בשנת 2022, ארגונים חוו גידול בחוב הסייבר, כאשר ההוצאה על אבטחת סייבר לאורך תקופת הקורונה פיגרה אחרי ההשקעה ביוזמות עסקיות דיגיטליות שהייתה נרחבת יותר. בשנת 2023 רמת חוב הסייבר צפויה לגדול בריבית מצטברת כתוצאה מלחץ כלכלי, שיעור גבוה של תחלופת עובדים, ירידה בהוצאות הצרכנים וסביבה גלובלית לא וודאית. ההשקעות שעדיין מתבצעות בפרויקטים של ענן ודיגיטל, כחלק ממאמצי ההנהלות להביא עוד התייעלות וחדשנות לעסקים, הן בין הגורמים שיש להם השלכות על אבטחת הסייבר.
דוח עולמי חדש של חברת סייברארק מאשר זאת ומראה כיצד המתח בין המציאות הכלכלית הקשה לבין קצב החדשנות הטכנולוגית, כולל התפתחות הבינה המלאכותית (AI), משפיע על הגידול בחשיפה למתקפות סייבר הממוקדות בזהויות. דוח "נוף האיומים בתחום אבטחת זהויות" של סייברארק לשנת 2023, מפרט כיצד נושאים אלה - על רקע גידול צפוי של 240% במספר זהויות אדם ומכונה - עלולים לגרום לגידול הולך ומחמיר של "חוב הסייבר", בריבית מצטברת. זאת מאחר והיקף ההשקעות ביוזמות דיגיטציה ובענן גדול מההשקעה באבטחת סייבר, כך שנוצר משטח מתקפה בלתי מאובטח על זהויות שרק הולך ומתרחב.
דוח נוף איומי אבטחת הזהויות של סייברארק לשנת 2023 נערך בקרב ארגונים במגזר הפרטי והציבורי המעסיקים 500 עובדים ומעלה. המחקר נערך על-ידי חברת מחקר השוק Vanson Bourne בקרב 2,300 מקבלי החלטות בתחום אבטחת הסייבר ממדינות רבות בעולם, בהן גם מישראל.
גל חדש של איומים מצד גורמי פנים
הסקר מעלה, כי כמעט כל המשיבים (99.9%) צופים פגיעה הקשורה לאבטחת זהויות בשנה זו עקב קיצוצים כלכליים, סיבות גיאו-פוליטיות, מעבר לענן ועבודה היברידית. רוב המשיבים (58%) מעריכים שהדבר יקרה כחלק מיוזמות של טרנספורמציה דיגיטלית, כגון אימוץ טכנולוגיית ענן או ניוד אפליקציות עסקיות לענן. עוד מעלה הסקר כי מעל שני שלישים (68%) מהארגונים צופים בעיות אבטחה בעקבות תחלופת עובדים, וחששות מגל חדש של איומים מצד גורמי פנים (insider threat), לדוגמה, עובדים לשעבר ממורמרים, או הרשאות שנותרו לאחר פיטורים וניתן לנצל אותן לרעה.
זאת ועוד, ב-12 החודשים הקרובים צפויה עלייה של 68% בפריסת תוכנות SaaS על-ידי ארגונים. שיעור הזהויות של אדם ומכונה שיש להן גישה למידע רגיש באמצעות כלי SaaS הוא גבוה, וללא אבטחה הולמת, זהויות אלה עלולות להוות פתח למתקפות.
נפלו קורבן למתקפות סחיטה כפולה
מממצאי הדוח עולה תמונה של חששות בנושאי זהויות ואבטחת סייבר בשנה הנוכחית:
* 93% מאנשי האבטחה שהשתתפו בסקר צופים, כי איומים העושים שימוש בבינה מלאכותית ישפיעו על הארגון שלהם בשנת 2023; נוזקות המופעלות על-ידי בינה מלאכותית צוינו בתור האיום מספר אחת.
* כמעט תשעה מכל עשרה מהארגונים שנסקרו (89% - לעומת 73% בדוח מ-2022) חוו התקפות כופר בשנה האחרונה, ו-60% מהארגונים שנפגעו דיווחו כי שילמו פעמיים או יותר כדי לאפשר את שחזור הנתונים, כלומר, סביר להניח שהם נפלו קורבן למתקפות סחיטה כפולה.
* כ-67% מחברות האנרגיה, הנפט והגז ציינו שלא יוכלו לעצור - או אפילו לגלות - התקפה הנובעת משרשרת אספקת התוכנה שלהם (לעומת 59% מתוך כלל הארגונים שנסקרו). רוב המשיבים במגזר האנרגיה (69%) גם הודו שלא ניסו לצמצם את הסיכונים באמצעות הטמעת אמצעי אבטחה משופרים ב-12 החודשים האחרונים.
חשיפה מוגברת להתקפות ממוקדות זהויות
זהויות - הן של בני אנוש והן של מכונות - נמצאות בלב כל המתקפות, או כמעט כולן. כמעט מחצית מהזהויות דורשות גישה למידע רגיש כדי לצורך ביצוע תפקידן, וכתוצאה מכך הן מהוות וקטור התקפה מועדף. הדוח מצא כי אזורים קריטיים בסביבת ה-IT אינם מוגנים כראוי, והוא מפרט את סוגי הזהויות המייצגות סיכון משמעותי:
* מ-63% המשיבים טענו שהגישה של עובדים עם הרשאות למידע הרגיש ביותר אינה מאובטחת כראוי. כמו כן, שמספר המכונות בעלות הרשאות גישה רגישות גדול ממספר בני האדם בעלי הרשאות כאלה (45% לעומת 38%).
* גישה באמצעות פרטי התחברות היא עדיין הסיכון מספר אחת לדעת המשיבים (35%), ואחריה התחמקות מאמצעי הגנה (31%), הרצת קוד זדוני (28%), גישה ראשונית (28%) ואסקלציית הרשאות (27%).
* אפליקציות עסקיות קריטיות, כגון יישומים ליצירת הכנסות הפונים ללקוח, תוכנות ERP וניהול פיננסי, צוינו כאזור הסיכון הגדול ביותר בשל הזהויות הבלתי ידועות והבלתי מנוהלות שניגשות לתוכנות אלה. רק 46% מהמשיבים עושים שימוש בבקרות לאבטחת יישומים קריטיים לעסקים.
* צדדים שלישיים - שותפים, יועצים ונותני שירותים - צוינו בתור בעלי הזהויות האנושיות עם הסיכון הגבוה ביותר.
* 69% מהנשאלים אמרו, כי יזמו האטה של אוטומציית תהליכים רובוטית (RPA) ושימוש בבוטים בשל חששות אבטחה.
פעולה בשלושה כיוונים
אז מה ניתן לעשות? מומחי סייברארק ממליצים לפעול בשלושה כיוונים:
* הטמעה כוללת של מדיניות "אפס אמון" (Zero Trust): אבטחת זהויות היא רכיב קריטי ביישום עמוק של מדיניות אפס אמון. המשיבים אמרו, כי ניהול זהויות (79%) ואמון באבטחה של נקודות קצה או של התקנים מחוברים (78%) הם היבטים "קריטיים" או "חשובים" לתמיכה באפס אמון.
* אסטרטגיות לאבטחת הרשאות גישה רגישות: שלושת הצעדים המובילים לשיפור אבטחת הזהויות שארגונים מתכננים לנקוט בשנת 2023 הם: גישתJust-In-Time,כלומר מתן גישה רק בזמן הנדרש לביצוע הפעולה (צוינה על-ידי 32% מהמשיבים); אימוץ עקרונות הרשאות מינימליות באבטחת יישומים קריטיים לעסקים (32%); ואוטומציה של הקצאה וביטול הרשאות גישה (31%).
* שיתוף פעולה עם שותפים אמינים: יותר ממחצית מהמשיבים (51%) יפנו לשותפי אבטחת סייבר אמינים כדי לסייע בחיזוי ותכנון פתרונות עבור סיכוני סייבר עתידיים בשנת 2023.
"הרצון לשיפור מתמיד של היעילות העסקית והחדשנות בארגונים לא השתנה, גם בזמנים של קיצוצים בכוח אדם ובתחומים פונקציונליים אחרים", אומר אודי מוקדי, מייסד שותף ויו"ר פעיל של סייברארק, בהתייחס לנתונים. "לפיכך, טרנספורמציה עסקית, המבוססת על יוזמות דיגיטל וענן, תמשיך להביא לזינוק במספר הזהויות העסקיות החדשות. בזמן שהתוקפים מחדשים כל הזמן, גניבת זהויות עודנה הדרך היעילה ביותר לעקוף את הגנות הסייבר ולהשיג גישה לנתונים ונכסי מידע רגישים. סיכון עמוק כזה מעמיד את הנושא של 'על מי ועל מה ניתן לסמוך' בחזית המאמצים למניעת הצטברות נוספת ב'חוב הסייבר' ולבניית חוסן לטווח הארוך".
אודי מוקדי ידבר בכנס Cyber Week על הבמה המרכזית, ביום 27 ביוני 2023, בשעה 11:30
לאתר >>> סייברארק
בשיתוף סייברארק
