מחקר של HP: יותר מחצי מהמשתמשים בארגונים יכולים לגשת למידע סודי החורג מדרישות התפקיד שלהם

52% מהמשתמשים בארגונים יכולים לגשת למידע סודי החורג מדרישות התפקיד שלהם – כך עולה ממחקר של מכון פונמון (Ponemon).

המחקר, שמומן על ידי HP, נערך בקרב יותר מ-5,500 אנשי IT ומנהלי אבטחה בארגונים שונים ממגוון מגזרים ב-13 מדינות: ארצות הברית, בריטניה, גרמניה, צרפת, איטליה, ספרד, סינגפור, הונג קונג, דרום קוריאה, יפן, הודו, ברזיל ואוסטרליה. תוצאותיו פורסמו בדו"ח שנושא את הכותרת "חוסר האבטחה של משתמשים בעלי זכויות יתר" (The Insecurity of Privileged Users).

במסגרת המחקר הועלו סיכוני האבטחה שצצים בארגונים בשל ניהול לקוי של הגישה למערכות ה-IT ומביאים למצב שבו יש חשיפת יתר לנתונים עסקיים רגישים או חסויים. הסיבה לכך היא היעדר בקרה ופיקוח על משתמשים בעלי זכויות גישה נרחבות, ובהם מנהלי מסדי נתונים (DBA), מהנדסי תקשורת ואנשי אבטחת מידע בארגונים.

נתון נוסף העלה ש-64% מהמשתמשים בארגונים ניגשים לפריטי מידע עסקיים חסויים או רגישים בארגון "מתוך סקרנות בלבד ולא רק עקב צורך עסקי". עוד עולה מהמחקר שמידע אודות לקוחות ומידע עסקי כללי נמצא בסיכון גבוה במיוחד, כאשר נקודות החשיפה העיקריות הן יישומים ייעודיים לחטיבות עסקיות, יישומי רשתות חברתיות ויישומים ניידים.

על פי המחקר, כמעט 40% מהנשאלים לא יודעים בוודאות האם יש שקיפות חוצת ארגון של זכויות הגישה הפרטניות והאם יש הקפדה על המדיניות הארגונית. זאת, על אף שמרבית הנסקרים דיווחו שיש מדיניות מוגדרת היטב בנושא.

מניתוח תשובות הנשאלים עולה, כי החסמים העיקריים לאכיפת מגבלות הגישה על משתמשים בעלי זכויות יתר הם הקצב המהיר של הדרישות לביצוע שינויים, חוסר אחידות בתהליכי האישור, עלות הניטור והקושי לאשרר שינויים בזכויות הגישה.

עוד נתגלה, כי מידת הניצול לרעה של זכויות היתר משתנה ממדינה למדינה: רמת הניצול הגבוהה ביותר נמצאה בצרפת, איטליה והונג קונג, ולעומתן, התופעה נדירה יותר ביפן, סינגפור וגרמניה. בנוסף, כמעט 80% מהמשיבים דיווחו, כי הטמעת פתרון לניהול מידע ואירועי אבטחה (SIEM) הינה צעד קריטי לפישוט הניהול של זכויות היתר.

לדברי טום ריילי, סגן נשיא ומנהל מוצרי Enterprise Security ב-HP, "המחקר מאיר את הסיכונים שארגונים אינם ערים להם ושלא עומדים בשורה אחת עם התקנת טלאי אבטחה, יצירת מערכי הגנה היקפיים וסוגיות נפוצות אחרות בעולם האבטחה". הוא ציין, כי "מדובר בנושא שמהווה פתח גישה עיקרי למידע רגיש. תוצאות המחקר מצביעות באופן ברור על הצורך בניהול טוב יותר של מדיניות הגישה בארגונים, כמו גם על הצורך בפתרונות חכמים ומתקדמים יותר, שיודעים לזהות את המשתמש ולהעניק לו זכויות יתר בראיית ההקשר של הגישה למידע".