Economics of cybersecurity Measuring security levels Michel - - PowerPoint PPT Presentation

Michel ¡van ¡Eeten ¡

• Del. ¡University ¡of ¡Technology ¡

Economics ¡of ¡cybersecurity ¡

Measuring ¡security ¡levels ¡

Security ¡produc=vity ¡

§ Security ¡level ¡is ¡a ¡‘latent ¡construct’, ¡ like ¡human ¡intelligence ¡ § It ¡cannot ¡be ¡observed ¡or ¡measured ¡ directly ¡ § We ¡can ¡only ¡measure ¡indicators ¡or ¡ metrics ¡that ¡reflect ¡different ¡ aspects ¡of ¡the ¡latent ¡construct, ¡like ¡ an ¡IQ ¡test ¡does ¡for ¡intelligence ¡ § Together, ¡the ¡metrics ¡give ¡us ¡an ¡ es=ma=on ¡of ¡the ¡security ¡level ¡

¡

What ¡is ¡measurable? ¡

Types ¡of ¡metrics ¡

w/o ¡threat ¡ environment ¡ with ¡threat ¡ environment ¡

Controls ¡ Vulnerabili=es ¡ Incidents ¡ (Prevented) ¡ Losses ¡

§ Controls ¡are ¡the ¡measures ¡you ¡ put ¡in ¡place ¡to ¡mi=gate ¡risk ¡ § Different ¡types: ¡

§ Physical ¡ ¡

§ e.g., ¡door ¡locks ¡

§ Organiza=onal ¡

§ e.g., ¡incident ¡response ¡team ¡

§ Procedural ¡

§ e.g., ¡creden=als ¡policy ¡

§ Technical ¡ ¡

§ e.g., ¡data ¡encryp=on, ¡firewalls ¡

Controls ¡

§ Weaknesses ¡in ¡the ¡controls ¡that ¡ could ¡be ¡leveraged ¡by ¡a ¡certain ¡ type ¡of ¡aUack ¡ § Known ¡and ¡unknown ¡

§ Finding ¡known ¡vulnerabili=es: ¡ vulnerability ¡scanners, ¡CERT ¡alerts, ¡

• etc. ¡

§ Finding ¡unknown ¡vulnerabili=es: ¡ penetra=on ¡tes=ng, ¡red ¡teaming, ¡

• etc. ¡

Vulnerabili=es ¡

§ Events ¡where ¡security ¡is ¡ compromised ¡in ¡some ¡form ¡ § Here, ¡controls ¡meet ¡actual ¡aUacks, ¡ instead ¡of ¡poten=al ¡aUacks ¡ § Some ¡are ¡easy ¡to ¡detect, ¡others ¡ hard ¡

§ Automated ¡tools ¡event ¡monitoring ¡ systems ¡can ¡help, ¡but ¡also ¡generate ¡ large ¡volumes ¡of ¡alarms ¡ § Some ¡successful ¡aUacks ¡go ¡ undetected ¡for ¡months ¡or ¡even ¡years ¡

Incidents ¡

§ Mapping ¡incidents ¡to ¡losses ¡is ¡hard ¡ § Mapping ¡prevented ¡incidents ¡to ¡ prevented ¡losses ¡even ¡harder ¡ § How ¡to ¡measure ¡non-­‑events? ¡ § Did ¡incidents ¡fall ¡because ¡of ¡failed ¡ aUacks ¡or ¡fewer ¡aUacks? ¡ § Examples: ¡

§ dropping ¡fraud ¡levels ¡ § lower ¡recovery ¡costs ¡

Prevented ¡losses ¡

Types ¡of ¡metrics ¡

Controls ¡ Vulnerabili=es ¡ Incidents ¡ (Prevented) ¡ Losses ¡

w/o ¡threat ¡ environment ¡ with ¡threat ¡ environment ¡ determinis=c ¡ stochas=c ¡ ac=on ¡ driven ¡ event ¡ ¡ driven ¡

Thank ¡you ¡for ¡your ¡aUen=on! ¡

Please ¡post ¡any ¡ques=ons ¡you ¡may ¡have ¡

• n ¡our ¡discussion ¡forum. ¡