在访谈中，ArmorCode的首席安全与信任官Karthik Swarnam讨论了衡量网络安全ROI的关键指标和KPI，分享了通过主动措施和与高管有效沟通来提升ROI的策略。
衡量网络安全投资回报率的主要指标和KPI是什么？
如今，网络安全投资不仅仅是为了避免成本，而是为了获得更广泛的利益，这些指标包括：
• 生产力：网络安全措施可以显著提高生产力，通过减少因安全漏洞导致的停机时间来提高运营效率和员工表现，衡量这一点的一个具体指标是事件发生后的平均控制时间（MTTC）。
• 安全态势：通过跟踪实施安全措施前后的漏洞数量和严重程度，可以量化企业的整体安全态势，一个关键指标是减少修复活动的同时保持或提高安全态势，这可以通过节省的工作时间或努力来衡量，传统的衡量指标包括检测到的事件数量、平均检测时间（MTTD）、平均响应时间（MTTR）和补丁管理（部署修复的平均时间），安全意识培训和衡量钓鱼攻击成功率也很重要。
• 网络保险费：有效的网络安全策略可以降低网络保险费，反映出企业的风险状况降低。
• 上市时间：安全开发实践，如将安全评估移到软件开发生命周期的早期阶段，可以减少新产品和服务的上市时间，下一代安全计划应该能够衡量这一属性。
• 风险缓解成本：评估风险缓解策略的成本效益至关重要，这包括将各种安全措施的成本与安全事件的潜在损失进行比较，并将这一数据与补丁管理和已修复的漏洞数量联系起来，现代计划使企业能够从风险的角度优先修复最重要的问题，总体而言，修复成本比事件成本更能反映企业的整体安全态势。
• 工具优化：通过利用治理层，企业可以消除冗余的安全工具，优化其安全投资，对安全工具的持续评估确保只使用最相关的解决方案，年度安全支出应与企业的有效性衡量标准一起考虑，并且该标准应灵活适应工具和应用环境的特殊性——每项技术应有三个可衡量的成功指标。
• 客户体验：改进身份和访问管理可以简化用户验证步骤，通过减少凭证验证相关的摩擦来提高客户体验。
• 网络性能：增强网络安全也可以改善网络连接性和减少延迟，从而提高整体系统性能并阻止恶意攻击。
• 数据保护：实施强有力的安全控制措施可以最大限度地降低数据泄露的风险和影响，通过监控数据丢失防护（DLP）违规行为并响应警报来保护企业免受数据丢失的严重后果。
什么样的主动投资策略可以在企业网络安全中带来更高的ROI？
在网络安全中，主动投资策略通过预防事故发生和优化安全操作可以显著提高投资回报率，关键策略包括：
• 推进左移安全：投资于早期的安全评估和漏洞识别，可以在问题变得严重之前就减轻风险，这种方法确保从开发过程一开始就集成了安全性。
• 利用安全态势管理：实施应用安全态势管理（ASPM）等解决方案，有助于识别和优先处理对企业最重要的风险，而不是不加区分地处理所有漏洞。
• 部署治理工具：部署治理工具可以为特定员工群体（如开发人员）提供量身定制的培训，而不是一刀切的方法，这种有针对性的培训提高了安全措施的有效性并降低了成本。
• 最大化工具优化：企业经常积累过多的安全工具，导致重复和效率降低，简化、整合和优化安全工具可以带来显著的成本节约和改进的安全成果，例如，将治理、风险和合规（GRC）与漏洞管理集成到一个平台中，可以简化操作并减少冗余。
向高管领导和利益相关者展示网络安全投资ROI的最佳实践是什么？
向高管领导和利益相关者展示网络安全投资的ROI需要清晰、基于指标的沟通。最佳实践包括：
• 基于指标的方法：使用具体、可量化的指标展示安全态势和运营效率的改善，例如，强调漏洞修复时间的减少、事件响应成本的下降和合规率的提高。
• 与业务对齐的安全性：展示网络安全措施如何与业务目标对齐并支持业务目标，这包括更快的产品交付、缩短的上市时间和提高的客户满意度。
• 以风险为中心的报告：强调专注于最关键的业务特定风险如何带来更好的资源分配和减少不必要的修复工作。
• 工具优化的好处：展示通过优化安全工具和消除重复带来的成本节约和效率提升。
集成先进技术如AI和机器学习对网络安全ROI有何影响？
集成先进技术如AI和机器学习可以通过动态优化安全解决方案深刻影响网络安全ROI，使企业能够实时适应不断变化的威胁，这些技术增强了威胁检测能力，比传统方法更快、更准确地识别和响应威胁，从而减少安全事件的可能性和影响。
此外，AI驱动的自动化简化了安全操作，减少了对人工干预的需求，并释放资源用于更具战略性的活动，这种动态威胁管理、有效响应能力和操作自动化的结合，显著提升了网络安全投资的整体效益和成本效率。
你会给希望提高其企业网络安全投资回报率的安全专业人士哪些建议？
为了提高网络安全投资回报率，安全专业人士应该：
• 建立清晰的指标：在身份和访问管理、风险修复、软件开发、数据丢失防护和消息安全等各个领域定义并衡量关键指标。
• 开发相关措施：确保所使用的指标与企业的具体背景和目标相关且有意义。
• 设定安全容忍度：建立可接受的风险水平，并将这些作为评估安全性能的基准。
• 定期报告：定期生成安全测量和报告，以保持可见性和问责性，这有助于持续跟踪进展并根据需要对安全策略进行知情调整。
通过优先考虑以上措施，企业可以展示其网络安全投资的价值，并通过改进的安全性和运营效率获得更高的投资回报。
