حملات سایبری: یک تهدید وجودی بسیار واقعی برای سازمان ها

همه ما می دانیم که امنیت سایبری یک عنصر حیاتی در ریسک تجاری است. اما چقدر انتقادی؟ به نظر می رسد برخی از اتاق های هیئت مدیره کمی بیشتر از خدمات امنیتی به امنیت پرداخت می کنند و هنوز هم از عواقب جدی جلوگیری می کنند. به همین دلیل یک جدید گزارش از شرکت بیمه جهانی Hiscox باعث خواندن جالب می شود در واقع ادعا می کند که بسیاری از سازمان های اروپایی و آمریکایی پس از نقض های امنیتی به ورشکستگی نزدیک شده اند. و در حالی که هزینه‌ها در حال افزایش است، کمتر شرکت جهانی از همیشه به عنوان «متخصص» آمادگی سایبری توصیف می‌شوند.

واضح است که دانستن اینکه سرمایه گذاری در امنیت سایبری به کجا هدایت شود، هرگز مهم نبوده است. پس کارشناسان برای جلوگیری از ورشکستگی چه می کنند؟ بر اساس این گزارش، این تا حد زیادی ترکیبی از اصول اولیه بهترین تمرین و تمایل به درس گرفتن از حوادث قبلی است.

یک تهدید وجودی

این گزارش از مصاحبه با 5,000 کسب و کار در ایالات متحده، بریتانیا، بلژیک، فرانسه، آلمان، اسپانیا، هلند و ایرلند تهیه شده است. برخی از یافته ها را قبلا می دانستیم. اما تفاوت های ظریف جالبی وجود دارد. مثلا:

• هفت کشور از هشت کشور، حمله سایبری را به عنوان تهدید شماره یک برای کسب و کار خود رتبه بندی می کنند
• نیمی (48٪) از پاسخ دهندگان یک حمله سایبری را در 12 ماه گذشته گزارش کرده اند، در مقایسه با 43٪ در سال گذشته.
• یک پنجم (19٪) از پاسخ دهندگان یک حمله باج افزار را گزارش کردند، از 16٪. دو سوم قربانیان به مهاجمان خود پول پرداخت کردند

تا اینجا، خیلی معمول است. با این حال، شکاف بزرگی در درک بین کسانی که مورد حمله قرار گرفته‌اند و کسانی که مورد حمله قرار نگرفته‌اند وجود دارد. بیش از نیمی (55٪) از قربانیان حملات سایبری، امنیت سایبری را به عنوان منطقه ای پرخطر می بینند، اما این رقم برای کسانی که سازش را تجربه نکرده اند به 36٪ کاهش می یابد. به طور مشابه، 41 درصد از افرادی که مورد حمله قرار گرفتند می گویند که در معرض خطر قرار گرفتن آنها افزایش یافته است، اما برای گروه دیگر این رقم کمتر از یک چهارم (23 درصد) است.

نکته جالب دیگر: به نظر می رسد که مجرمان سایبری هستند به طور فزاینده ای شرکت های کوچکتر را هدف قرار می دهد. کسانی که درآمدی بین 100,000 تا 500,000 دلار دارند، اکنون می توانند به اندازه کسانی که سالانه 1 تا 9 میلیون دلار درآمد دارند، انتظار حمله داشته باشند.

شرکت های هزینه یابی عزیز

این مهم است، زیرا یک پنجم شرکت‌هایی که مورد حمله قرار گرفته‌اند می‌گویند بدهی آنها در معرض تهدید قرار گرفته است که نسبت به سال گذشته 24 درصد افزایش داشته است. اگرچه در گزارش مشخص نشده است، هزینه های نقض ممکن است شامل موارد زیر باشد:

• قطعی های عملیاتی
• هزینه های قانونی
• اضافه کاری فناوری اطلاعات و هزینه های پزشکی قانونی شخص ثالث
• جریمه های نظارتی
• ریزش مشتری
• خروجی و فروش از دست رفته
• آسیب بلند مدت به شهرت

این ممکن است تا حدی توضیح دهد که چرا هزینه ها افزایش یافته است. بر اساس این گزارش، میانگین هزینه های امنیت سایبری پاسخ دهندگان در سال گذشته 60 درصد افزایش یافته و به 5.3 میلیون دلار آمریکا رسیده است و از سال 250 تا کنون 2019 درصد افزایش یافته است.

مهاجمان چگونه سازمان ها را به خطر می اندازند؟

برای درک بهتر اینکه چگونه سازمان شما می تواند از ورشکستگی جلوگیری کند، ابتدا باید بدانیم که عوامل تهدید چگونه این همه خسارت وارد می کنند. بر اساس این گزارش، بردارهای اصلی برای حمله عبارتند از:

• سرورهای ابری (41%)
• ایمیل تجاری (40%)
• سرورهای شرکتی (37%)
• سرورهای دسترسی از راه دور (31%)
• دستگاه های تلفن همراه متعلق به کارمندان (29%)
• DDoS (26%)

این با یافته‌های گزارش‌های دیگر و این روایت که کار از راه دور، سرمایه‌گذاری‌های مرتبط با بیماری همه‌گیر در زیرساخت‌های ابری و چالش‌های امنیتی کار از راه دور، برخی از بزرگ‌ترین خطراتی هستند که امروزه سازمان‌ها با آن مواجه هستند، مطابقت دارد. اینها با خطای انسانی ترکیب شده اند تا سطح حمله بزرگی را برای عوامل تهدید ایجاد کنند.

کار بعدی چیه

یکی از نگرانی‌ها این واقعیت است که امتیازات آمادگی سایبری همانطور که توسط Hiscox تخمین زده می‌شود سال به سال 2.6 درصد کاهش یافته است که منجر به کاهش شدید تعداد شرکت‌هایی که به‌عنوان «متخصص» رتبه‌بندی شده‌اند - از 20 درصد به تنها 4.5 درصد رسیده است. نسبت رتبه‌بندی‌شده به‌عنوان تازه‌کار نیز به‌طور قابل‌توجهی کاهش یافت، و بیشتر آنها به عنوان «متوسط» باقی ماندند. این گزارش مدعی شد که آمادگی سایبری اهمیت دارد زیرا میانگین هزینه‌های حمله، به عنوان درصدی از درآمدها، برای شرکت‌هایی که به عنوان «مبتدیان سایبری» رتبه‌بندی می‌شوند، دو و نیم برابر بیشتر است.

بنابراین یک سازمان بالغ آماده سایبری چگونه به نظر می رسد؟ خوشبختانه، همه چیز به مقدار پولی که برای خرج کردن در دسترس است بستگی ندارد. چندین روش برتر برجسته شده است، از جمله موارد زیر:

• امنیت سایبری را با نقش های مشخص و مشخص و خرید هیئت مدیره یا مدیریت ارشد رسمی کنید
• اطمینان حاصل کنید که مدیران ارشد دارای دید واضح و تعامل با امنیت سایبری هستند
• از بهترین استانداردهای عملی مانند چارچوب موسسه ملی استاندارد و فناوری ایالات متحده (NIST).
• سرمایه گذاری را بر روی پنج عملکرد کلیدی NIST گسترش دهید - شناسایی، محافظت، شناسایی، پاسخ و بازیابی
• تمرکز بر برنامه ریزی واکنش به حادثه و شبیه سازی حمله در پرتو عدم قطعیت ژئوپلیتیک فعلی
• به طور منظم داده های شرکت و زیرساخت های فناوری را ارزیابی کنید
• موثر ارائه دهد آموزش آگاهی از امنیت سایبری
• اطمینان حاصل کنید که تامین کنندگان و شرکای تجاری به الزامات امنیتی پایبند هستند
• روی فرآیندهای «میوه کم آویزان» مانند پچ کردن، پنتست کردن و پشتیبان‌گیری منظم تمرکز کنید

روی هم رفته، این مراحل به حداقل رساندن احتمال حمله که در نهایت سازمان را ورشکست می کند، کمک می کند.