פורטלנד, אורה - 23 באוגוסט 2022
- אקלפיום®
ו ואנסון בורן פרסם היום דוח חדש שחושף שהמגזר הפיננסי אינו מצויד להתמודד ביעילות עם האיום המתמשך של התקפות שרשרת האספקה הקשורות לקושחה. למעשה, 92% מה-CISO בפיננסים מאמינים שיריבים מצוידים טוב יותר בנשק קושחה מאשר הצוותים שלהם באבטחתה. בנוסף, שלושה מתוך ארבעה מכירים בפערים במודעות לגבי הנקודה העיוורת של הקושחה של הארגון. כתוצאה מכך, 88% מהנסקרים מודים שחוו מתקפת סייבר הקשורה לקושחה בשנתיים האחרונות בלבד.
אבטחת הקושחה בשרשרת האספקה של שירותים פיננסיים הדו"ח חולק תובנות מ-350 מקבלי החלטות בתחום אבטחת IT במגזר הפיננסי, במיוחד אלה המבוססים בארה"ב, קנדה, סינגפור, אוסטרליה, ניו זילנד ומלזיה. הממצאים לא רק חושפים את מצב אבטחת הקושחה ואת היעדר בקרות מניעה או טקטיקות תיקון, אלא גם שופכים אור על השאננות וחוסר המודעות לגבי אמצעי האבטחה הנוכחיים. מדאיג יותר הוא הקונצנזוס סביב השקעה או משאבים ייעודיים מועטים עד אין, וחוסר כללי במיומנויות להתמודדות עם אחד האיומים הגדולים ביותר באבטחת סייבר כיום. הנתונים מראים:
- יותר ממחצית (55%) היו קורבנות של פשרה ברמת הקושחה יותר מפעם אחת בשנתיים האחרונות.
- כמעט ארבעה מתוך 10 מדרגים אובדן נתונים (ופרצת GDPR) כתוצאה המובילה להתקפה; מדורג באותה מידה החשש מאובדן בקרות אבטחה קריטיות.
- הרס של מכשירים קריטיים (35%), אובדן לקוחות (34%) וגישה יריב למכשירים אחרים (34%) צוינו כולם כפגיעה מזיקה בעקבות התקפה הקשורה לקושחה.
"ארגוני שירותים פיננסיים הם יעדים מובילים למתקפות סייבר. זה מסביר מדוע הם חלוצים באימוץ טכנולוגיות הגנה חדשות, כל זאת תוך כדי עין פקוחה מתמדת של רגולטורים ותעשיות אחרות שמחכות ללכת בעקבותיהם בזמן שהם שואפים להילחם בוקטורי תקיפה המתפתחים כל הזמן. עם זאת, במקרה של אבטחת קושחה ושרשרת אספקת החומרה, אנו רואים נקודות עיוורות פוטנציאליות", אמר רמי הוסאיני, מנהל חוסן סייבר גלובלי. "שינוי בסדר העדיפויות הוא קריטי אם אנחנו מתכוונים להגן ביעילות על שרשרת האספקה הטכנולוגית. ארגונים פיננסיים חייבים להמשיך לשמש פורצי דרך ולסגור את פערי אבטחת הקושחה".
לארגונים פיננסיים אין תובנות לגבי סיכון קושחה לפעול
לפי המכון הלאומי לתקנים וטכנולוגיה (NIST), התקפות ברמת הקושחה זינקו ב-500% מאז 2018, ובכל זאת 93% מהמשיבים מופתעים מחוסר התובנה לגבי איומי הקושחה הנוכחיים. רק בשמונת החודשים האחרונים, מחקר אקליפסיום חשף עיקרי איומים בטבע, לְרַבּוֹת התקפות Intel ME על ידי קבוצת תוכנות הכופר Conti.
למרבה הצער, חוסר התובנה נובע מפערים ניכרים בידע על הקושחה ושרשרת האספקה. למעשה:
- קצת יותר ממחצית (53%) יודעים שבקרות האבטחה שלהם (חומות אש, בקרות גישה וכו') מסתמכות על קושחה, 44% מודעים לשאלה כששואלים אותה שאלה לגבי מחשבים ניידים, מה שמותיר 56% ללא מידע.
- 47% מאמינים שיש להם מודעות מוחלטת למשטח התקפת הקושחה הכולל של הארגון שלהם, 49% מודעים לרוב. רק 39% אומרים שהם יקבלו הודעה מיידית אם מכשיר היה נפגע.
למרות הידע הנתפס, 91% מודאגים מהפער באבטחת הקושחה בשרשרת האספקה של הארגון שלהם.
תפיסות שגויות, כספים מוגבלים וחוסר מיומנויות/משאבים מובילים לעלייה
הקושחה היא המרכיב הבסיסי ביותר של כל מכשיר ובכך, שרשרת האספקה הכוללת, אך היא נותרה החלק המתעלם והמבוטל ביותר בערימת הטכנולוגיה - יצירת זרז מושלם למתקפה. ארבעה מתוך חמישה מסכימים שפגיעויות הקושחה נמצאות במגמת עלייה וקרוב לכל (93%) מצהירים כי אבטחת הקושחה צריכה להיות בראש סדר העדיפויות. כדי להזיז את המחט, ארגונים פיננסיים מאמינים כמעט פה אחד שהגדלת ההשקעה והמשאבים היא הכרחית. באופן חיובי, המשיבים צופים גידול של 8.5% בתקציב אבטחת ה-IT המוקדש לקושחה ב-1-2 השנים הבאות. בנוסף לגורמי ההצלחה הללו, על ארגונים אלה גם להפריך מיתוסים סביב טכנולוגיות ושיטות עדכניות היוצרות תחושת ביטחון מזויפת, כגון:
- פתרונות ניהול פגיעות (81%) ו/או תוכניות זיהוי ותגובה של נקודות קצה (EDR) שלהם יכולים לזהות פרצות קושחה ולסייע בתיקון (83%).
- תרגילי מודל איומים הם מקור אמין לתובנה בעלת ידע לגבי פערי קושחה פוטנציאליים, לפי 37% מהמשיבים, 57% מציינים שהם משתמשים בתהליך חלק מהזמן. מעניין לציין ש-96% מדווחים שתרגילי מודל האיומים של הארגון שלהם אינם תואמים את נוף האיומים של היום.
- 12 שעות הוא הזמן הממוצע של צוותי IT להגיב למתקפה מבוססת קושחה, כאשר המשיבים מייחסים חוסר ידע (39%) ומשאבים מוגבלים (37%) כסיבות העיקריות לפרק הזמן המופרז. עם זאת, 71% טוענים שהתקציב אינו מהווה פקטור.
"בהתבסס על ההתקפות הקשורות לקושחה בחודשים האחרונים, ברור שיריבים לא צריכים לעבוד קשה מספיק כדי לנצל פגמים בשרשרת האספקה הטכנולוגית. למרבה הצער, נתוני המחקר שלנו מייצגים רגרסיה שמונעת אך ורק על ידי חוסר מודעות וחוסר מעש המונע על ידי 'מחוץ מהעין, מחוץ למוח'", אמר יורי בוליגין, מנכ"ל ומייסד שותף של Eclypsium. "הנחיות ויוזמות ממשלתיות חדשות כגון קטלוג הפגיעות המנוצלות הידועים של CISA וההנחיה התפעולית המחייבת שלה הן קריאות לפעולה מיידית כדי להגן טוב יותר על שכבת הקושחה הקריטית של שרשרת האספקה. ההתקדמות אולי איטית, אבל אנחנו מתקדמים בכיוון הנכון".
על אקליפסיום
הפלטפורמה מבוססת הענן של Eclypsium מזהה, מאמתת ומחזקת קושחה במחשבים ניידים, שרתים, ציוד רשת והתקנים מחוברים. פלטפורמת Eclypsium מאבטחת את שרשרת האספקה של המכשיר שלך על ידי ניטור מכשירים לאיתור איומים, סיכונים קריטיים ותיקון קושחה בכל צי המכשירים. למידע נוסף, בקר eclypsium.com.
על ואנסון בורן
Vanson Bourne הוא מומחה עצמאי בחקר שוק עבור מגזר הטכנולוגיה. המוניטין שלהם עבור ניתוח מבוסס מחקר חזק ואמין מושתת על עקרונות מחקר קפדניים ועל יכולתם לבקש את דעתם של מקבלי החלטות בכירים על פני פונקציות טכניות ועסקיות, בכל המגזרים העסקיים ובכל השווקים העיקריים. למידע נוסף, בקר
www.vansonbourne.com.
