Assessing the ROI of Cyber Threat Intelligence: An Operational and Financial Evaluation Framework
Dit artikel stelt een uitgebreid kader voor het beoordelen van de Return on Investment van Cyber Threat Intelligence door de introductie van een Threat Intelligence Effectiveness Index (TIEI) om operationele volwassenheid te meten en een break-even-eerst financiële methode om de investeringslevensvatbaarheid te kwantificeren, ondanks de inherente moeilijkheid van het meten van voorkomen cyberincidenten.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat je de kapitein bent van een enorm, hoogtechnologisch ruimteschip dat door de planetoïdengordel van het internet vaart. Jouw taak is om het schip veilig te houden voor ruimtepiraten, dolle planetoïden en sluwe saboters. Je hebt een team van uitkijkposten, een radarsysteem en een schildgenerator. Maar hier komt het lastige deel: de beste dag die je team kan hebben, is een dag waarop er niets gebeurt. Geen alarmen, geen explosies, geen schade. Het schip vaart gewoon rustig verder.
Dit is de wereld van Cyber Threat Intelligence (CTI). Zie CTI als het "super-spionagenetwerk" voor jouw digitale schip. In plaats van alleen maar te wachten tot er een alarm afgaat, verzamelt CTI geheime rapporten van andere schepen, spionnen en sensoren om je precies te vertellen waar de piraten zich verschuilen, wat voor soort wapens ze gebruiken en hoe ze van plan zijn aan te vallen. Het verandert een berg verwarrende ruis in een heldere, bruikbare kaart.
Maar er is een groot probleem voor de mensen die dit spionagenetwerk betalen (de eigenaren van het schip, of in de echte wereld: de bazen en directies van bedrijven). Zij willen weten: "Is dit dure spionagenetwerk eigenlijk wel het geld waard?" In normale zaken, als je een nieuwe motor koopt, gaat je schip sneller en kun je die snelheid meten. Maar in cybersecurity, als je een spionagenetwerk koopt en je schip wordt niet aangevallen, hoe bewijs je dan dat je geld hebt bespaard? Je kunt geen bonnetje laten zien voor een ramp die nooit heeft plaatsgevonden. Dit is de "Preventieparadox": hoe beter je bent in je werk, hoe minder zichtbaar je succes wordt.
Dit is waar een nieuwe studie van Matteo Strada en Stelvio Cimato om draait. Zij zijn als de ingenieurs van het schip die proberen een nieuw soort rekenmachine te bouwen. Ze weten dat je niet zoma van de waarde van een "niet-gebeurtenis" kunt raden, dus hebben ze een slim tweeledig systeem ontwikkeld om uit te rekenen of je spionagenetwerk je daadwerkelijk geld bespaart.
Eerst bouwden ze een "Threat Intelligence Effectiveness Index" (TIEI). Stel je dit voor als een "Rapportcijfer voor de Spionschool". In plaats van alleen een cijfer te geven, controleert het vier verschillende vaardigheden:
- Kwaliteit: Zijn de spionenrapporten daadwerkelijk waar en nuttig?
- Verrijking: Heeft het team extra details toegevoegd aan de rapporten (zoals het koppelen van een piratenschip aan een specifieke bende)?
- Integratie: Heeft het team deze rapporten daadwerkelijk in de radar en de schilden van het schip gevoerd, of bleven ze slechts in een lade liggen?
- Impact: Reageerde het schip sneller? Blokkeerden de schilden meer aanvallen?
Het mooie van hun rapportcijfer is dat het streng is. Als je team geweldig is in het verkrijgen van rapporten maar slecht is in het gebruiken ervan, keldert je algemene cijfer. Het is als een ketting: de hele ketting is slechts zo sterk als zijn zwakste schakel. Je kunt geen perfect cijfer halen als één onderdeel faalt.
Ten tweede creëerden ze een "Break-Even Map". Omdat niemand precies weet hoe vaak een piraat zou hebben aangevallen als ze het spionagenetwerk niet hadden, zeggen de auteurs: "Laten we stoppen met gissen en beginnen met mappen." Ze tekenden een lijn op een grafiek die de relatie laat zien tussen twee onbekenden:
- Hoe waarschijnlijk is een grote aanval? (De waarschijnlijkheid).
- Hoeveel van de aanval wordt voorkomen door het spionagenetwerk? (De mitigatie).
De kaart laat zien dat voor jouw spionagenetwerk de moeite waard te zijn, deze twee getallen vermenigvuldigd groter moeten zijn dan een specifiek "kantelpunt". Bijvoorbeeld, in de Financiële sector (banken), illustreert de studie dat als jouw spionagenetwerk 20% van de potentiële rampen kan stoppen, jouw bedrijf een realistische kans op een grote aanval van ten minste 34,4% per jaar zou moeten hebben om break-even te draaien. In de Zorg (ziekenhuizen) zijn de cijfers vergelijkbaar: je zou een kans van 34,9% op een grote aanval nodig hebben om een stop-percentage van 20% te rechtvaardigen.
Cruciaal is dat de auteurs deze cijfers niet als universele feiten hebben "gevonden". Het zijn geen voorspellingen van wat er zal gebeuren. In plaats daarvan zijn het illustratieve stress-test inputs. De studie stelt expliciet dat dit hypothetische scenario's zijn die worden gebruikt om te laten zien hoe de wiskunde werkt. De cijfers veranderen afhankelijk van de specifieke kosten en risico's van jouw organisatie.
De auteurs hebben ook duizenden computersimulaties gedraaid (zoals het miljoenen keren spelen van een videogame met verschillende instellingen) om te zien hoe de wiskunde standhoudt onder onzekerheid. In deze simulaties gebruikten ze het "Rapportcijfer voor de Spionschool" (TIEI) alleen als een kalibratie-aanname voor een specifiek referentiescenario. Ze hebben niet geconcludeerd dat een hoge TIEI je een gegarandeerd break-even punt in de echte wereld brengt. In plaats daarvan hebben ze aangetoond dat als je uitgaat van een volwassen programma (hoge TIEI), de wiskunde suggereert dat er een breder bereik aan plausibele succespercentages is. Als je programma minder volwassen is, krimpt het bereik van plausibele succespercentages.
De grote les is niet dat ze een magisch getal hebben gevonden dat bewijst dat CTI altijd een winnaar is. In plaats daarvan hebben ze bedrijven een eerlijk instrument gegeven om te stoppen met gissen. Ze zeggen: "Vertel je baas niet alleen 'we hebben miljoenen bespaard' omdat je het niet kunt bewijzen. Laat hem in plaats daarvan je Rapportcijfer zien om te bewijzen dat je goed bent in je werk, en laat hem vervolgens deze Kaart zien om te bewijzen dat, gegeven jouw specifieke risico's en de aannames die je bereid bent te maken, de investering zinvol is."
Het is een manier om de onzichtbare kunst van het "voorkomen van slechte dingen" te veranderen in een heldere, logische zakelijke beslissing. Het geeft toe dat we de toekomst niet kunnen kennen, maar het geeft ons een solide manier om er voor te plannen, zodat de investering in spionnen daadwerkelijk het schip beschermt, in plaats van alleen maar dure, ongebruikte kaarten te kopen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.