סקר: 46 אחוזים מהארגונים נכשלים בשינוי אסטרטגיית האבטחה בעקבות מתקפת סייבר
לפי ממצאי סקר של סייברארק, ארגונים נכשלים באבטחת חשבונות פריבילגיים והרשאות בענן, בנקודות הקצה ובסביבות ה-IT
אבטחה מתחילה בהגנה על חשבונות פריבילגיים
מספר מדהים של מקצועני אבטחת מידע סבור שאבטחת סביבה מתחילה בהגנה על החשבונות הפריבילגיים: 89 אחוזים מהנשאלים ציינו שתשתית המחשוב והמידע הקריטי אינם מוגנים לחלוטין כל עוד החשבונות הפריבילגיים, ההרשאות וה-secrets (סודות) מוגנים אף הם.
המשיבים לסקר פירטו את איומי אבטחת הסייבר הגדולים ביותר שעמם הם מתמודדים, בהם:
• התקפות פישינג ממוקדות (56 אחוזים)
• איומים של גורמים מתוך הארגון (51 אחוזים)
• תוכנות כופר או תוכנות זדוניות (48 אחוזים)
• חשבונות פריבילגיים לא מאובטחים (42 אחוזים)
• מידע לא מאובטח המאוחסן בענן (41 אחוזים).
המשיבים לסקר ציינו עוד, ששיעור המשתמשים המחזיקים בהשראות פריבילגיות אדמיניסטרטיביות במכשירי הקצה, שלהם גדל מ-62 אחוזים בסקר סייברארק מ-2016 ל-87 אחוזים ב-2018 – זינוק של 25 אחוזים המעיד אולי שהצורך של עובדים בגמישות גובר על נהלי האבטחה המומלצים.
האדישות שעלולה להוביל לפגיעה בנתונים
ממצאי הסקר רומזים שהשאננותלאבטחה התפשטה בארגונים רבים עד כדי חוסר יכולת להרתיע או לבלום איומי סייבר ואת הסיכונים הנובעים מהם. ממצאים אלה נתמכים בממצאים אחרים:
• 46 אחוזים אומרים שהארגון שלהם אינו מסוגל למנוע מתוקפים לפרוץ לרשתות הפנימיות בכל ניסיון פריצה כזה.
• 36 אחוזים מדווחים שההרשאות האדמיניסטרטיביות שמורות במסמכי Word או גיליונות Excel במחשבי החברה.
• מחצית (50 אחוזים) הודו שפרטיות הלקוחות, או המידע האישי המזהה (PII) שהם מוסרים, עלול להיות בסכנה משום שהנתונים אינם מאובטחים מעבר לרמת האבטחה הבסיסית הנדרשת בחוק.
אדישות וגישה של "ראש קטן" לאבטחת ההרשאות והמידע בענן יוצרות סיכוני סייבר
תהליכי האוטומציה המאפיינים את הענן וה-DevOps משמעותם שחשבונות פריבילגיים, הרשאות וסודותנוצרים בקצב גובר והולך. במקרה של פריצה, הם עלולים להעניק לתוקפים נקודת זינוק קריטית להשגת גישה רוחבית למידע רגיש ברשתות, בנתונים וביישומים או לשימוש בתשתית הענן לפעילויות לא חוקיות של כריית קריפטו. יותר ויותר ארגונים מכירים בסיכון האבטחה הזה אבל עדיין נותרים שאננים בכל הקשור לאבטחת הענן. הסקר מצא כי:
• למחצית (50 אחוזים) הארגונים אין אסטרטגיה לאבטחת חשבונות פריבילגיים בענן.
• יותר משני שליש (68 אחוזים) מעבירים את האחריות לאבטחת הענן לספק ומסתמכים על יכולות אבטחה מובנות.
• 38 אחוזים הצהירו שספק הענן שלהם אינו מספק אבטחה נאותה.
משנים את תרבות האבטחה
שינוי של תרבות אבטחת הסייבר ויציאה מהלך הרוח האדיש חיוניים לאסטרטגיה וההתנהגות הארגוניות. לא מדובר באילוצים תחרותיים חיצוניים. על פי ממצאי הסקר:
• 86 אחוזים ממקצועני אבטחת המידע סבורים שאבטחה צריכה להוות נושא קבוע בדיוני ההנהלה.
• 44 אחוזים דיווחו שהם מביעים הערכה או מתגמלים עובדים שמסייעים למנוע פריצה, כאשר בארה"ב מדובר ב- 74 אחוזים שעושים זאת.
• רק 8 אחוזים מהחברות מבצעים תרגולי Red Team (תקיפות עצמיות) באופן קבוע כדי לגלות נקודות פגיעות קריטיות ולזהות תגובות אפקטיביות.
"התוקפים ממשיכים לפתח את הטקטיקות שלהם, אך ארגונים מתמודדים עם אדישות וחוסר מעש המטים את כף המאזניים לטובת התוקפים," אמר אדם בוסניאן, סגן נשיא בכיר לפיתוח עסקי גלובלי בסייברארק. "חייבת להיות תחושת דחיפות רבה יותר בבניית העמידות בפני המתקפות של היום. זה מתחיל בהבנה של התרחבות המתקפות על חשבונות פריבילגיים וכיצד הן מסכנות את הארגון. מאבק אפקטיבי בחוסר מעש מצריך מנהיגות חזקה, לקיחת אחריות, והגדרה ותקשור ברורים של אסטרטגיות אבטחה, כמו גם יכולת לאמץ דפוסחשיבה "כמו של התוקפים".
אדם בוסניאן, סגן נשיא בכיר לפיתוח עסקי גלובלי בסייברארק צילום: סייברארק
