SIEM 和投资回报：成功的四大支柱

投资回报率 (ROI) — 这是 IT 管理的致命弱点。没有人介意花钱来避免成本、预防灾难，并最终获得比初始投资更多的收益。但这样的投资合理吗？

计算任何 IT 投资的投资回报率都是一项挑战，安全信息和事件管理 (SIEM) 工具也不例外。

我们最近探讨了 SIEM 工具和技术的投资回报率的一些基本规则或“支柱”。这些支柱为证明 SIEM 工具和技术的无形成本合理性的艰巨努力提供了一些合理的基础。

支柱 1. 思考风险：之前和之后

之前和之后——意味着使用 SIEM 工具的生活，以及随后没有 SIEM 工具的生活。 SIEM 工具有助于消除风险。在大多数情况下，风险具有可量化的成本。虽然很难说通过避免重大入侵节省了多少成本，但通过比较之前和之后的情况来检查效果是一个好的开始。

在 ROI 分析中，制定一个声明，例如“在我们投资 SIEM 实践、工具或 X 技术之前，我们面临着巨大的风险。在我们部署了XX之后，我们的风险即使没有消除，也大大降低了。 ”

然后证明并证实该说法。 after 语句可以用定量数据来表征，例如被消除的入侵或接入点的数量。您可以量化的越多越好。如果您无法量化，请尽最大努力进行估计，但要保持一致和现实。

支柱 2：考虑成本规避与“回报”

换句话说，不要期望从投资中获得收入或收益。相反，回报是防止 SIEM 提供的入侵和代价高昂的安全灾难。避免成本就是你的回报。

当安全 IT 公司 RSA 就这个主题（SIEM 和 ROI）发布白皮书时，他们重点关注了 ROI 的这个维度：它更多的是关于成本避免，而不是“回报”。 ” 避免成本是 SIEM 提供的价值的核心。

RSA 写道：“多年来一直支持或反对‘安全投资回报 (ROSI)’ 的大多数专家都同意，SIEM 解决方案带来的价值主要在于避免成本领域，而不是定义为‘回报’。最纯粹的经济意义。因此，无论您是在寻找 ROI、ROSI、总拥有成本 (TCO) 还是盈亏平衡点，目标都是可证明的价值。 ”

必须以不同的方式看待 SIEM 解决方案的价值。最好从它避免的成本而不是它产生的直接股息或收入中看出。正如白皮书所述：“这不是棉花糖机。 ”

支柱 3：关注可测量的变量：时间

如果您在投资回报率分析中不关注可量化变量，您就会充满假设。而且假设在商业论证练习中几乎没有什么影响。

不要将时间作为假设，而是将时间作为 SIEM 通过多种方式帮助改进的关键变量。探索节省了多少时间。例如，如果您所在的市场或行业的合规性和审计要求很高，请考虑此类合规性所需的准备工作。 SIEM 工具节省准备时间。节省的时间可以转移到其他安全需求上，这些需求已经在当今忙碌的安全经理的日常日程中争夺注意力。

除了节省时间之外，反应时间也得到了改善。当天塌下来时，组织快速、及时地追踪、发现和保护安全的能力至关重要。好的工具可以实现这一点。反应时间的改善是可以测量的。

添加节省的时间和改进的反应时间，您可以使用可量化的变量作为价值和最终投资回报率的衡量标准。

支柱 4：考虑解决方案的成本—无需早期发现

灾难恢复有许多有形和无形的成本。将安全入侵或重大漏洞比作医疗问题：越早发现，可以实施的选项就越多，降低风险的机会就越大。 SIEM 工具有助于发现违规行为并尽早实施检测。这允许更多的行动方案并更快地呈现它们——通常是在事件发生或开始恶化之前。

如果不及早发现，损害可能会随之而来。但要花多少钱呢？

安全漏洞的成本估算可以在新闻报道中找到。例如，通过简单的媒体搜索即可找到以下数据泄露成本估算：

“马里科帕社区学院数据泄露造成了 2000 万美元的损失，其中包括 230 万美元的律师费。 ”

“Target 数据泄露事件给第三季度带来了 1700 万美元的损失。 ” 应该指出的是，后来有报道称，他们第四季度确认了 6000 万美元的成本，然后另一篇社论估计，当一切都说完了之后，成本为 10 亿美元。

还有一个标题是：“海军内网泄露造成了 1000 万美元的损失。 ”

这样的例子不胜枚举，重点是引用新闻媒体报道是呈现与补救和恢复相关的成本的一种快速且某种程度上可靠的方法。它强化了购买 SIEM 工具的理由，并有助于提高避免成本的紧迫性——并且是基于其他人（而不是您）在入侵后遇到的困难。但它描绘了灾难和大规模违规可能造成的代价。

当以逻辑方式利用建立在避免成本、节省时间和改进反应时间基础上的已知信息来确定 SIEM 的投资回报率时，确定 SIEM 的投资回报率并不困难。

SIEM 的投资回报率最好的解释是它避免的麻烦和预防的灾难。