מחקר חשף סיכוני אבטחה בגין הרגלי יומיום של עובדים

חברת סייברארק (CyberArk) – הישראלית שהיא כיום מומחית העולמית בתחום אבטחת הזהויות – הציגה באחרונה תוצאות מטרידות של מחקר חדש שערכה בקרב עובדים. לדברי החברה, הממצאים מדגישים את הצורך במעבר למודל שבו הרשאות הגישה של העובדים לא רק ינוהלו אלא גם יאובטחו.

המחקר הבינלאומי חושף כיצד רבים מדפוסי הגישה לנתונים של העובדים בעת גישה לנתונים רגישים – בין אם במתכוון או בשוגג – מציבים את הארגונים שלהם בסיכון. תופעה זו מחריפה בעקבות המעבר לעבודה במודל היברידי, והנטייה לגמישות במתן הרשאות גישה לעובדים. במקביל, המחקר החדש של מעבדות סייברארק מראה כיצד ההיסטוריה המקוונת של העובדים יכולה להוות איום על מעסיקיהם, כמו גם על חייהם האישיים.

המחקר נערך על ידי Censuswide בקרב מדגם של 14,003 עובדים, המשתמשים במחשב לצורך עבודתם, בבריטניה, ארה"ב, צרפת, גרמניה, אוסטרליה וסינגפור. הנתונים נאספו בין ה-17 ל-25 באוקטובר 2024.

לביא לזרוביץ, מנהל המחקר בסייברארק. צילום: סלי לוי פרג'

ארבעה ממצאים עיקריים: התנהגויות מזיקות של עובדים

על בסיס הסקר הבינלאומי, שנערך בקרב 14,003 עובדים בתפקידים העיקריים בתעשיות שונות, עולות תובנות לגבי דפוסים נפוצים של התנהגות ודפוסי גישה לנתונים בקרב עובדים. המחקר מראה שצוותי האבטחה נדרשים לחשיבה מחודשת על אופן הטמעת בקרות אבטחת הזהויות של כוח העבודה המודרני.

לרוב העובדים יש גישה למידע רגיש: 80% מהעובדים ניגשים ליישומי עבודה – שלעתים קרובות מכילים מידע עסקי קריטי – ממכשירים אישיים שלעתים קרובות אין בהם בקרות אבטחה הולמות. הסקר מאשר שגישה פריבילגית אינה מוגבלת עוד למנהלי IT בלבד. 40% מהמשיבים ציינו שהם נוהגים להוריד (Download) נתוני לקוחות; שליש מהמשיבים מורשים לבצע שינויים בנתונים קריטיים או רגישים; יותר מ-3 מתוך 10 יכולים לאשר עסקאות פיננסיות גדולות.

שימוש חוזר בסיסמאות הוא הרגל נפוץ: הדו"ח מצביע על מספר הרגלים מדאיגים. 49% מהעובדים שנסקרו משתמשים באותם פרטי התחברות עבור מספר יישומים הקשורים לעבודה, בעוד ש-36% משתמשים באותם פרטי התחברות הן ליישומים אישיים והן ליישומי עבודה. 52% מהנסקרים העבירו מידע חסוי של מקום העבודה לגורמים חיצוניים. הרגלים אלה מגבירים משמעותית את הסיכון לדליפות מידע ופרצות אבטחה.

רוב הנסקרים נוהגים לעקוף את מדיניות אבטחת הסייבר: 65% מהעובדים עוקפים לעתים קרובות את מדיניות אבטחת הסייבר, כדי להקל על חייהם. בין דרכי העקיפה הנפוצות נמנו שימוש באותה סיסמה במספר חשבונות, שימוש במכשירים אישיים כנקודות גישה אלחוטיות, והעברת הודעות מהדוא"ל הארגוני לחשבונות אישיים.

אימוץ בינה מלאכותית יוצר אתגרי אבטחה נוספים: הדו"ח שופך אור גם על סוגיית השימוש הגובר בכלי בינה מלאכותית במקום העבודה. מעל 72% מהעובדים משתמשים בכלי AI, שעלולים להוות פתח לפרצות אבטחה חדשות, למשל כאשר העובד מזין לתוכם מידע רגיש. למעלה משליש (38%) מהעובדים מצייתים "רק לפעמים" או "אף פעם" להנחיות לטיפול במידע רגיש בעת השימוש בכלי בינה מלאכותית.

– @CyberArk Report Reveals Employee Behaviors Pose Widespread Cybersecurity Risks That Can Sink Companies
Read or Listen: https://t.co/4E7Trgj1Lo#cybersecurity #cyberinsurance pic.twitter.com/p04oKxIoPl

— Cyber Insurance News (@CyberInsureNews) December 3, 2024

"FAANG הלבן: טורף את הנתונים האישיים שלך"

"FAANG הלבן: טורף את הנתונים האישיים שלך" הוא שם של מחקר החדש של מעבדות סייברארק, המראה כיצד היסטוריית הגלישה האישית של עובדים יכולה להוות פתח לסיכוני סייבר עבור מעסיקיהם, וכן בחייהם האישיים. המונח FAANG מתייחס ל-5 ענקיות הטכנולוגיה המשפיעות ביותר – פייסבוק, אפל, אמזון, נטפליקס וגוגל.

המחקר מפרט כיצד נתוני היסטוריית הגלישה האישית, שהורדו מענקיות טכנולוגיה כמו אפל ומטא נגנבים בקלות, ומתאר כיצד תוקפים יכולים לנצל לרעה את מאגר המידע הנרחב הזה, למשל כווקטור תקיפה לתוך ארגוני מעסיקים.

מסייברארק נמסר כי שילוב ההתנהגויות המדאיגות של העובדים מגביר את הסיכון לארגונים. וכן כי "הטמעת תוכנית חזקה לאבטחת זהויות, הכוללת בקרות הרשאה דינמיות בכל נקודת בקרת זהות, יכולה לאפשר לצוותי האבטחה למנוע מתוקפים גישה למידע רגיש מבלי להוסיף חיכוכים לא רצויים בתהליכי העבודה".

"התנהגויות מסוכנות נעשו תופעה שכיחה"

"מזה זמן רב מדי, הגישה המקובלת לאבטחת גישת עובדים התמקדה בבקרות בסיסיות, כגון אימות באמצעות כניסה יחידה (SSO). גישה זו מתעלמת מהמציאות של העובד המודרני ומהאופי המשתנה של זהות העובד: העובד הממוצע יכול להיות משתמש עובד מזדמן ברגע אחד, ומיד לאחר מכן, חשבון בעל הרשאות גבוהות", אמר לביא לזרוביץ, סמנכ"ל המחקר בסייברארק. "ממצאים אלה מראים שגישה בסיכון גבוה מפוזרת בין כל תפקידי המשרה השונים, והתנהגויות מסוכנות נעשו תופעה שכיחה. מצב זה יוצר בעיות אבטחה חמורות לארגונים ומדגיש את הצורך הדחוף בתכנון מחדש של נושא אבטחת זהויות העובדים, תוך הקפדה על רמת בקרת הרשאות מתאימה לכל משתמש".