Welche Kennzahlen würdest du berichten, um zu zeigen, dass das SOC seinen Job macht?

Berichte Ergebniskennzahlen neben Aktivität. Nützlich sind Zeit bis zur Erkennung und Zeit bis zur Eindämmung nach Schweregrad, der Anteil der Incidents, die deine eigenen Detections gefunden haben, gegenüber denen, die von außen gemeldet wurden, validierte Detection Coverage gegen deine priorisierten Techniken, False-Positive-Rate pro Regel und das Alter offener Risikoausnahmen. Vermeide rohe Alert-Zahlen und geschlossene Tickets als Überschriftszahlen, denn sie belohnen Lärm statt Sicherheitsergebnissen.

Meine Überschrift ist der Anteil der Incidents, die wir selbst erkannt haben, gegenüber denen, von denen wir durch einen Nutzer, einen Kunden, einen Anbieter oder die Strafverfolgung erfahren haben. Diese eine Zahl sagt, ob die Funktion arbeitet. Darunter Zeit bis zur Erkennung und Zeit bis zur Eindämmung nach Schweregrad getrennt, denn eine Phishing-Meldung mit einem Ransomware-Versuch zu mitteln verbirgt alles, was zählt. Dann Coverage gegen die Techniken, die wir für unser Threat Model als prioritär festgelegt haben, bewertet aus Validierungstests statt aus Selbsteinschätzung, und die False-Positive-Rate pro Regel, damit Tuning-Arbeit eine Zahl hat. Ich vermeide bewusst, mit Alert-Volumen oder geschlossenen Tickets zu führen, denn die steigen, wenn die Umgebung lauter wird, und ich habe zugesehen, wie ein Team für eine Kennzahl beglückwünscht wurde, die reine Telemetrie-Regression war. Wenn ein Monat schlecht ist, präsentiere ich ihn mit dem Grund und dem Fix, denn in dem Moment, in dem du das Dashboard kuratierst, kannst du nicht mehr mit ernster Miene Budget verlangen.