou aplicativos que não podem ser corrigidos por motivos operacionais ou outros? Como essas exceções são gerenciadas e mitigadas?

11. Gerenciamento de acesso

Como o acesso a dados e sistemas confidenciais é controlado e monitorado e como o escalonamento de privilégios é evitado?
Quais são os diferentes tipos de funções de usuário e níveis de acesso e como eles são definidos e documentados?
Com que frequência as contas de usuário são revisadas e auditadas quanto à conformidade com as políticas e procedimentos de acesso?
Todas as contas são protegidas com autenticação multifator (MFA)?
Você criou políticas de senha que abordam práticas incorretas comuns, como reciclagem de senhas e senhas fracas?
Qual é o processo para monitorar a atividade do usuário e os logs de acesso e como comportamentos suspeitos ou anômalos são detectados e investigados?
Quais controles estão em vigor para proteger contas privilegiadas
Quais são os procedimentos para conceder acesso temporário ou emergencial aos usuários e como essas situações são documentadas e revisadas?
Como o acesso a aplicativos e serviços de terceiros é gerenciado e quais controles adicionais estão em vigor para evitar acesso não autorizado ou vazamento de dados?
Como as políticas e procedimentos de acesso são comunicados aos usuários e quais programas de treinamento ou conscientização estão em vigor para promover práticas de acesso seguro?
Como o acesso é concedido a novos funcionários e qual é o processo para remover o acesso quando um funcionário sai da empresa?
Qual é o processo para gerenciar solicitações e aprovações de acesso e como essas solicitações são documentadas e rastreadas?
Como o controle de acesso é auditado e revisado regularmente e com que frequência as políticas e procedimentos de acesso são atualizados?
Quais são as consequências da não conformidade com as políticas de acesso e como a conformidade com as políticas de acesso é monitorada?
Como o acesso a dados e sistemas confidenciais é restrito e como essas restrições são aplicadas?
Como o princípio do menor privilégio é aplicado para limitar o acesso do usuário e reduzir o risco de ataques de escalonamento de privilégios?
Quais ferramentas e processos são usados para monitorar a atividade do usuário e detectar possíveis ameaças internas?

12. Desempenho da empresa x pares

Comparar o desempenho de segurança e a estratégia de segurança cibernética da sua organização com os pares do setor pode fornecer informações valiosas sobre as áreas de melhoria. Para comparar efetivamente sua postura de segurança com a de seus colegas, considere o seguinte:

Utilizar indicadores-chave de desempenho (KPIs) para medir o desempenho de segurança da sua organização em relação aos padrões e práticas recomendadas do setor
Analisar controles e políticas de segurança específicos implementados por organizações semelhantes para identificar possíveis lacunas em seu próprio programa de segurança
Aproveitando a inteligência competitiva e os insights do setor para informar sua estratégia de segurança e tomada de decisões

Quais indicadores-chave de desempenho são usados para medir a postura de segurança da sua organização em comparação com os pares do setor?
Quais controles e políticas de segurança específicos as organizações pares têm em vigor que sua organização não tem?
Como sua organização está usando dados de benchmarking para identificar áreas de melhoria em seu programa de segurança?
Quais estratégias seus colegas estão usando para ficar à frente das ameaças emergentes e como sua organização pode adotar essas estratégias para se proteger melhor contra ataques cibernéticos?
Como o desempenho de segurança da sua organização se compara ao de seus pares ao longo do tempo e quais tendências ou padrões surgiram?
Como sua organização está usando inteligência competitiva e insights do setor para informar sua estratégia de segurança e tomada de decisões?

Um relatório de resumo executivo é um dos melhores métodos de comunicar seu desempenho de segurança às partes interessadas. O UpGuard oferece uma biblioteca de designs de relatórios de segurança cibernética para ajudá-lo a refletir seus esforços de segurança cibernética em um estilo que atenda aos requisitos de comunicação exclusivos de suas partes interessadas.

Biblioteca de relatórios de segurança do UpGuard.

Saiba mais sobre os recursos de relatórios do UpGuard >

13. Cadência de patch do fornecedor

Com que frequência os sistemas de seus fornecedores terceirizados são verificados em busca de vulnerabilidades e como essas verificações são realizadas?
Quantos riscos foram identificados nos sistemas de seu fornecedor terceirizado e qual é o plano para corrigir esses riscos?
Quantas vulnerabilidades críticas ainda precisam ser corrigidas nos sistemas do seu fornecedor?
Qual é o processo para validar se os fornecedores implementaram patches de segurança?
Qual é o processo para encerrar relacionamentos com fornecedores em caso de baixo desempenho de segurança ou falha no cumprimento dos padrões de segurança?
Como sua organização está monitorando o risco de fornecedores terceirizados (os fornecedores usados por seus fornecedores)?
Como sua organização está priorizando a aplicação de patches para fornecedores terceirizados com base no nível de risco?
Qual é o processo para comunicar os requisitos e prazos de aplicação de patches a fornecedores terceirizados?
Como sua organização está acompanhando a conformidade com os requisitos e prazos de aplicação de patches do fornecedor?

O recurso Vendor Tiering do UpGuard permite que fornecedores terceirizados sejam classificados em camadas com base na criticidade da segurança. Isso permite que os fornecedores com o maior impacto potencial em sua postura de segurança sejam priorizados nos processos de monitoramento e correção, reduzindo a capacidade e o impacto de violações de terceiros.

Classificação de fornecedores pela UpGuard

Solicite uma avaliação gratuita do UpGuard >

14. Tempo médio para resposta a incidentes do fornecedor

A eficiência da resposta a incidentes de seus fornecedores é crucial para minimizar o risco de violações de dados. Quanto mais tempo os fornecedores levarem para responder aos incidentes, maior será a chance de você sofrer uma violação de dados de terceiros.

Obtenha este guia gratuito para saber como evitar violações de dados com uma estratégia comprovada.

Baixe o guia de prevenção de violação de dados >

Para garantir uma resposta rápida e eficaz a incidentes de seus fornecedores, considere o seguinte:

Estabelecer canais de comunicação claros e processos de coordenação para relatar e abordar incidentes e vulnerabilidades de segurança
Monitorar os tempos de resposta e o desempenho do fornecedor e responsabilizá-los pelo cumprimento dos SLAs (Service Level Agreement, contratos de nível de serviço) estabelecidos
Integrar os procedimentos de resposta a incidentes do fornecedor em seu plano geral de resposta a incidentes e garantir que o pessoal relevante seja treinado nesses processos
Quanto tempo leva para um fornecedor responder a incidentes e vulnerabilidades de segurança?
Qual é o MTTR médio para a resposta a incidentes do seu fornecedor?
Como a coordenação de resposta a incidentes é gerenciada entre sua organização e seus fornecedores?
Como os incidentes e vulnerabilidades de segurança são comunicados aos fornecedores e como o progresso da resposta é rastreado?
Como os tempos de resposta do fornecedor e o desempenho da resposta a incidentes são avaliados e monitorados?
Como os procedimentos de resposta a incidentes do fornecedor são continuamente avaliados e aprimorados e quais métricas são usadas para rastrear esse processo?
Como os procedimentos de resposta a incidentes para fornecedores terceirizados são integrados ao seu plano geral de resposta a incidentes e como eles são atualizados e comunicados ao pessoal relevante?
Como as responsabilidades e expectativas de resposta a incidentes são descritas nos contratos de nível de serviço (SLAs) com fornecedores terceirizados e como esses SLAs são monitorados e aplicados?

Como escolher as métricas corretas de segurança cibernética

Não existe um padrão objetivo para escolher o conjunto certo de KPIs e KRIs de segurança cibernética. Sua escolha de métricas depende do seu setor, necessidades de segurança, regulamentos, diretrizes, práticas recomendadas e, em última análise, do apetite de risco de você e de seu cliente. Fora das métricas descritas acima, o CIS Controls também fornece uma lista priorizada e econômica de controles de segurança para melhorar o desempenho da segurança cibernética.

Dito isso, você deve escolher métricas que sejam claras para qualquer pessoa, mesmo para as partes interessadas não técnicas. Uma boa regra é que, se suas partes interessadas não técnicas não puderem entendê-las, você precisará escolher novas métricas ou fazer um trabalho melhor ao explicá-las. Benchmarks e comparações do setor são uma maneira fácil de tornar compreensíveis até mesmo métricas complexas.

Ao fazer referência às métricas de segurança cibernética em uma reunião executiva, lembre-se de que a métrica mais importante a ser focada é o custo. O objetivo dessas reuniões é demonstrar como a segurança cibernética está economizando dinheiro para a organização. Para obter melhores resultados, é altamente recomendável apoiar sua apresentação com um relatório executivo de segurança cibernética.

Assista ao vídeo abaixo para um rápido tour pela plataforma UpGuard.