סקר סייברארק מעלה כי ארגונים שאננים ביחס להגנת הסייבר שלהם

לפי ממצאי סקר של סייברארק, ל-50% מהארגונים אין אסטרטגיה לאבטחת חשבונות פריבילגיים בענן, ו- 36 אחוזים מדווחים שההרשאות האדמיניסטרטיביות שמורות במסמכי Word או גיליונות Excel.

מדו"ח האיומים המתקדמים הגלובלי של סייברארק לשנת 2018 עולה, כי קרוב למחצית (46 אחוזים) מאנשי המקצוע בתחום אבטחת המידע אומרים שרק לעתים נדירות הם עושים שינוי מהותי באסטרטגיית האבטחה של הארגון, אפילו אם הארגון עבר מתקפת סייבר. רמת שאננות כזו ביחס לאבטחת סייבר ואי הפקת לקחים מתקריות קודמות מסכנים את הנתונים, התשתיות והנכסים הרגישים של הארגון.

מספר מדהים של מקצועני אבטחת מידע סבור שאבטחת סביבה מתחילה בהגנה על החשבונות הפריבילגיים: 89 אחוזים מהנשאלים ציינו שתשתית המחשוב והמידע הקריטי אינם מוגנים לחלוטין כל עוד החשבונות הפריבילגיים, ההרשאות וה-secrets (סודות) מוגנים אף הם.

המשיבים לסקר פירטו את איומי אבטחת הסייבר הגדולים ביותר שעמם הם מתמודדים, בהם:

• התקפות פישינג ממוקדות (56 אחוזים)
• איומים של גורמים מתוך הארגון (51 אחוזים)
• תוכנות כופר או תוכנות זדוניות (48 אחוזים)
• חשבונות פריבילגיים לא מאובטחים (42 אחוזים)
• מידע לא מאובטח המאוחסן בענן (41 אחוזים).

המשיבים לסקר ציינו עוד, ששיעור המשתמשים המחזיקים בהשראות פריבילגיות אדמיניסטרטיביות במכשירי הקצה, שלהם גדל מ-62 אחוזים בסקר סייברארק מ-2016 ל-87 אחוזים ב-2018 – זינוק של 25 אחוזים המעיד אולי שהצורך של עובדים בגמישות גובר על נהלי האבטחה המומלצים.

ממצאי הסקר רומזים שהשאננות לאבטחה התפשטה בארגונים רבים עד כדי חוסר יכולת להרתיע או לבלום איומי סייבר ואת הסיכונים הנובעים מהם. ממצאים אלה נתמכים בממצאים אחרים:

• 46 אחוזים אומרים שהארגון שלהם אינו מסוגל למנוע מתוקפים לפרוץ לרשתות הפנימיות בכל ניסיון פריצה כזה.
• 36 אחוזים מדווחים שההרשאות האדמיניסטרטיביות שמורות במסמכי Word או גיליונות Excel במחשבי החברה.
• מחצית (50 אחוזים) הודו שפרטיות הלקוחות, או המידע האישי המזהה (PII) שהם מוסרים, עלול להיות בסכנה משום שהנתונים אינם מאובטחים מעבר לרמת האבטחה הבסיסית הנדרשת בחוק.

ההליכי האוטומציה המאפיינים את הענן וה-DevOps משמעותם שחשבונות פריבילגיים, הרשאות וסודות נוצרים בקצב גובר והולך. במקרה של פריצה, הם עלולים להעניק לתוקפים נקודת זינוק קריטית להשגת גישה רוחבית למידע רגיש ברשתות, בנתונים וביישומים או לשימוש בתשתית הענן לפעילויות לא חוקיות של כריית קריפטו. יותר ויותר ארגונים מכירים בסיכון האבטחה הזה אבל עדיין נותרים שאננים בכל הקשור לאבטחת הענן. הסקר מצא כי:

• למחצית (50 אחוזים) הארגונים אין אסטרטגיה לאבטחת חשבונות פריבילגיים בענן.
• יותר משני שליש (68 אחוזים) מעבירים את האחריות לאבטחת הענן לספק ומסתמכים על יכולות אבטחה מובנות.
• 38 אחוזים הצהירו שספק הענן שלהם אינו מספק אבטחה נאותה.

משנים את תרבות האבטחה

שינוי של תרבות אבטחת הסייבר ויציאה מהלך הרוח האדיש חיוניים לאסטרטגיה וההתנהגות הארגוניות. לא מדובר באילוצים תחרותיים חיצוניים. על פי ממצאי הסקר:

• 86 אחוזים ממקצועני אבטחת המידע סבורים שאבטחה צריכה להוות נושא קבוע בדיוני ההנהלה.
• 44 אחוזים דיווחו שהם מביעים הערכה או מתגמלים עובדים שמסייעים למנוע פריצה, כאשר בארה"ב מדובר ב- 74 אחוזים שעושים זאת.
• רק 8 אחוזים מהחברות מבצעים תרגולי Red Team (תקיפות עצמיות) באופן קבוע כדי לגלות נקודות פגיעות קריטיות ולזהות תגובות אפקטיביות.

"התוקפים ממשיכים לפתח את הטקטיקות שלהם, אך ארגונים מתמודדים עם אדישות וחוסר מעש המטים את כף המאזניים לטובת התוקפים," אמר אדם בוסניאן, סגן נשיא בכיר לפיתוח עסקי גלובלי בסייברארק. "חייבת להיות תחושת דחיפות רבה יותר בבניית העמידות בפני המתקפות של היום. זה מתחיל בהבנה של התרחבות המתקפות על חשבונות פריבילגיים וכיצד הן מסכנות את הארגון. מאבק אפקטיבי בחוסר מעש מצריך מנהיגות חזקה, לקיחת אחריות, והגדרה ותקשור ברורים של אסטרטגיות אבטחה, כמו גם יכולת לאמץ דפוס חשיבה "כמו של התוקפים".

הדוח המלא ניתן להורדה – כאן

הסקר השנתי של סייברארק על איומים מתקדמים לשנת 2018 מתפרסם זו השנה ה-11. הסקר נערך על-ידי מכוןVanson Bourne  בקרב יותר מ-1,300 מקבלי החלטות בתחום אבטחת המידע, מפתחי אפליקציות ו-DevOps ומנהלי תחומים עסקיים בארגונים, בשבע מדינות בעולם, בהן: ישראל, אנגליה, ארה"ב, אוסטרליה, גרמניה, צרפת, וסינגפור.