Positive Technologies подвела итоги опроса «Трудозатраты специалистов по ИБ на работу с SIEM-системами». Исследование показало, что трудозатраты на работу с SIEM-системой — больной вопрос для большинства компаний. Размер SIEM-команды почти в половине случаев не превышает двух человек, а их время работы с системой растут.
Исследование проводилось с 27 августа по 17 сентября 2019 года. Цель опроса — узнать, сколько времени специалисты по ИБ проводят за работой в SIEM-системах, какие задачи занимают больше всего времени и как можно снизить трудозатраты. Результаты опроса построены на анализе 225 анкет.
Ключевые результаты
Почти в 70% случаев с SIEM-системой в компаниях работают не более пяти специалистов по ИБ, чаще всего (47% случаев) один-два человека.
Ежедневно в SIEM-системе проводят от двух до четырех часов 25% опрошенных, больше половины рабочего дня — 22%. Причем 62% респондентов отметили, что за последний год время работы увеличилось.
Больше половины респондентов регулярно разбирают инциденты, отслеживают ситуацию ИБ в организации с помощью дашбордов и расследуют с помощью SIEM инциденты.
К самым трудоемким задачам участники опроса отнесли работу с ложными срабатываниями (58%) и разбор инцидентов (52%).
С помощью SIEM специалисты по ИБ хотели бы оценивать реализуемость атак (39%), проводить ретроспективный анализ (35%), анализировать уязвимости на IT-активах организации (34%), создавать собственные правила корреляции (32%) и обновлять сведения об инфраструктуре (30%).
По мнению респондентов, снизить трудозатраты на SIEM-систему помогут:
- o поставка вендором способов детектирования угроз (53%),
- o руководство по донастройке правил для снижения количества ложных срабатываний (49%),
- o возможность писать собственные правила корреляции без изучения специального языка (44%).
«Результаты опроса выявили два ключевых вектора развития SIEM-системы, которые помогут снизить трудозатраты специалистов по ИБ, — комментирует заместитель директора центра компетенций Positive Technologies Владимир Бенгин. — Во-первых, это поддержка от вендора в виде мониторинга актуальных угроз и поставки новых способов их детектирования. Во-вторых, возможность выполнять дополнительные задачи, которые выходят за рамки традиционного SIEM».
