אלכסנדר אירופיב, קספרסקי: "ארגונים חיים בגן עדן של שוטים בהיבט האבטחה"

"איומי הסייבר השתנו, גדלו בהיקפם ובנזקם והשתכללו, אבל המצב התודעתי של מנהלי אבטחת המידע בארגונים לא השתנה. אם מנהלי האבטחה לא יפנימו שעליהם 'להחליף דיסקט', הם ימצאו עצמם נלחמים את מלחמות האתמול, שאינן רלוונטיות לאיומים מולם הם ניצבים", כך אמר אלכסנדר אירופיב, מנהל השיווק האסטרטגי של קספרסקי (Kaspersky Lab).

אירופיב דיבר במסיבת עיתונאים שערכה ענקית אבטחת המידע בסוף השבוע במלטה, שנושאה היה הגנה בסייבר.

לדברי אירופיב, "יש התקדמות מתמדת של ההאקרים, העסוקים בלא הרף ביצירת סביבת איומים חדשה. סביבה חדשה זו כוללת נוזקות חדשות ולא ידועות, עבודה על תשתיות IT הטרוגניות וכן תקיפה מסיבית של 'לא מחשבים' – כספומטים, קופות ונקודות מכירה, מכונה למכונה (M2M) ומחשוב ענן".

"נדרשת גישה חדשה להגנת הסייבר", אמר, "תפיסת האבטחה הישנה, המסורתית היא חשובה אבל לא מספיקה כי אינה עונה לאיומים החדשים".

לדבריו, "מנהלי אבטחת המידע שבויים בכמה תפיסות שהיו נכונות לשעתן: 'האחת, מה שיש לי באבטחה הוא מספיק. השניה, אבטחת מידע דורשת כישורים. שלוש, אנטי-וירוס מאט את פעילות מערכות ה-IT, אז כדאי לסגור מחשבים. רביעית, אין תכנון ליצירת תגובה מראש. חמישית – יש להתמקד בעיקר במחשבים ומעט במכשירים ניידים – ולא בכל חלקי המחשוב בארגון". אלא, אמר אירופיב, "כל זה השתנה בשל האיומים החדשים".

הפער בין מצב האבטחה והמודעות לאיומים

הוא ציטט נתונים ממחקר שנערך בקרב 1,423 ארגונים באירופה, בכל הגדלים ומגזרי התעשייה, ממנו עלה כי אף ש-41% מהם אמרו שעליהם להעסיק יותר מומחי אבטחה, הרי שהתחום נמצא רק במקום החמישי בסדרי העדיפות בארגונים. בעיה נוספת, ציין, היא ברמת המודעות העצמית, בשל פער של עשרות אחוזים בין מה שהם חושבים שהם יודעים על בעיות האבטחה, לבין נכונותם להכיר בחוסר היכולת שלהם להגן מפני האיומים. בעיה נוספת היא בכך שפחות ממחצית מהארגונים, 45% מהם, הודו שאין להם אסטרטגיית אבטחת מידע.

"ארגונים חיים בגן עדן של שוטים", אמר אירופיב. "100% מהמשיבים קבעו כי רשתות התקשורת ובמחשבים שלהם לא נפרצו. ארגונים מטמיעים פחות מערכות אבטחה מבעבר. 73% מהם מאמינים שההגנה על תחנות הקצה אפקטיבית, אבל 44% מהם הודו כי אין דרך להגן על כל איומי האבטחה. הדאגה לאבטחה גדלה רק במעט ועומדת על כמחצית מהארגונים".

הבעיות, ציין אירופיב, "נותרו כשהיו: אובדן רכיבי מחשוב, דליפות מידע ממערכות ואובדן מידע בכללותו. כך גם החששות: ממתקפות קלאסיות, של וירוסים ופישינג, נזקים שעובדים יעשו, בזדון או בשוגג, בעיות חומרה ועוד".

העתיד, אמר, "יתאפיין באיומים מתוחכמים יותר, שלל נוזקות, ויותר סיכון מצד העובדים. זאת לצד הפער שנמשך בין מה שהם חושבים על זמן הגילוי של הפרצה, ימים או שבועות, לזמן המעשי, שהוא חודשים".

עוד כוח לחוטפים

כופרות, אמר אירופיב, "הוא עניין חדש יחסית, שהתקשורת סייעה בהעלאת המודעות שלו. בגרמניה, אחת משלוש חברות שילמה את הכופר הנדרש, בכלל אירופה רבע מהארגונים עשו זאת. זאת טעות, כי היא נותנת עוד כוח לחוטפים. בנוסף, ההאקרים הם גם שקרנים: רבע מהארגונים ששילמו, לא קיבלו את המידע גם אחרי ששילמו את הכופר".

אתגר נוסף, אמר "הוא הגידול בעולם הנייד, לצד התפשטות מגמת BYOD. כיום, 33% מהמכשירים אינם מוגנים, הנפוץ ביותר הוא טלפון חכם, אבל גם מחשבים ניידים ונייחים, עם כל מערכות ההפעלה שבשוק".

גם בנזק הכספי שנובע מאירועי אבטחת מידע חל גידול, ציין אירופיב, "עלות ממוצעת של פריצה בארגון עומדת על 594 אלף דולר, עלות פישינג – 481 אלף דולר, בעיות חומרה – 330 אלף דולר, והלהיט החדש בשוק, כופרה – עלותו עומדת על 242 אלף דולר. את הרשימה סוגרת בעיית מודעות עובדים, שהיעדרה מסב נזק ממוצע של 206 אלף דולר".

לדבריו, "קיים פער בעלות הנזק בין ארגונים קטנים וגדולים: הנזק הממוצע לארגון אנטרפרייז עומד על 801 אלף דולר, וזה של SMB עומד על 96.7 אלף דולר, אבל זה המון כסף לארגון קטן". הוא ציין כי הנתונים הללו הם חלקיים וכי הנתונים האמיתיים גדולים יותר, "כי חלק מהחברות לא דיווחו, הסתירו, או שלא גילו עדיין או בכלל את עצם הפריצה, או לא הצליחו לתקן את הנזק".

לדבריו, קיים פער מתמיד בין הנזק וההשקעה באבטחה: "עלות הטמעת מוצרי אבטחה עומדת על 15%-10% מעלות הנזק העתידי אבל כל ארגון אומר לעצמו 'לי זה לא יקרה'. חוסר המודעות לא משתלם".

הוא סיים בהציגו את גישת האבטחה הכוללת לה ארגונים נדרשים: "צפה וחזה, הגב, מנע ועקוב. תגובה היא עקב האכילס בארגונים. מחציתם חיים בתפיסה הישנה, שלא לוקחת בחשבון את הדור הבא של האיומים חדשה, דוגמת כופרות, הפוגעות בחמישית מהעסקים. לכן נדרשת גישה חדשה: דבר ראשון היה מודע לכך שיש לך בעיה, דבר שני הגדר מה הנזק העתידי ולאחר מכן בנה אסטרטגיית אבטחת מידע והגנה בסייבר, עם הטמעת מוצרים".