Время работы в SIEM выросло у 62% специалистов по ИБ

Positive Technologies подвела итоги опроса «Трудозатраты специалистов по ИБ на работу с SIEM-системами» . Исследование показало, что трудозатраты на работу с SIEM-системой — больной вопрос для большинства компаний. Размер SIEM-команды почти в половине случаев не превышает двух человек, а их время работы с системой растут.

Исследование проводилось с 27 августа по 17 сентября 2019 года. Цель опроса — узнать, сколько времени специалисты по ИБ проводят за работой в SIEM-системах, какие задачи занимают больше всего времени и как можно снизить трудозатраты. Результаты опроса построены на анализе 225 анкет.

Ключевые результаты:

· Почти в 70% случаев с SIEM-системой в компаниях работают не более пяти специалистов по ИБ, чаще всего (47% случаев) один-два человека.

· Ежедневно в SIEM-системе проводят от двух до четырех часов 25% опрошенных, больше половины рабочего дня — 22%. Причем 62% респондентов отметили, что за последний год время работы увеличилось.

· Больше половины респондентов регулярно разбирают инциденты, отслеживают ситуацию ИБ в организации с помощью дашбордов и расследуют с помощью SIEM инциденты.

· К самым трудоемким задачам участники опроса отнесли работу с ложными срабатываниями (58%) и разбор инцидентов (52%).

· С помощью SIEM специалисты по ИБ хотели бы оценивать реализуемость атак (39%), проводить ретроспективный анализ (35%), анализировать уязвимости на IT-активах организации (34%), создавать собственные правила корреляции (32%) и обновлять сведения об инфраструктуре (30%).

· По мнению респондентов, снизить трудозатраты на SIEM-систему помогут:

o поставка вендором способов детектирования угроз (53%),

o руководство по донастройке правил для снижения количества ложных срабатываний (49%),

o возможность писать собственные правила корреляции без изучения специального языка (44%).

«Результаты опроса выявили два ключевых вектора развития SIEM-системы, которые помогут снизить трудозатраты специалистов по ИБ, — комментирует заместитель директора центра компетенций Positive Technologies Владимир Бенгин. — Во-первых, это поддержка от вендора в виде мониторинга актуальных угроз и поставки новых способов их детектирования. Во-вторых, возможность выполнять дополнительные задачи, которые выходят за рамки традиционного SIEM».