قياس أثر الأتمتة

الأتمتة استثمار. فبناء كتيبات الإجراءات وصيانتها يكلّف وقتًا هندسيًا. ولتبرير هذا الإنفاق ومعرفة ما ينبغي تحسينه، يجب قياس أثر كل سير عمل مؤتمت.

من دون مقاييس، لا يمكنكم التمييز بين كتيب إجراءات يوفر ساعات كل أسبوع وآخر يتخذ قرارات سيئة بسرعة أكبر دون أن يلاحظه أحد. يحوّل القياس الأتمتة من ممارسة قائمة على الإيمان إلى انضباط هندسي.

المقياس الأكثر وضوحًا هو وقت المحلل الموفر. قدّروا خط الأساس اليدوي لكل مهمة مؤتمتة، ثم اضربوه في عدد مرات التشغيل.

إذا استغرق فرز حالة تصيد احتيالي 30 دقيقة يدويًا، وكان يُشغّل 200 مرة في الشهر:

يحدّد مقياسان لدورة الحياة إطار أداء مركز العمليات الأمنية (SOC):

• MTTD (متوسط زمن الاكتشاف) — من الاختراق إلى الاكتشاف. ويؤثر SOAR فيه بدرجة أقل؛ إذ إنه مقياس يرتبط في الغالب بهندسة الاكتشاف.
• MTTR (متوسط زمن الاستجابة) — من الاكتشاف إلى الاحتواء. وهنا يتألق SOAR.

تتبّعوا MTTR قبل نشر كتيب الإجراءات وبعده. فالانخفاض من ساعات إلى دقائق هو أوضح دليل على نجاح الأتمتة.

معدل الأتمتة هو نسبة الأحداث التي عالجتها كتيبات الإجراءات بالكامل أو جزئيًا، مقارنةً بالأحداث التي احتاجت إلى عمل يدوي.

فككوه إلى ما يلي:

• مؤتمت بالكامل — أُغلق دون تدخل بشري.
• بمساعدة بشرية — نفّذ كتيب الإجراءات الإثراء، واتخذ الإنسان القرار.
• يدوي بالكامل — لم يُطبّق أي كتيب إجراءات.

يدل ارتفاع معدلي الأتمتة الكاملة والمساعدة البشرية على اتساع نطاق التغطية؛ بينما يشير ثبات المعدل إلى كتيبات إجراءات تحتاج إلى توسيع نطاقها.

لا قيمة للسرعة إذا كانت القرارات خاطئة. وازنوا بين مقاييس الكفاءة ومقاييس الجودة:

• معدل الإيجابيات الكاذبة لعمليات الإغلاق المؤتمتة (هل أغلق كتيب الإجراءات تهديدًا حقيقيًا؟).
• معدل إعادة الفتح — الحالات التي أغلقها كتيب الإجراءات واضطر محلل إلى إعادة فتحها.
• معدل التجاوز — مدى تكرار رفض المحللين للإجراء الذي أوصى به كتيب الإجراءات.

كتيب الإجراءات السريع ذو معدل التجاوز المرتفع لا يوفر الوقت؛ بل يولّد انعدام الثقة.

تبدو بعض الأرقام مثيرة للإعجاب، لكنها مضللة. ويُعد عدد مرات تنفيذ كتيب الإجراءات مقياسًا زائفًا إذا كانت تلك التنفيذات تعالج أحداثًا بسيطة أو مكررة.

قد يبدو تشغيل كتيب إجراءات 10,000 مرة في الشهر إنتاجيًا، لكن إذا كانت 9,000 منها تنبيهات مكررة كان ينبغي كبتها، فإن القصة الحقيقية تتعلق بالضجيج في المنبع، لا بقيمة الأتمتة. اربطوا دائمًا أعداد النشاط بالنتائج والوقت الموفر.

لا يمكنكم قياس ما لا تسجلونه. أدرجوا بيانات القياس في كل كتيب إجراءات: أرسلوا سجلًا منظمًا عند البدء والانتهاء يتضمن القرار والمدة وحدث المصدر.

الأثر هو مقارنة، ولذلك تحتاجون إلى رقم قبل التطبيق. سجّلوا MTTR الحالي، ووقت المعالجة اليدوية، وساعات المحللين لكل نوع من التنبيهات قبل طرح الأتمتة.

لا تستطيع الفرق التي تتجاوز خط الأساس إثبات القيمة أبدًا؛ إذ لا تملك سوى رقم ما بعد الأتمتة دون شيء تقارنه به. سجّلوا خط الأساس حتى بصورة غير رسمية، ثم أعيدوا القياس بعد تشغيل كل كتيب إجراءات.

يهتم التنفيذيون بالمخاطر والتكلفة، لا بالتفاصيل الداخلية لخطط التشغيل. حوّلوا مقاييسكم إلى لغتهم:

• الساعات الموفرة، معبّرًا عنها بسعة مكافئ الدوام الكامل (FTE) المستعادة.
• تخفيض MTTR بوصفه تقليلًا لزمن بقاء المهاجم ومخاطر الاختراق.
• عرض الاتساق وتغطية التدقيق باعتبارهما جاهزية للامتثال.

تحافظ لوحة معلومات واحدة تربط الأتمتة بالوقت والمخاطر والتكلفة على تمويل البرنامج.

تغذي المقاييس حلقة تغذية راجعة. راجعوها وفق وتيرة منتظمة لتقرروا ما ينبغي بناؤه أو إصلاحه أو إيقافه.

• ارتفاع معدل التجاوز -> منطق اتخاذ القرار خاطئ؛ حسّنوه.
• انخفاض معدل الأتمتة في تنبيه كثير الضجيج -> مرشح لخطة تشغيل جديدة.
• خطة تشغيل نادرًا ما تُشغّل -> فكّروا في إيقافها لتقليل تكاليف الصيانة.

لا تنتهي الأتمتة أبدًا؛ فالقياس يوضح أين ينبغي أن تستثمروا بعد ذلك.

لا تحكي أرقام الوقت الموفَّر إلا نصف القصة. تحمل كل خطة تشغيل تكلفة صيانة مستمرة: تتعطل عمليات التكامل، وتتغير واجهات API، ويحتاج منطق اتخاذ القرار إلى الضبط.

المقياس الصادق للقيمة هو القيمة الصافية:

ميّزوا بين المقياس ذي المعنى والمقياس المضلل.

قياس أثر الأتمتة:

• قيسوا الأثر لتبرير الاستثمار ومعرفة ما يحتاج إلى تحسين؛ وسجّلوا خط أساس قبل طرح خطط التشغيل.
• تابعوا الوقت الموفَّر لكل عملية تشغيل، وتخفيض MTTR، ومعدل الأتمتة (التنفيذ المؤتمت بالكامل مقابل التنفيذ بمساعدة بشرية مقابل التنفيذ اليدوي).
• وازِنوا السرعة بالجودة: إغلاقات الإيجابيات الكاذبة، ومعدل إعادة الفتح، ومعدل التجاوز.
• تجنبوا المقاييس الاستعراضية مثل أعداد التنفيذ الخام؛ واربطوا النشاط دائمًا بالنتائج.
• زوّدوا خطط التشغيل ببيانات القياس عن بُعد، وأبلغوا عن الأثر بلغة القيادة (الوحدات المكافئة للدوام الكامل (FTE) الموفَّرة، ومخاطر زمن بقاء المهاجم)، وطبّقوا حلقة تحسين مستمر.