דוח האיומים המתקדמים הגלובלי של סייברארק 2019

מאת לביא לזרוביץ, ראש צוות מחקר, מעבדות סייברארק

בין ממצאי סקר האיומים הגלובלי של סייברארק: האקרים הקשורים לפשע מאורגן או האקטיביסטים הם בין האיומים המובילים על נכסי מידע קריטיים של הארגון. לעומתם, המשתתפים הישראלים בסקר מדרגים במקום גבוה את האיום מצד גורמי-פנים בעלי הרשאות פריבילגיות (62%), ואחריו תוקפים מטעם מדינות זרות (43%)

על-פי סקר גלובלי חדש של חברת סייברארק (נאסד"ק: CYBR), 50 אחוזים מהארגונים מאמינים שתוקפים יכולים להסתנן לרשתות שלהם אם רק ינסו. גם בקרב המשיבים הישראלים לסקר, 56% מחזיקים באותה עמדה. במקביל להגדלת ההשקעה באוטומציה ואג'יליות (גמישות), ישנו היעדר מודעות כללי לקיומן של הרשאות פריבילגיות ב-DevOps, באוטומציה מבוססת תהליכים רובוטיים (RPA) ובענן – אשר כולם רק מחמירים את הסיכון.

על פי דו"ח האיומים המתקדמים הגלובלי של סייברארק ל-2019, פחות ממחצית הארגונים מחזיקים באסטרטגיה מגובשת לאבטחת גישה פריבילגית עבור DevOps, האינטרנט של הדברים, RPA וטכנולוגיות אחרות שהנן יסודיות עבור יוזמות דיגיטליות. מצב זה יוצר הזדמנות מושלמת לתוקפים לחדור באמצעות גישה פריבילגית לגיטימית ומשם לנוע לרוחב הרשת בכדי לבצע פעולות סיור ואיסוף מידע שיקדמו את מטרתם.

מניעת ההתקדמות הרוחבית הזאת היא הסיבה העיקרית שארגונים בונים את השקעתם באבטחה לפי נקודות מפתח לצמצום שרשרת התקיפה. 28 אחוזים מכלל ההוצאה על אבטחה בשנתיים הקרובות צפויים להתמקד בבלימת הסלמה ברמת ההרשאות הפריבילגיות של התוקפים ומניעת תנועה רוחבית.

השקעות יזומות להפחתת סיכונים הן קריטיות לנוכח מה שהמשיבים לסקר השנה ציינו כאיומים המובילים:
מבין האיומים הגדולים ביותר על נכסי מידע קריטיים של הארגון, המשיבים בסקר הגלובלי מצביעים על פשע מאורגן (46 אחוזים), האקטיביסטים (האקרים הפועלים ממניעים אידיאולוגיים או פוליטיים) - 46 אחוזים, וגורמים פנים-ארגוניים בעלי גישה פריבילגית (41 אחוזים). לעומת זאת, בקרב משיבים ישראלים, בין האיומים המרכזיים על נכסי המידע דורגו: גורמי פנים עם הרשאות פריבילגיות (62 אחוזים), ותוקפים מטעם מדינות זרות במקום השלישי (43 אחוזים).

60 אחוזים מהמשיבים ציינו שסיכוני האבטחה הגדולים ביותר לארגון כיום הם מתקפות חיצוניות בעקבות טעויות של גורם אנושי (כגון פישינג) , אחריהן מתקפות כופר (59 אחוזים) וסיכונים כתוצאה ממידע צללים (shadow IT – טכנולוגיות ואפליקציות שאינן באישור צוות המחשוב בחברה) - 45 אחוזים. בישראל, משתתפי הסקר דירגו את מתקפות הכופר בתור סיכון אבטחה מס' 1 לארגון בזמן הנוכחי (68 אחוזים) כאשר את המקום השני חולקים מתקפות חיצוניות כמו פישינג וסיכונים מצד גורמי פנים (52 אחוזים כל אחד).

חסמי האבטחה לטרנספורמציה דיגיטלית ומתן עדיפות לאבטחת גישה פריבילגית
הסקר מצא שלמרות שארגונים מתייחסים לאבטחת גישה פריבילגית כאל מרכיב מרכזי בתכנית אפקטיבית לאבטחת סייבר, ההבנה הזאת עוד לא באה לידי ביטוי בפעולות של הגנת טכנולוגיות בסיסיות של טרנספורמציה דיגיטלית.

84 אחוזים הצהירו שתשתית המחשוב והמידע הקריטי אינם מוגנים במלואם כל עוד אין אבטחה לחשבונות פריבילגיים, הרשאות וסודות. בישראל לעומת זאת, 92 אחוזים מסכימים עם אמירה זו.

למרות זאת, רק ל-49 אחוזים מהארגונים יש אסטרטגיה לאבטחת גישה פריבילגית שנועדה להגן על יישומים עסקיים קריטיים ועל תשתית ענן. עוד פחות ארגונים גיבשו אסטרטגיה לאבטחת DevOps (35 אחוזים) או האינטרנט של הדברים (32 אחוזים). בישראל באופן מפתיע נמצא של-67 אחוזים מהארגונים יש אסטרטגיה לאבטחת גישה פריבילגית של ליישומים, תשתית ענן -34 אחוזים, DevOps 24 אחוזים ו-IOT 26 אחוזים.
בנוסף, רק 21 אחוזים מבינים שחשבונות פריבילגיים, הרשאות וסודות קיימים בקונטיינרים, 24 אחוזים מבינים שהם קיימים במאגרי קוד מקור (source code repositories), ו-30 אחוזים מבינים שהם נמצאים ביישומים ותהליכים פריבילגיים כגון RPA.

"הממצאים הללו הם קריאת השכמה מפוכחת למקצועני סייבר ולמנהלים העסקיים. למרות הסכומים העצומים המושקעים באבטחת סייבר, ברור שלחברות ועסקים יש מעט מאוד אמון ביכולתם להגן על עצמם ממתקפות סייבר, להגן על נכסי המידע הקריטיים ביותר או על הפעילויות שמייצרות ערך. ארגונים חייבים להסתכל על השקעות הסייבר שלהם, הן כעת והן בעתיד באופן פרגמטי, ולוודא שהם לא משקיעים יותר מדי באזור אחד וחושפים את האחר", אומר לביא לזרוביץ', ראש קבוצת מחקר במעבדות סייברארק.

"זה הזמן עבור חברות ועסקים להשתמש באבטחת מידע בתור אמצעי שמאפשר ((enabler. ככל שהרגולציה מחמירה יותר והקנסות על אי עמידה בתקינה נשכניים יותר, המוכנות של ארגונים לשלם קנסות תעמוד פחות במבחן הזמן לטווח הארוך. הלך הרוח חייב להשתנות. ארגונים יטמיעו יותר אסטרטגיות הגנת סייבר פרואקטיביות בכל מקום שבו נמצא מידע קריטי, וספציפית כדי לנהל ולאבטח את ההרשאות הפריבילגיות החיוניות לתפעולו. זהו הצעד החשוב ביותר שצוותי אבטחה יכולים לעשות כדי לתמוך ביוזמות עסקיות של הכלכלה הדיגיטלית כיום.

מוכנות גלובלית לעמידה ברגולציה
על פי הסקר, שיעור מפתיע של 41 אחוזים מהארגונים יהיו מוכנים לשלם קנסות בגין אי-ציות לרגולציה, אך לא ישנו את מדיניות האבטחה גם אחרי שחוו מתקפת סייבר. סביר להניח שעמדה זו תשתנה כעת, בעקבות קנסות בסך 300 מיליון דולר מתוקף רגולציית GDPR שהוטלו על ארגונים גלובליים בגלל גניבות מידע של משתמשים.

הסקר בחן גם את השפעת הרגולציה ברחבי העולם:
GDPR: פחות ממחצית (46 אחוזים) מהארגונים מוכנים כעת לחלוטין עם התראות על פריצה ויכולת להתחיל בחקירה תוך פרק הזמן של 72 שעות שמגדירה הרגולציה. בישראל השיעור נמוך יותר עם 38 אחוזים מהארגונים שאמרו שהם מוכנים לחלוטין.

חוק פרטיות הצרכנים של מדינת קליפורניה (CCPA): רק 37 אחוזים מוכנים לדרישות החוק שייכנס לתוקפו ב-2020. 39 אחוזים פועלים לעמוד במועד האחרון.

אודות הסקר הגלובלי של נוף האיומים המתקדמים
הסקר השנתי ה-12 במספר של סייברארק על נוף האיומים המתקדמים לשנת 2019 נערך על-ידיVanson Bourne בקרב יותר מ-1,000 מקבלי החלטות ומנהלים בכירים באבטחת מידע בשבע מדינות בעולם, בהן ארה"ב, ישראל, בריטניה, צרפת, גרמניה, סינגפור ואוסטרליה.