Sicherheitskennzahlen-Dashboard

Hier steht die Sicherheitslage vor der Überprüfung. Sie haben 342 offene Schwachstellen über den gesamten Bestand, gegenüber 361 im Vormonat, und sie sind stark zum unteren Ende hin gewichtet: 12 kritisch, 58 hoch, 164 mittel und 108 niedrig. Die Patch-Abdeckung liegt bei 96 % gegenüber einem Ziel von 95 %, die Phishing-Meldequote ist auf 68 % geklettert, und es gibt 3 offene Vorfälle. Die eine Zahl, die sich in die falsche Richtung bewegt, ist die mittlere Behebungszeit bei kritischen Feststellungen, jetzt 21 Tage.

Die offenen Schwachstellen schlüsseln sich nach Schweregrad wie folgt auf, und die Form ist gesund — die zwölf kritischen Feststellungen sind es, die das Tempo der Überprüfung vorgeben.

Die mittlere Behebungszeit bei kritischen Schwachstellen ist die Kennzahl, die es zu beobachten gilt. Sie ist im Laufe des Quartals von 16 auf 21 Tage gedriftet und liegt nun sechs Tage über dem Ziel von 15 Tagen. Die Ursache ist nicht die Aufnahme — kritische Findings werden noch am Tag ihres Eintreffens triagiert — es ist die Lücke zwischen einem fertigen Fix und einem Change-Fenster für dessen Ausrollung. Vier der zwölf offenen kritischen Findings haben einen freigegebenen Patch, der schlicht auf das nächste Wartungsfenster wartet, und das ist es, was den Durchschnitt in die Länge zieht. Sonst weicht nichts vom Ziel ab: Die Patch-Abdeckung hielt über ihrer Marke, die Phishing-Meldungen sind um sieben Punkte gestiegen, da die Schulung der letzten Kampagne griff, und die Vorfall-Warteschlange ist so kurz wie noch nie in diesem Jahr.

Wenn Sie die kritische Behebungszeit vor Quartalsende wieder unter das Ziel bringen wollen, ist der Hebel der Change-Rhythmus und nicht das Sicherheitsteam — ein außerplanmäßiges Fenster für diese vier fertigen Patches würde den größten Teil der Überschreitung von allein beseitigen.