KPI-er for endepunktadministrasjon er de få tallene om enhetsparken som ledelsen kan ta en beslutning ut fra: hvor stor del av enhetsparken IT faktisk ser, hvor eksponert den er, og om eksponeringen krymper. De fleste IT-team samler inn langt mer data enn det. Problemet er sjelden mangel på tall. Det er at tallene som når ledelsen, skifter definisjon fra én rapport til den neste, så ingen kan se om enhetsparken ble bedre eller om tellemåten endret seg.
Hvorfor de fleste KPI-er for endepunktadministrasjon aldri når ledelsen
Selv et lite IT-team kan ende opp med å jobbe i flere verktøy, hvert med sitt eget dashbord. Driften leser utrullingskonsollen. Supporten leser saksbehandlingssystemet. Sikkerhet leser sårbarhetsskanneren. Hver visning er korrekt på sine egne premisser, og hver av dem teller enhetsparken på en annen måte.
Når en leder stiller et enkelt spørsmål – hvor mange av de bærbare PC-ene våre er oppdatert? – kan tre team gi tre svar, og alle kan forsvares. Ledelsen hører da et tall som endrer seg av grunner som ikke har noe med enhetsparken å gjøre. Etter noen runder med det slutter tallene å ha tyngde, og beslutninger om budsjett og risiko faller tilbake på magefølelsen.
Løsningen er ikke en større rapport. Det er en mindre rapport, bygget på tall som står stille når ingenting i enhetsparken har endret seg.
Fem KPI-er for endepunktadministrasjon som ledelsen kan handle ut fra
En nyttig KPI er ett enkelt tall som kan gå opp eller ned mellom to rapporter, og som peker på en handling IT kan gjøre. Disse fem dekker spørsmålene som oftest dukker opp: Ser vi enhetsparken, er den patchet, er den beskyttet, hvor eksponert er den, og er resten av programvaren oppdatert?
1. Agentdekning: Andelen av enhetsparken som fortsatt rapporterer inn
Alle de andre tallene avhenger av dette. Et endepunkt som har vært stille i ukevis, beholder sin gamle tilstand i inventaret, og det fortsetter å telle med i hver prosentandel du rapporterer. Tell endepunktene som har sjekket inn de siste 30 dagene, og del på antallet endepunkter IT forventer å administrere – alle enhetene som er omfattet, minus dem IT allerede har faset ut eller bevisst tatt ut av drift. Å dele på det rå inventaret ville skjule nettopp problemet denne KPI-en skal finne. Faller andelen, hviler hvert tall under den på enheter IT ikke lenger ser – problemet bak foreldede enheter.
2. Endepunkter som mangler Windows-oppdateringer med høy risiko
Tell endepunktene som mangler minst én Windows-oppdatering som retter en kjent CVE eller har alvorlighetsgraden Critical eller Important fra Microsoft Security Response Center (MSRC). Bruk den sikkerhetsmessige alvorlighetsgraden, ikke oppdateringsklassifiseringen: Microsoft merker også enkelte feilrettinger som ikke gjelder sikkerhet, som «critical updates». Utelat det totale antallet tilgjengelige oppdateringer. Det stiger hver måned og forteller ledelsen ingenting om risiko. Et kort tall over alvorlig eksponerte endepunkter gjør det.
3. Endepunkter uten grunnleggende beskyttelse
Tre kontroller dekker det grunnleggende: antivirus som kjører med oppdaterte definisjoner, kryptert systemdisk og aktiv brannmur. Tell endepunktene som stryker på minst én av de tre kontrollene. En mistet bærbar PC med ukryptert disk er en helt annen samtale med ledelsen enn en der IT kan bevise at disken forble kryptert.
4. Eksponering for sårbarheter
En liste over alle åpne CVE-er er et teknisk dokument, ikke en KPI, og selv en topp fem-liste kan ikke gå opp eller ned. Rapporter i stedet én eksponeringsscore for hele enhetsparken, vektet etter alvorlighetsgrad, slik at noen få kritiske sårbarheter teller mer enn mange mindre. Vis deretter de fem mest alvorlige sårbarhetene som er oppdaget. Scoren forteller ledelsen om eksponeringen beveger seg; de fem forteller IT hvor de skal sette inn tiltak. Dukker de samme fem opp kvartal etter kvartal, er det et funn i seg selv.
5. Samsvarsgrad for patching av programmer
Dette er et driftstall om oppdateringer, ikke et regulatorisk tall. Oppdateringer av operativsystemet følger en månedlig rytme. Tredjepartsprogrammer gjør ikke det, og de glir stille ut av kurs. Rapporter andelen programpatcher som er oppdatert, og tell alt som er tilgjengelig, venter, pågår eller har feilet, som ikke oppdatert. Rapporter samsvarsgraden for drivere ved siden av som et støttetall, men hold de to fra hverandre: Samsvarsgraden for drivere teller bare endepunkter med støttet maskinvare, så nevnerne er ulike, og et samlet tall ville ikke tåle en ny gjennomgang. Når tallet kommer til kort, lukker Application Manager, en del av CapaOne-plattformen for endepunktadministrasjon, gapet ved å holde tredjepartsprogrammer oppdatert.
De fem KPI-ene i en oversikt
| KPI | Slik teller du den | Hva ledelsen kan beslutte ut fra den |
|---|---|---|
| Agentdekning | Endepunkter som har sjekket inn innen 30 dager ÷ endepunkter IT forventer å administrere | Om resten av rapporten holder, og hvor inventaret trenger opprydding |
| Windows-oppdateringer med høy risiko | Endepunkter som mangler en oppdatering knyttet til en kjent CVE eller med MSRC-graden Critical eller Important | Om patchingen holder tritt med risikoen, eller om teamet trenger mer kapasitet |
| Grunnleggende beskyttelse | Endepunkter som stryker på kontroll av antivirus, kryptering av systemdisk eller brannmur | Hvilke beskyttelseshull som skal lukkes først |
| Eksponering for sårbarheter | Én eksponeringsscore for enhetsparken, vektet etter alvorlighetsgrad, med de fem mest alvorlige CVE-ene ved siden av | Om risikoen faller, og hvilke sårbarheter som får en eier og en frist |
| Samsvarsgrad for patching av programmer | Andelen programpatcher som er oppdatert, med samsvarsgraden for drivere ved siden av | Om patchingen dekker hele programvarestakken, ikke bare operativsystemet |
Hver av disse kan gå dypere når en bestemt risiko krever det. Privilegier er det tydeligste eksempelet: målene som er verdt å følge etter et rollebytte, gir ledelsen et eget bilde av hvem som har administratorrettigheter, og hvorfor.
Hold tallene like på tvers av drift, support og sikkerhet
Fem gode KPI-er feiler likevel hvis hvert team regner dem ut på sin egen måte. Tre regler holder dem stabile.
Én datakilde. Hent hver KPI fra den samme plattformen, ikke fra fem konsoller som er sydd sammen i et regneark. Når drift, support og sikkerhet ser på de samme dataene, blir en uenighet om tallet til en diskusjon om enhetsparken. IT i Holbæk kommune jobber slik: Rundt 30 IT-medarbeidere i Digitalisering, Drift og Support bruker det samme systemet og det samme dashbordet, og dermed den samme terminologien.
Én definisjon per tall. Bli enige én gang om hva som regnes som å «rapportere inn», hvilke oppdateringer som regnes som høyrisiko, og hvilke enheter som er omfattet. Skriv ned definisjonene og hold dem sammen med rapporten.
Ett punkt i syklusen. Ta hvert kvartalsvise øyeblikksbilde på samme punkt i patchsyklusen – for eksempel like mange virkedager etter Microsofts månedlige sikkerhetsoppdatering. Et øyeblikksbilde to dager etter oppdateringen og et tre uker etter kan avvike kraftig, selv om teamet presterer nøyaktig likt. Ta vare på hvert tidligere øyeblikksbilde, så ledelsen ser retningen over tid og IT kan vise nøyaktig hva som endret seg.
Her viser CapaOne hvert tall
CapaOne, plattformen for endepunktadministrasjon som er utviklet i Danmark, samler dataene bak alle de fem KPI-ene i én konsoll. Den kjører som en komplett plattform på egen hånd. Ingen enkelt innebygd rapport gir de fem tallene nøyaktig slik de er definert her, men hvert av dem har et tydelig sted der du leser det:
- Agentdekning: Filtrer listen over Windows-endepunkter på siste innsjekking for å finne endepunktene som har blitt stille.
- Windows-oppdateringer med høy risiko: Security Monitor vurderer Windows-oppdateringene på hvert endepunkt som «Poor» når en manglende oppdatering har en tilknyttet CVE eller MSRC-graden Critical eller Important.
- Grunnleggende beskyttelse: Security Monitor kontrollerer antivirus, kryptering og brannmur på hvert endepunkt og vurderer hver kontroll som «Good», «Fair», «Poor» eller «None» når den ikke kan hente inn dataene.
- Eksponering for sårbarheter: Sikkerhetsdashbordet viser «Overall Exposure», en score fra 0 til 10 som er gjennomsnittet av hvert endepunkts CVE-score vektet etter alvorlighetsgrad, ved siden av de mest alvorlige sårbarhetene som er oppdaget.
- Samsvarsgrad for patching av programmer: Sikkerhetsoversikten viser andelen programpatcher som er oppdatert, og separat samsvarsgraden for drivere på endepunkter med støttet maskinvare.
Den innebygde sikkerhetsrapporten inneholder manglende Windows-oppdateringer, antivirus, kryptering, brannmurstatus og de fem mest alvorlige CVE-ene som er oppdaget. Den eksporteres til Excel for ledelsen eller CSV for videre analyse, og CapaOne arkiverer hver eksport med format, dato og personen som kjørte den. Det arkivet er kvartalsprotokollen: Last ned forrige kvartals eksport og sammenlign den med denne. Registrer agentdekningen, eksponeringsscoren og patchprosentene på samme tidspunkt, slik at alle fem tallene kommer fra det samme øyeblikksbildet. Se hvordan delene henger sammen på siden om rapportering og overvåking.
Dette endrer seg når ledelsen får de samme tallene hvert kvartal
- Ledelsen ser fem tall i stedet for fem dashbord, og hvert av dem kommer med en handling.
- Drift, support og sikkerhet diskuterer enhetsparken, ikke hvem som har talt riktig.
- Et tall som beveger seg, betyr at enhetsparken beveget seg, fordi kilden, definisjonen og punktet i syklusen var de samme.
- IT kan vise fremgang over et år med øyeblikksbilder som allerede finnes, i stedet for å gjenskape historikken før et styremøte.
En kort rapport som står stille, gir mer tillit enn en lang rapport som skifter form hvert kvartal. Book en demo av CapaOne-plattformen for endepunktadministrasjon for å se dataene bak de fem KPI-ene i din egen enhetspark.