CGI集團高級安全顧問Terri Curran表示，針對第三方的風(fēng)險管理指標(例如可訪問公司信息的供應(yīng)商數(shù)量)通常會讓董事會“大開眼界”。

信息安全指標應(yīng)該專注在三個方面：風(fēng)險管理、合規(guī)性和創(chuàng)新性。但Curran表示，企業(yè)常犯的錯誤是在安全指標計劃的開始試圖做太多工作。

[[151380]]

Curran已經(jīng)在信息安全領(lǐng)域40年，曾在Gillette公司擔任CISO達19年，Bose公司達7年。2007年至2014年，她曾任職于計算機安全行業(yè)(CSI)顧問委員會(在2011年，CSI被UBM收購)。TechTarget記者采訪了Curran，一同探討如何讓指標服務(wù)于更廣泛的受眾。

讓我們來談?wù)勚笜耍@是計算機安全領(lǐng)域最無聊的話題，排在配置管理后面。每次這個話題出現(xiàn)時，我經(jīng)常會聽到這樣的對話：

“你應(yīng)該保持指標。”

“我應(yīng)該保持哪些指標?”

“這取決于你的企業(yè)。”

“沒有‘前20名’指標列表嗎?”

在理論和實際效用之間你如何做出關(guān)聯(lián)?當有人詢問前20名指標列表時，對此你如何回應(yīng)?

Terri Curran：我喜歡談?wù)撔畔踩笜耍何医^對相信圍繞指標的討論可以迸發(fā)出新的想法和創(chuàng)新。同時，我也認為指標很無聊，因為很多指標與現(xiàn)在的高管董事會無關(guān)。我曾參加董事會，只要CISO的指標圖閃現(xiàn)在屏幕，大家就會開始翻白眼，并偷偷查看電子郵件。

不過不要誤會我的意思：指標依舊很重要。但與安全本身一樣，指標必須與時俱進。是否有前20名列表?當然有，可以針對任何企業(yè)。

從我的經(jīng)驗來看，最有用的指標通常是可量化花在事物上時間的指標。我不知道這是否是因為這種指標涉及某些業(yè)務(wù)流程分析，或者只是因為時間指標往往是對努力和花費的有用的衡量標準。你對此有何經(jīng)驗?

Curran：根據(jù)我多年有關(guān)指標的失敗和成功的經(jīng)驗，我認為最有用的指標應(yīng)該可以專注風(fēng)險管理、合規(guī)性和創(chuàng)新性。在這些指標中，有些指標完全是以時間為基準，有些則不是(特別是在‘創(chuàng)新’類別)。我認為企業(yè)需要綜合基于時間、基于結(jié)果和前瞻性指標來展示信息安全態(tài)勢，以及避免在董事會讓別人翻白眼。

在任何這三類指標中，舊的SMART(具體、可衡量、可操作、相關(guān)、及時)基準可非常有效地啟動指標定義過程。除了這些特點，指標必須易于管理或追蹤，它們需要是多用途和多層面的。

并且，應(yīng)該由進行指標工作的人來報告指標信息。如果IT或數(shù)據(jù)中心人員在進行所有的惡意軟件修復(fù)工作，則應(yīng)該由他們報告這方面的信息，以表明其在安全項目中的作用。CISO不應(yīng)該要求他們提供每月情況報告放入到她的報告中，而應(yīng)讓IT人員為其辛勤工作邀功，讓CISO創(chuàng)造新的指標。在年底，IT領(lǐng)導(dǎo)者可提供年度總結(jié)，包含在CISO的年度安全報告中。其他業(yè)務(wù)部門可以通過其信息安全相關(guān)的指標做同樣的事情，以說明其對信息安全計劃提供的支持和努力。

當然，網(wǎng)絡(luò)釣魚和惡意軟件嘗試次數(shù)、部署的補丁數(shù)量等所有基于技術(shù)的指標都是很好的指標，但我認為風(fēng)險指標應(yīng)該涉及更廣的范圍。例如，好的風(fēng)險管理指標可能是可訪問企業(yè)信息的第三方數(shù)量、執(zhí)行的第三方風(fēng)險評估的數(shù)量以及妥善保護信息的第三方數(shù)量。很多公司仍然沒有考慮將第三方風(fēng)險評估作為指標產(chǎn)品組合的一部分，并且，可訪問企業(yè)信息的供應(yīng)商的數(shù)量似乎總是讓高管驚訝。

另一個風(fēng)險管理指標可能是為遵守法律、法規(guī)和規(guī)章(網(wǎng)絡(luò)研討會、倡議團隊或法律文件的更新)采取的積極活動的數(shù)量。在這個領(lǐng)域中我最喜歡的指標是外聯(lián)活動。如果你定期與本地執(zhí)法以及安全官員接觸，這將是很好的物理、安全、風(fēng)險管理和創(chuàng)新指標。在這里我想說的是，指標可以是以人為中心的，而不是以技術(shù)為中心。

合規(guī)指標主要基于外部合同和監(jiān)管合規(guī)要求，這非常簡單。PCI DSS、NIST 800-53，很多要求都提供了很好的指標作為執(zhí)行的一部分。衡量內(nèi)部對信息政策的合規(guī)性更簡單，因為我們有以技術(shù)為中心的數(shù)據(jù)丟失保護等監(jiān)控技術(shù)。我很感興趣的是追蹤計劃和進行中的外部審計的數(shù)量，以及支持它們所需要的時間和資源。這是很老的指標，但仍然很有效且有價值。

最近我最喜歡的是創(chuàng)新指標。物理和信息安全計劃都需要發(fā)展，我們可以利用指標來生成和說明前瞻性活動和理念。

并非所有創(chuàng)新想法將成為現(xiàn)實，但這本身就是一個指標，不是嗎?例如，安全團隊每個月可以開展創(chuàng)新討論，從專業(yè)和個人角度提出可行的想法。我曾看到在創(chuàng)新討論中產(chǎn)生出很好的想法，從而帶來更好的指標。下面是幾個例子：企業(yè)可以開展“刪除日”，員工可以帶來文件進行安全處置，這可以構(gòu)建良好的安全意識、對參與的員工數(shù)量以及刪除的總數(shù)(良好的企業(yè)社會責(zé)任)產(chǎn)生指標;或者提供免費惡意軟件的培訓(xùn)課程并跟蹤員工參與情況。我聽說有傳言稱，有的企業(yè)創(chuàng)建安全意識演示讓員工帶回家與他們的孩子分享。我也喜歡展示“討論安全問題的業(yè)務(wù)部門會議數(shù)量”。對于創(chuàng)新指標，最好的事情是，如果在一個月產(chǎn)生10個創(chuàng)新想法，而只有三個變成現(xiàn)實，那又怎樣?畢竟你仍然在展現(xiàn)創(chuàng)新性。

在我看來，很多企業(yè)正越來越多地受到惡意軟件和基本網(wǎng)絡(luò)釣魚攻擊。當我看到這種情況時，我的假設(shè)通常是，他們并沒有真正了解這對他們的嚴重影響，因為他們需要指標。為了向高管解釋惡意軟件和最終用戶計算做法對企業(yè)的影響，你會衡量哪些事情?

Curran：有些企業(yè)喜歡進行社會工程和網(wǎng)絡(luò)釣魚測試，這些都是衡量員工意識的很好指標，并且這也為培訓(xùn)計劃帶來很好的信息。我認為我們需要向管理層更好地展現(xiàn)其企業(yè)與同行業(yè)其他企業(yè)的比較。指標可以用來顯示成熟度差距(或者良好的態(tài)勢)，我希望有外部月度報告或摘要可向高管展示(按照行業(yè)或子行業(yè))在特定月份惡意軟件和網(wǎng)絡(luò)釣魚攻擊的報告數(shù)量，以及企業(yè)如何對這些報告作出響應(yīng)。這將是巨大的勝利，如果你知道這樣的資源，請讓我知道!

我曾對風(fēng)險管理不屑一顧，因為這通常是“無用輸入+無用輸出”。但當我開始深入研究指標時，我意識到你實際利用指標的唯一途徑是開始衡量事物。你是從哪里開始的?如果你從頭開始構(gòu)建指標計劃，第一步是什么?

Curran：我為指標發(fā)展制定了一個基本的工作表，這或許可以解釋我確定“增值”指標的方法。這也可用作一種資源規(guī)劃工具或者作為RACI(誰負責(zé)、誰批準、咨詢誰和告訴誰)模式的輸入信息。

指標本身需要可測量，或者定性或定量(百分比或其他數(shù)值)。這個工作表中最重要的部分是：什么問題得到回答?如果沒有感興趣的問題，那么，指標并不值得追蹤。數(shù)據(jù)來源可以是使用的工具或者發(fā)出的調(diào)查;最后兩列非常簡單。

最先開始的是合規(guī)性要求，然后我會處理風(fēng)險管理指標，最后是創(chuàng)新指標。這是可以逐漸構(gòu)建的成熟度曲線。不要忘記對指標進行衡量：我們上個月創(chuàng)建并報告了五個新的指標。

人們在開始指標計劃時犯的最大錯誤是什么，以及應(yīng)該如何避免呢?

Curran：這個我有些慚愧，因為我對信息指標探索深了，并且試圖尋找完整的產(chǎn)品組合，嘗試一次添加太多條目。我了解到，最好的指標應(yīng)該可以向企業(yè)以及外部監(jiān)管者和審計員展現(xiàn)信息安全計劃的價值。在開始之前就試圖完成太多指標本身就是失敗的。

我們談到了前20名，我想要問你：你目前最喜歡什么?

Curran：我先談?wù)劽總€類別中的五個指標如何?其中有些我們已經(jīng)談到了，如果我要保護我公司的信息和物理資產(chǎn)，我會考慮以下指標：

風(fēng)險管理指標

1. 執(zhí)行的第三方風(fēng)險評估

2. 內(nèi)部和外部審計結(jié)果數(shù)量(當前狀態(tài)、在過程中、完成等)

3. 高級別數(shù)據(jù)泄露防御統(tǒng)計(這也可被認為是合規(guī)指標)

4. 基于分析師、供應(yīng)商報告與同類行業(yè)的基準

5. 可訪問受限制、機密或管制信息的供應(yīng)商數(shù)量(以及趨勢)

合規(guī)指標

1. 部署的修復(fù)程序以及所有常見的IT相關(guān)話題

2. 請求和授予的政策特例

3. 合規(guī)活動安排(可能增加)

4. 為安全或隱私顧慮審查的合同數(shù)量(也可被視為風(fēng)險管理)

5. 為應(yīng)對不斷變化進行的法規(guī)或合同研究時間

創(chuàng)新指標

1. 產(chǎn)生的新想法(簡短的解釋)

2. 為發(fā)展批準的想法

3. 開展外聯(lián)會議(業(yè)務(wù)部門)

4. 開展外聯(lián)會議(外部機構(gòu)、監(jiān)管部門、利益團體;也可列為風(fēng)險管理類別)

5. 個人和職業(yè)發(fā)展拓展(認證指導(dǎo)、新的認證)

我經(jīng)常聽到計算機安全人員稱安全人員不知道如何與高管或業(yè)務(wù)部門交談，你怎么看?

Curran：這是很好的問題。我的第一反應(yīng)是：不要說話，而是傾聽。我知道，這聽起來很明顯，但我們通常都沒有認真聽業(yè)務(wù)部門同事的意見。

對于這個問題，安全人員應(yīng)該少談技術(shù)，更多地談?wù)撘匀藶橹行牡娘L(fēng)險管理。請記住，人們想要其企業(yè)獲得成功和確保安全，并且他們希望感覺他們是這一工作的一部分。安全部門應(yīng)該引出他們的保護本能，而不是危言聳聽。通過展示對業(yè)務(wù)過程如何與安全整合的真誠的興趣，來提高他們的信心。這些都是讓談話繼續(xù)下去以及建立他們信任的很好的方法。