Raportti: Rahoituslaitokset ovat hämmentyneitä, kun ne kohtaavat kasvavia laiteohjelmiston tietoturva- ja toimitusketjuuhkia

Portland, Ore – 23. elokuuta 2022
- Eklypsia^®
ja Vanson Bourne julkaisi tänään uuden raportin, joka paljastaa, että rahoitussektorilla ei ole riittävästi mahdollisuuksia torjua tehokkaasti jatkuvaa laiteohjelmistoon liittyvien toimitusketjuhyökkäysten uhkaa. Itse asiassa 92 % CISO:sta rahoitusalalla uskoo, että vastustajat ovat paremmin varustautuneet laiteohjelmiston asettamiseen kuin heidän tiiminsä varmistamaan sen. Lisäksi kolme neljästä tunnustaa tietoisuuden puutteet organisaation laiteohjelmiston kuolleesta kulmasta. Näin ollen 88 % kyselyyn vastanneista myöntää kokeneensa laiteohjelmistoon liittyvän kyberhyökkäyksen pelkästään viimeisen kahden vuoden aikana.

Firmware-suojaus rahoituspalvelujen toimitusketjuissa raportti jakaa näkemyksiä 350 IT-turvallisuuspäättäjältä rahoitussektorilla, erityisesti Yhdysvalloissa, Kanadassa, Singaporessa, Australiassa, Uudessa-Seelannissa ja Malesiassa. Löydökset paljastavat laiteohjelmiston suojauksen tilan ja ennaltaehkäisevien toimenpiteiden tai korjaustaktiikkojen puutteen, vaan myös valaisevat tyytyväisyyttä ja tietämättömyyttä nykyisistä turvatoimista. Hälyttävämpää on yksimielisyys siitä, että investointeja tai resursseja on vähän tai ei ollenkaan, ja yleinen taitojen puute torjua yhtä tämän hetken suurimmista kyberturvallisuuden uhkista. Data näyttää:

• Yli puolet (55 %) on joutunut laiteohjelmistotason kompromissin uhriksi useammin kuin kerran viimeisen kahden vuoden aikana.
• Lähes neljä kymmenestä prosentista tiedon menetys (ja GDPR-rikkomus) on hyökkäyksen johtava seuraus; Yhtä lailla sijoittuu myös kriittisten turvatarkastusten menettämisen pelko.
• Kriittisten laitteiden tuhoutuminen (35 %), asiakkaiden menetys (34 %) ja vastustajan pääsy muihin laitteisiin (34 %) todettiin kaikki yhtä lailla haitallisina vaikutuksina laiteohjelmistoon liittyvän hyökkäyksen seurauksena.

”Rahoituspalveluorganisaatiot ovat kyberhyökkäysten johtavia kohteita. Tämä selittää, miksi he ovat etujoukoissa uusien suojatekniikoiden käyttöönotossa, samalla kun ne ovat jatkuvasti valvovien viranomaisten ja muiden teollisuudenalojen silmällä, jotka odottavat seuraavansa esimerkkiään, kun ne pyrkivät taistelemaan jatkuvasti kehittyviä hyökkäysvektoreita vastaan. Silti laiteohjelmiston ja laitteiston toimitusketjun turvaamisen osalta näemme mahdollisia kuolleita kulmia", sanoi Ramy Houssaini, Global Cyber ​​Resilience Executive. "Prioriteettien muutos on kriittinen, jos aiomme suojella teknologian toimitusketjua tehokkaasti. Rahoitusorganisaatioiden on edelleen toimittava edelläkävijöinä ja täytettävä laiteohjelmiston tietoturvavaje."

Rahoitusorganisaatioilta puuttuu laiteohjelmiston riskinäkemys toimia

National Institute of Standards and Technologyn (NIST) mukaan laiteohjelmistotason hyökkäykset ovat lisääntyneet 500 % vuodesta 2018 lähtien, mutta 93 % vastaajista on yllättynyt nykyisten laiteohjelmistouhkien puutteesta. Pelkästään viimeisen kahdeksan kuukauden aikana Eclypsium Research on paljastanut merkittäviä luonnossa esiintyvät uhkaukset, mukaan lukien Conti ransomware -ryhmän Intel ME -hyökkäykset.
Valitettavasti näkemyksen puute johtuu huomattavista puutteista laiteohjelmiston ja toimitusketjun tuntemisessa. Itse asiassa:

• Hieman yli puolet (53 %) tietää, että heidän tietoturvansa (palomuurit, kulunvalvonta jne.) perustuvat laiteohjelmistoon, 44 % on tietoinen, kun heiltä kysytään sama kysymys kannettavista tietokoneista, joten 56 % on tietämätön.
• 47 % uskoo tietävänsä täysin organisaationsa laiteohjelmiston hyökkäyspinnan, ja 49 % on enimmäkseen tietoisia. Vain 39 % sanoi, että he saisivat välittömästi tiedon, jos laite olisi vaarantunut.

Huolimatta havaitusta tiedosta, 91 % on huolissaan laiteohjelmiston tietoturvan puutteesta organisaationsa toimitusketjussa.

Väärinkäsitykset, rajalliset varat ja taitojen/resurssien puute lisäävät nousua

Laiteohjelmisto on minkä tahansa laitteen ja siten myös koko toimitusketjun perustavanlaatuisin komponentti, mutta silti se on edelleen teknologiapinon huomiotta jäänyt ja hylätyin osa – luoden täydellisen katalysaattorin hyökkäykselle. Neljä viidestä on samaa mieltä siitä, että laiteohjelmiston haavoittuvuudet ovat kasvussa, ja lähes kaikki (93 %) sanovat, että laiteohjelmiston turvaamisen tulisi olla kiireellinen prioriteetti. Neulan siirtämiseksi rahoitusorganisaatiot uskovat lähes yksimielisesti, että investointien ja resurssien lisääminen on välttämätöntä. Positiivisesti vastaajat odottavat 8.5 prosentin lisäystä IT-tietoturvabudjettiin, joka on varattu laiteohjelmistoon seuraavan 1-2 vuoden aikana. Näiden menestystekijöiden lisäksi näiden organisaatioiden on myös hälvennettävä myyttejä nykyisistä teknologioista ja menetelmistä, jotka luovat väärää turvallisuuden tunnetta, kuten:

• Haavoittuvuuksien hallintaratkaisut (81 %) ja/tai niiden päätepisteiden havaitsemis- ja vastausohjelmat (EDR) voivat tunnistaa laiteohjelmiston haavoittuvuudet ja auttaa niiden korjaamisessa (83 %).
• Uhkien mallinnusharjoitukset ovat luotettava lähde asiantuntevalle näkemykselle mahdollisista laiteohjelmiston puutteista, 37 % vastaajista sanoo, että 57 % käyttää prosessia jonkin aikaa. Mielenkiintoista on, että 96 % ilmoittaa, että heidän organisaationsa uhkamallinnusharjoitukset eivät vastaa tämän päivän uhkakuvaa.
• 12 tuntia on IT-tiimien keskimääräinen aika reagoida laiteohjelmistopohjaiseen hyökkäykseen. Vastaajat pitivät tiedon puutetta (39 %) ja rajallisia resursseja (37 %) tärkeimpänä syynä kohtuuttoman pitkän ajan pituuteen. 71 %, mutta väittää, että budjetti ei ole tekijä.

"Viime kuukausien laiteohjelmistoon liittyvien hyökkäysten perusteella on selvää, että vastustajien ei tarvitse työskennellä tarpeeksi lujasti hyödyntääkseen teknologian toimitusketjussa olevia puutteita. Valitettavasti tutkimustietomme edustavat taantumista, joka johtuu puhtaasti tietoisuuden puutteesta ja toimimattomuudesta, joka johtuu "poissa silmistä, poissa mielestä", sanoi Yuriy Bulygin, Eclypsiumin toimitusjohtaja ja toinen perustaja. "Uudet hallituksen direktiivit ja aloitteet, kuten CISA:n tunnettujen hyödynnettyjen haavoittuvuuksien luettelo ja sen sitova toimintadirektiivi, vaativat välittömiä toimia toimitusketjun kriittisen laiteohjelmistokerroksen suojaamiseksi paremmin. Eteneminen saattaa olla hidasta, mutta olemme menossa oikeaan suuntaan.

TIETOJA EKLYPSIUMISTA

Eclypsiumin pilvipohjainen alusta tunnistaa, vahvistaa ja vahvistaa kannettavien tietokoneiden, palvelimien, verkkolaitteiden ja yhdistettyjen laitteiden laiteohjelmistoa. Eclypsium-alusta suojaa laitteesi toimitusketjua tarkkailemalla laitteita uhkien, kriittisten riskien varalta ja korjaamalla laiteohjelmiston koko laitekannassa. Lisätietoja on osoitteessa eclypsium.com.

Tietoja Vanson Bournesta

Vanson Bourne on riippumaton teknologia-alan markkinatutkimuksen asiantuntija. Heidän maineensa vankkana ja uskottavana tutkimuspohjaisena analyysinä perustuu tiukoihin tutkimusperiaatteisiin ja heidän kykyynsä pyytää ylempien päättäjien mielipiteitä teknisissä ja liiketoiminnallisissa toiminnoissa kaikilla liiketoiminta-alueilla ja kaikilla tärkeimmillä markkinoilla. Lisätietoja on osoitteessa
www.vansonbourne.com.