Un SIEM doit être évalué avec des indicateurs.
Par exemple :
MTTD
Mean Time To Detect
Temps moyen nécessaire pour détecter un incident.
MTTA
Mean Time To Acknowledge
Temps moyen avant prise en compte de l’alerte.
MTTR
Mean Time To Respond/Recover
Temps moyen nécessaire pour répondre ou rétablir la situation, selon la définition retenue.
Autres indicateurs :
- nombre d’alertes
- taux de faux positifs
- taux de faux négatifs estimé
- nombre d’incidents confirmés
- couverture MITRE ATT&CK
- temps d’investigation
- couverture des actifs
- disponibilité de la collecte
- qualité des logs.