Berhenti Menyalahkan Pengguna Akhir atas Risiko Keamanan

Sudah umum di kalangan profesional keamanan siber untuk menunjuk ke pengguna akhir sebagai area risiko teratas dalam mengamankan organisasi. Ini bisa dimengerti. Sistem dan perangkat lunak berada di bawah kendali kami, tetapi pengguna tidak dapat diprediksi, variabel sulit diatur yang memperluas permukaan ancaman kami ke setiap pengguna yang tersebar secara geografis, perangkat pribadi, dan kelemahan serta kekurangan yang terlalu manusiawi.

Tentu saja, pelaku ancaman menargetkan pengguna kami dengan cukup sukses — saya di sini bukan untuk mengabaikan kebenaran yang jelas ini. Tapi yang sama pastinya adalah ini: WKita tidak bisa melatih jalan keluar dari masalah ini. Perusahaan menuangkan investasi yang signifikan ke dalam pelatihan kesadaran keamanan pengguna, dan tetap saja, mereka mengalami pelanggaran yang memalukan dan mahal. Jadi, berfokus terutama pada mengamankan pengguna akhir bukanlah strategi yang baik.

Sistem Aman Dengan Strategi Baru dalam Pikiran

Fakta: pengguna Anda merupakan faktor risiko utama. Berdasarkan “Laporan Pelanggaran dan Investigasi Data 2022 Verizon,” 35% infeksi ransomware dimulai dengan email phishing. Fakta: Ini terlepas dari peningkatan investasi dalam pelatihan kesadaran keamanan selama bertahun-tahun. Pasar pelatihan kesadaran keamanan siber diproyeksikan tumbuh dari $1,854.9 juta pada tahun 2022 menjadi $12,140 juta pada tahun 2027. Fakta: Bahkan dengan semua investasi ini, ransomware (sama seperti satu jenis serangan) juga diperkirakan akan tumbuh secara agresif, meskipun banyak upaya organisasi, termasuk pelatihan.

Fakta menyedihkan dan tak terhindarkan: Pengguna kami masih akan membuat kesalahan — bagaimanapun juga, kita semua adalah manusia. Sebuah survei dilakukan untuk membuktikan perlunya lebih banyak pelatihan keamanan, menurut saya, terbukti ketidakmampuan untuk menghentikan krisis dunia maya: Empat dari lima orang yang disurvei telah menerima pelatihan kesadaran keamanan; antara 26% dan 44% (berdasarkan demografi usia) terus mengeklik tautan dan lampiran dari pengirim yang tidak dikenal.

Jangan Hanya Mengandalkan Mengamankan Pengguna

Kita harus menyimpulkan bahwa keamanan organisasi tidak boleh terlalu bergantung pada pengamanan pengguna, bahwa mereka akan disusupi, dan kemudian mulai mengamankan sistem dengan asumsi ini. Jadi, meskipun pengguna akhir dibobol, jumlah kerusakan sistemik yang diakibatkan oleh penyusupan itu tidak boleh besar. jika langkah-langkah keamanan yang tepat digunakan dan diatur dengan benar.

Haruskah kita melatih pengguna akhir kita? Tentu saja, dengan tegas, ya. Keamanan yang kuat membutuhkan pendekatan berlapis, dan itu berarti menopang keamanan Anda dengan mengamankan setiap pintu masuk ke sistem Anda. Tapi kita harus mulai menghapus risiko pengguna akhir dari persamaan. Ini membutuhkan beberapa pilihan sulit dan dukungan kepemimpinan yang signifikan terhadap pilihan-pilihan ini.

Bagaimana Kami Melucuti Pengguna sebagai Risiko Tertinggi?

Organisasi harus memblokir akses dan mengatur kontrol keamanan dengan lebih baik. Sistem terlalu terbuka secara default; kita harus menutupnya secara default, mengevaluasi setiap risiko, dan kemudian membuka akses dengan pengecualian dan dengan niat penuh. Pengguna tidak dapat mengklik atau membuka apa yang tidak dapat mereka akses, dan di organisasi yang kami nilai atau pulihkan pascapelanggaran, kami melihat karyawan dan sistem memiliki akses yang jauh lebih besar daripada yang diperlukan selama bekerja. Perusahaan harus menggunakan orkestrasi keamanan yang lebih kuat di seluruh orang, proses, dan teknologi mereka sehingga, jika pelaku ancaman mendapatkan akses melalui klik yang tidak tepat, ada kontrol yang dirancang untuk menghentikan gerakan lateral mereka dan pengambilan/peningkatan kredensial.

Organisasi dapat mengambil tindakan proaktif untuk mengurangi risiko pengguna, termasuk: memblokir akses ke akun email pribadi; memfilter lalu lintas HTTPS dengan inspeksi paket mendalam; memblokir akses Internet ke subnet/VLAN nonpengguna secara default; membutuhkan semua lalu lintas pengguna untuk diperiksa dan disaring sepanjang waktu — tidak peduli titik akhirnya; melarang semua kecuali sistem berbagi file dan brankas kata sandi yang disetujui TI; dan mengaktifkan fitur keamanan dalam alat seperti firewall dan deteksi dan respons titik akhir (EDR).

Mengapa Ini Belum Dilakukan? Penghalang

Memblokir akses ke situs dan platform pribadi dan akses sistem yang lebih lambat yang ditimbulkan oleh pemfilteran/inspeksi dapat menyebabkan tingkat ketidakpuasan pengguna dan pemimpin. Beberapa alat yang dibutuhkan juga mahal.

TI membutuhkan suara yang lebih kuat, mengungkapkan masalah, solusi, risiko, dan hasil kegagalan dalam istilah yang dapat didengar dan dipahami oleh para pemimpin, sehingga kontrol yang tepat dan biaya terkait dapat dialokasikan. Pengguna kemudian dapat dididik dari atas ke bawah tentang mengapa kontrol ini diperlukan; dengan demikian, pendidikan kesadaran keamanan dapat beralih dari "jangan klik dan inilah alasannya" menjadi "Kami memblokir sebagian besar hal secara default, dan inilah alasannya." Pemimpin yang masih memilih untuk tidak melakukan investasi yang lebih agresif memiliki masalah pada tingkat risiko yang mereka pilih untuk diterima bagi organisasi.

Seringkali, tim TI juga kekurangan staf atau keahlian: mereka tidak dapat memitigasi risiko yang tidak dapat mereka lihat; mendidik tentang ancaman yang tidak mereka ketahui; atau mengaktifkan alat di mana mereka tidak terlatih. Tim tanpa visibilitas ini harus mempertimbangkan penilaian mendalam atas kontrol, konfigurasi, dan orkestrasi dari pakar yang berkualifikasi.

Satu hal yang pasti: Tidak peduli seberapa banyak pelatihan yang kami berikan, pengguna akan selalu salah. Sangat penting untuk meminimalkan pilihan pengguna untuk mengeklik sejak awal, dan kemudian memastikan bahwa, ketika mereka melakukannya, ada kontrol di tempat untuk mengganggu perkembangan serangan.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Sumber: https://www.darkreading.com/risk/stop-blaming-the-end-user-for-security-risk