En värld utan cyberrisker är tyvärr en utopi. Lyckligtvis kan organisationer själva förebygga mycket elände och, när en attack ändå inträffar, hantera den på ett adekvat sätt. Organisationer är väl medvetna om faran med cyberattacker, enligt benchmarkundersökningen om cybersäkerhet som Conscia genomfört i samarbete med det kommersiella marknadsundersökningsföretaget BenchLab.
Prevention och behovet av detektion och respons
En värld utan cyberrisker är tyvärr en utopi. Lyckligtvis kan organisationer själva förebygga mycket elände och, när en attack ändå inträffar, hantera den på ett adekvat sätt. Organisationer är väl medvetna om faran med cyberattacker, enligt benchmarkundersökningen om cybersäkerhet som Conscia genomfört i samarbete med det kommersiella marknadsundersökningsföretaget BenchLab.
Till exempel angav 43 % av respondenterna att merparten av tiden som läggs på IT-säkerhet ägnas åt prevention. Med 85 % är 'Awareness & Training' en viktig åtgärd som vidtas för att förebygga cybersäkerhetsincidenter. När en incident väl inträffar visar dock forskning att det vanligtvis tar mer än 200 dagar innan incidenten upptäcks. Maarten Werff, Solution Consultant Cybersecurity på Conscia: "Därför är det fortsatt nödvändigt att utöver prevention ha åtgärder för detektion och respons, för att också få insyn i de attacker som inte stoppas av preventiva åtgärder. Det kan verka som en liten andel, men kan ändå orsaka mycket elände."
SOC: bygga eget eller outsourca?
Ett Security Operations Centre (SOC) kan vara lösningen. Den allmänna uppfattningen är ofta att ett SOC innebär höga kostnader, kräver mycket tid, kunskap och energi av medarbetarna och därför bara är något för stora organisationer. Men stämmer det?
En enkel beräkning: forskning från Forrester visar att organisationer i genomsnitt behöver 14 heltidstjänster i säkerhetsanalytiker för att bygga upp och underhålla en egen SOC-funktion (11 heltidstjänster för organisationer med färre än 5 000 anställda och 20 heltidstjänster för organisationer med fler än 5 000 anställda). Då har man tagit hänsyn till att människor arbetar dag och natt och även åker på semester då och då.
Ser man till kostnaden för en extern Managed Detection & Response-tjänst (MDR) med övervakning dygnet runt för 1 000 anställda hamnar den på cirka 6 000 EUR per månad. Det är alltså till och med mindre än 1 heltidstjänst. När organisationer sätter upp ett eget SOC behöver de, förutom rätt personer, en lämplig teknikplattform. Det driver upp den totala ägandekostnaden för ett internt SOC till tre gånger kostnaden för ett outsourcat SOC (med hög CAPEX).
Attrahera och behålla säkerhetsanalytiker
Att bygga upp en egen SOC-funktion har visserligen också klara fördelar. Organisationsspecifika risker förstås snabbare och bättre av egna medarbetare. Å andra sidan är det svårt att hitta och behålla bra personer. Deras uppgift är inte heller den lättaste. Forrester uppger att 96 % av säkerhetsanalytikerna upplever en personlig påverkan efter en incident. Tänk långa arbetsdagar, stress som följer med hem, dålig sömn. Allt en följd av så kallad 'Alert Fatigue'.
Organisationer slipper det problemet när de outsourcar SOC-funktionen, liksom frågorna kring uppskalning. Benchmarkundersökningen visar att 15 % av respondenterna redan har outsourcat SOC-funktionen. I 55 % av fallen sker övervakning och analys av säkerhetslarm från det interna IT-teamet. Dessutom uppger 6 % av organisationerna att de har ett eget SOC som övervakar och analyserar under kontorstid (3 %) eller dygnet runt (3 %). Nästan en fjärdedel av respondenterna har inte, eller på annat sätt, säkrat detekteringen av säkerhetslarm.
Hotlandskapet kräver ett annat angreppssätt
Enligt Maarten Werff finns det ytterligare ett gott skäl att gå över till MDR: "Under det senaste decenniet fokuserade vi främst på nätverket, men med det förändrade hotlandskapet till följd av mer hemarbete, moln och kryptering är synligheten genom traditionella nätverkssäkerhetsåtgärder mycket sämre. Säkerhet kräver i dag ett annat angreppssätt. Vi måste vidta säkerhetsåtgärder för det vi vill skydda: vår information, våra användare och våra endpoints."
I dagsläget uppger 41 % av respondenterna att de har vidtagit åtgärder för endpointskydd. Det är ingen nyhet när vi säger att medarbetare, med all respekt, ofta är det största problemet. Vid förekomst av avvikande filåtkomst och krypterade filer uppger 46 % av respondenterna att de får ett larm. Samtidigt kan 21 % se vilka filer som påverkats vid en cyberincident och återställa dem.
Enligt Maarten Werff gör teknikutveckling som EDR, SOAR och XDR det möjligt att förändra detektionsstrategin. Ser man till dessa lösningar har 15 % av respondenterna EDR och 3 % SOAR. "Att sätta identitet och endpoint i centrum för detektions- och responsstrategin skapar väsentligt mer synlighet kring larm och möjliggör snabbare ingripanden. Det här angreppssättet handlar inte om att leta efter 'nålen i höstacken' och är därför också mindre kostnadskrävande."
