בלוג - 7 החטאים הקטלניים של איומי הסייבר

​

איומי סייבר

​

7 “חטאי” אבטחת סייבר אחראים לרוב הסיכון האנושי בארגון שלכם.

כלומר, עובדים שאינם מודעים לכך (או שעושים זאת במכוון) שהם מבצעים את שבע טעויות האבטחה האלה צפויים הרבה יותר לסייע להתקפת סייבר נגד החברה שלכם או להאיץ אותה:

• פירוש שגוי של לגיטימיות
• תגובה אימפולסיבית
• הסתמכות יתר על בקרות אבטחה
• התעלמות ממדיניות
• טיפול לא נכון במכשירים
• הזנחת פעילות חשודה
• כניעה לעייפות אבטחה

המחיר של התעלמות מה”חטאים” האלה גבוה. עלותה של התקפת סייבר מוצלחת בשנת 2019 עולה בממוצע על 5 מיליון דולר ארה”ב, או כ-301 דולר לעובד ( ponemon ). בשילוב העובדה שאנשים צפויים כיום פי 20 יותר להיות קורבן לשוד מצד פושע סייבר ליד המחשב שלהם מאשר להיות קורבן לשוד ברחוב, הדחיפות גדולה עוד יותר: על אנשים להיות מודעים למצב ולאיומים הנוכחיים והמתפתחים לפני שיהיה מאוחר מדי. באופן מסורתי, התגובה של האחראים על תוכניות המודעות לאבטחה הייתה סוג של האשמה והדרכה. אולם תכנון טוב יותר של התוכנית פירושו נטילת אחריות על כל התנגדות, ובחירה להשפיע על שינוי תרבותי באמצעות צעדי פעולה שאינם ענישתיים. שמירה על שינוי תרבותי דורשת הבנה לא רק של ההתנהגות, אלא גם של הזהות והמוטיבציה שמאחורי כל החלטה.

​

החטאים

• פירוש שגוי של לגיטימיות הודעות דוא”ל

• 91% מהתקפות הסייבר מתחילות בהודעת דוא”ל של פישינג (TrendMicro) 86% מהאנשים אמרו שקיבלו יותר מהודעת דוא”ל חשודה אחת בשבועיים האחרונים, ורובם אמרו שיעריכו הדרכה נוספת (Living Security) 76% מהעסקים דיווחו שהיו קורבן להתקפת פישינג בשנה האחרונה. (Wombat Security) 56% מהארגונים ציינו התקפות פישינג ממוקדות כאיום אבטחת הסייבר הגדול ביותר שלהם כיום. (CyberArk) 30% מכל הודעות הדוא”ל של פישינג נפתחות, ו-12% מהן נלחצות (Verizon)
• תגובה אימפולסיבית לשיחות חשודות
• הסתמכות יתר על בקרות אבטחה בנייד
• התעלמות מהנחיות מדיניות
• טיפול לא נכון במכשירי החברה בזמן עבודה מרחוק או נסיעות 64% מהאנשים הרגישו שתפקידם הופך אותם ליעד בסיכון בינוני עד גבוה עבור פושעי סייבר, רבים מהם ללא הבנה מספקת של אמצעי האבטחה שיש לנקוט בזמן עבודה מרחוק או נסיעות. משטח תקיפה זה מהווה סיכון משמעותי לאובדן, גניבה או שיבוש מקרי של מכשירים שסופקו על ידי החברה כאשר הם מחוץ למקום העבודה. (Living Security)

• הימנעות מהתעמתות עם זרים / מדיווח על פעילות חשודה ברשת 90% מכלל פשעי הסייבר נובעים מרשלנות קלה (במקום העבודה או ברשת), בין אם בשל הזנחה חמורה ובין אם בשל לחץ. ( Willis Towers Watson )

• כניעה לעייפות סיסמאות שאלות הקשורות לסיסמאות הן מהנושאים שמשתמשי הקצה מבינים בצורה הגרועה ביותר בפלטפורמת Living Security, וחלקם מצביעים על שימוש חוזר באותה סיסמה בכל הפלטפורמות שלהם, או על שינוי קל בלבד של סיסמת הבסיס באמצעות הגדלה או הקטנה של ערך (Living Security). דוחות עדכניים מראים שמשתמשים גם מוצפים מניהול מערך סיסמאות ומחפשים “נוחות” ( Yubico -Ponemon study ).

• “תפיסה לא מוכנה” ו”סקרנות” היו שתי הסיבות העיקריות שבגללן נפלו המשיבים קורבן להונאות הנדסה חברתית, על פי מחקר של Living Security. המשיבים ש”נתפסו לא מוכנים” לא הבינו שמותר לנתק את השיחה, לאסוף את המחשבות, לשוחח עם צוות האבטחה ולחזור אל הפונה (אם רלוונטי). לעומתם, המשיבים ה”סקרנים” לא היו מודעים לסכנות שבסקרנות.

• מיליוני אנשים נתנו אמון יתר בבקרות האבטחה המובנות של הטלפון שלהם. המשמעות הארגונית הברורה היא שמשתמשים יביאו בלי ספק מכשירים שנפרצו אל מקום העבודה (אלא אם קיימות מדיניות BYOD מחמירות) ויתחברו ל-WiFi ( NetworkWorld ). יתרה מכך, הגל הבא של יישומי נייד זדוניים צפוי להיות מתקדם עוד יותר, עם נטייה לבוטנטים שיחטפו וישלטו בפועל במכשירים נגועים ( VeraCode ).
• 73% מהאנשים מודים שלא הודיעו למחלקת ה-IT כאשר המכשיר שלהם נדבק (webroot)

• שאלות המדיניות קיבלו את הציון נטו הנמוך ביותר בפלטפורמת Living Security בשנת 2018, דבר המצביע על קושי בזיהוי תגובות מתאימות למדיניות ארגונית ולתקנות בתעשייה.
• 12% מהמשיבים המועסקים היו מודעים במלואם למדיניות ולכללי אבטחת ה-IT שקבעו המעסיקים שלהם (B2B International, Kaspersky Lab)