بورتلاند، أور، -، أوج.، شنومكس، شنومكس
- إكليبسيوم®
و فانسون بورن صدر اليوم تقرير جديد يكشف أن القطاع المالي غير مجهز للتعامل بفعالية مع التهديد المستمر لهجمات سلسلة التوريد المتعلقة بالبرامج الثابتة. في الواقع ، يعتقد 92٪ من CISOs في مجال التمويل أن الخصوم أفضل تجهيزًا في تسليح البرامج الثابتة من فرقهم في تأمينها. بالإضافة إلى ذلك ، يعترف ثلاثة من كل أربعة بوجود فجوات في الوعي فيما يتعلق بالنقطة العمياء للبرامج الثابتة للمؤسسة. وبالتالي ، أقر 88٪ ممن شملهم الاستطلاع أنهم تعرضوا لهجوم إلكتروني متعلق بالبرامج الثابتة في العامين الماضيين فقط.
أمان البرامج الثابتة في سلاسل توريد الخدمات المالية يشارك التقرير رؤى من 350 من صانعي القرار في مجال أمن تكنولوجيا المعلومات في القطاع المالي ، وتحديداً أولئك الموجودين في الولايات المتحدة وكندا وسنغافورة وأستراليا ونيوزيلندا وماليزيا. النتائج لا تكشف فقط حالة أمان البرامج الثابتة والافتقار إلى الضوابط الوقائية أو تكتيكات المعالجة ، ولكنها تلقي الضوء أيضًا على الرضا عن الذات ونقص الوعي فيما يتعلق بالتدابير الأمنية الحالية. الأمر الأكثر إثارة للقلق هو الإجماع حول القليل من الاستثمار أو الموارد المخصصة أو عدم وجودها ، والافتقار العام للمهارات اللازمة للتعامل مع أحد أكبر التهديدات في مجال الأمن السيبراني اليوم. تظهر البيانات:
- كان أكثر من النصف (55٪) ضحايا لتسوية على مستوى البرامج الثابتة أكثر من مرة في العامين الماضيين.
- ما يقرب من أربعة من كل 10 فقدان بيانات معدل (وخرق اللائحة العامة لحماية البيانات) كنتيجة رئيسية للهجوم ؛ كما أن الخوف من فقدان ضوابط أمنية مهمة.
- تمت الإشارة إلى تدمير الأجهزة الحرجة (35٪) وفقدان العملاء (34٪) ووصول الخصم إلى الأجهزة الأخرى (34٪) على أنها تأثير ضار في أعقاب هجوم متعلق بالبرامج الثابتة.
"مؤسسات الخدمات المالية هي أهداف رائدة للهجمات الإلكترونية. وهذا ما يفسر سبب كونهم روادًا في تبني تقنيات الحماية الجديدة ، كل ذلك بينما هم تحت المراقبة المستمرة للمنظمين والصناعات الأخرى التي تنتظر أن تحذو حذوها وهم يسعون جاهدين لمكافحة نواقل الهجوم المتطورة باستمرار. ومع ذلك ، في حالة تأمين البرامج الثابتة وسلسلة توريد الأجهزة ، فإننا نرى نقاطًا عمياء محتملة ، "قال رامي حسيني ، المدير التنفيذي العالمي للمرونة الإلكترونية. "يعد التحول في الأولويات أمرًا بالغ الأهمية إذا أردنا حماية سلسلة توريد التكنولوجيا بشكل فعال. يجب أن تستمر المؤسسات المالية في العمل كرائدة وسد فجوة أمان البرامج الثابتة. "
تفتقر المؤسسات المالية إلى رؤى مخاطر البرامج الثابتة للعمل
وفقًا للمعهد الوطني للمعايير والتكنولوجيا (NIST) ، ارتفعت الهجمات على مستوى البرامج الثابتة بنسبة 500٪ منذ عام 2018 ، إلا أن 93٪ من المستجيبين فوجئوا بعدم وجود نظرة ثاقبة حول تهديدات البرامج الثابتة الحالية. في الأشهر الثمانية الماضية وحدها ، كشفت Eclypsium Research عن تخصص رئيسي تهديدات في البرية ، بما فيها هجمات Intel ME من قبل مجموعة Conti ransomware.
لسوء الحظ ، ينبع الافتقار إلى البصيرة من وجود فجوات كبيرة في معرفة البرامج الثابتة وسلسلة التوريد. في الواقع:
- يعرف أكثر من النصف بقليل (53٪) أن ضوابط الأمان الخاصة بهم (جدران الحماية ، عناصر التحكم في الوصول ، إلخ) تعتمد على البرامج الثابتة ، و 44٪ يدركون ذلك عند طرح نفس السؤال حول أجهزة الكمبيوتر المحمولة ، مما يترك 56٪ غير مطلعين.
- يعتقد 47٪ أن لديهم وعيًا تامًا بسطح هجوم البرامج الثابتة الخاص بمؤسستهم ، بينما يعتقد 49٪ أنهم على دراية بذلك. 39٪ فقط قالوا إنهم سيتم إبلاغهم على الفور إذا تم اختراق الجهاز.
على الرغم من المعرفة المتصورة ، يشعر 91 ٪ بالقلق بشأن الفجوة في أمان البرامج الثابتة في سلسلة التوريد الخاصة بمؤسستهم.
المفاهيم الخاطئة ومحدودية الأموال ونقص المهارات / الموارد تؤدي إلى الطفرة
تعد البرامج الثابتة المكون الأساسي لأي جهاز ، وبالتالي سلسلة التوريد الشاملة ، ومع ذلك فهي تظل الجزء الأكثر تجاهلًا ورفضًا من مجموعة التكنولوجيا - مما يخلق حافزًا مثاليًا للهجوم. يوافق أربعة من كل خمسة على أن الثغرات الأمنية في البرامج الثابتة آخذة في الازدياد ويقترب من الجميع (93٪) من أن تأمين البرامج الثابتة يجب أن يكون أولوية عاجلة. لتحريك المسار ، تعتقد المنظمات المالية بالإجماع تقريبًا أن زيادة الاستثمار والموارد أمر حتمي. بشكل إيجابي ، يتوقع المستجيبون زيادة بنسبة 8.5٪ في ميزانية أمن تكنولوجيا المعلومات المخصصة للبرامج الثابتة في العامين القادمين. بالإضافة إلى عوامل النجاح هذه ، يجب على هذه المنظمات أيضًا تبديد الخرافات حول التقنيات والأساليب الحالية التي تخلق إحساسًا زائفًا بالأمان ، مثل:
- يمكن لحلول إدارة الثغرات الأمنية (81٪) و / أو برامج الكشف عن نقاط النهاية والاستجابة لها (EDR) تحديد نقاط ضعف البرامج الثابتة والمساعدة في الإصلاح (83٪).
- تعتبر تمارين نمذجة التهديدات مصدرًا موثوقًا به للحصول على نظرة ثاقبة حول فجوات البرامج الثابتة المحتملة ، وفقًا لـ 37٪ من المستجيبين ، ذكر 57٪ باستخدام هذه العملية في بعض الأحيان. ومن المثير للاهتمام ، أن 96٪ أفادوا بأن تمارين نمذجة التهديدات الخاصة بمؤسساتهم لا تتطابق مع مشهد التهديدات الحالي.
- 12 ساعة هو متوسط الوقت الذي تستغرقه فرق تقنية المعلومات للرد على هجوم قائم على البرامج الثابتة ، حيث عزا المستجيبون نقص المعرفة (39٪) ومحدودية الموارد (37٪) كأهم أسباب طول الوقت غير المبرر. 71٪ ، على الرغم من ذلك ، ميزانية المطالبة ليست عاملا.
"استنادًا إلى هجوم الهجمات المتعلقة بالبرامج الثابتة خلال الأشهر الأخيرة ، من الواضح أن الخصوم لا يضطرون إلى العمل بجد بما يكفي لاستغلال العيوب في سلسلة التوريد التكنولوجية. قال يوري بوليجين ، الرئيس التنفيذي والشريك المؤسس لشركة Eclypsium ، لسوء الحظ ، تمثل بياناتنا البحثية انحدارًا مدفوعًا بحتة بنقص الوعي والتقاعس عن العمل بسبب "بعيدًا عن الأنظار ، بعيدًا عن العقل". "تعتبر التوجيهات والمبادرات الحكومية الجديدة مثل كتالوج CISA المعروف عن نقاط الضعف المستغلة وتوجيهها التشغيلي الملزم بمثابة دعوات لاتخاذ إجراءات فورية لتحسين حماية طبقة البرامج الثابتة المهمة في سلسلة التوريد. قد يكون التقدم بطيئًا ، لكننا نتحرك في الاتجاه الصحيح ".
حول ECLYPSIUM
تقوم منصة Eclypsium القائمة على السحابة بتحديد البرامج الثابتة والتحقق منها وتقويتها في أجهزة الكمبيوتر المحمولة والخوادم ومعدات الشبكة والأجهزة المتصلة. تؤمن منصة Eclypsium سلسلة التوريد الخاصة بجهازك عن طريق مراقبة الأجهزة بحثًا عن التهديدات والمخاطر الحرجة وإصلاح البرامج الثابتة عبر أسطول الأجهزة بالكامل. للمزيد من المعلومات قم بزيارة eclypsium.com.
حول فانسون بورن
Vanson Bourne هو متخصص مستقل في أبحاث السوق لقطاع التكنولوجيا. تستند سمعتهم في التحليل القوي والموثوق القائم على الأبحاث إلى مبادئ بحثية صارمة وقدرتهم على الحصول على آراء كبار صانعي القرار عبر الوظائف الفنية والتجارية ، في جميع قطاعات الأعمال وجميع الأسواق الرئيسية. للمزيد من المعلومات قم بزيارة
www.vansonbourne.com.
