סקר RSA: כשלים בזיהוי איומי סייבר ברוב הארגונים

RSA, חטיבת האבטחה של EMC, פרסמה בכנס 2016 RSA, שנערך השבוע בסן פרנסיסקו, את תוצאותיו של סקר חדש על יעילות איתור איומים.

הסקר כולל תובנות שנאספו מיותר מ-160 משיבים ברחבי העולם. מטרת הסקר הייתה לאפשר למשתתפים לבחון את עצמם על יעילות הארגונים שלהם עצמם, באיתור וחקירת איומי סייבר.

הסקר מספק תובנות כלל-עולמיות על הטכנולוגיות בהן ארגונים משתמשים; אילו נתונים הם אוספים כדי לתמוך במאמץ האבטחה, ומהי מידת שביעות הרצון שלהם ממערכי הכלים המצויים אצלם בשימוש כיום. בנוסף נשאלו המשיבים באלו טכנולוגיות חדשות בכוונתם להשקיע וכיצד הם מתכננים להמשיך ולפתח את האסטרטגיות שלהם בעתיד.

כיוון שההגנה בפני איומי אבטחת המידע היא כדי להבטיח את הישרדות הארגונים, אי אפשר שלא להיזכר באמרתו המפורסמת של הביולוג צ'רלס דארווין בה טען שאלה ששורדים – אינם המהירים או החזקים יותר, אלא אלה המסתגלים יותר לתנאי הסביבה המשתנים.

תובנה מרכזית שעלתה מהסקר היא שהמשיבים ביטאו אי-שביעות רצון קשה מהיכולות הנוכחיות שלהם באיתור וחקירת איומים. רק 24% מהארגונים הנסקרים אמרו שהם שבעי רצון מהיכולת שלהם לאתר ולחקור איומים. רק 8% מאותם ארגונים מרגישים שהם יכולים לאתר איומים במהירות רבה, ורק 11% אמרו שהם מסוגלים לחקור איומים במהירות. המהירות באיתור וחקירת איומים היא גורם קריטי לצמצום זמן השהייה של התוקפים במערכות הארגון וכתוצאה מכך מזעור הנזקים שיכולים להיגרם בתקיפות סייבר.

עמית יורן, נשיא RSA, אמר מעל במת הכנס כי "הסקר מחזק את החשש הגדול ביותר שלנו לפיו ארגונים אינם נוקטים כיום, ובמקרים רבים אף אינם מתכננים לנקוט בעתיד, את הצעדים ההכרחיים להגן על עצמם מפני איומים חדשים ומתקדמים. הם אינם אוספים את הנתונים הנכונים, אינם משלבים בין הנתונים שהם אוספים, ומתמקדים בטכנולוגיות מניעה מיושנות. המציאות היום מכתיבה את הצורך לסגור פערים בנראות, לנקוט גישה עקבית יותר בפריסה של הטכנולוגיות החשובות ביותר, ולהאיץ את המעבר מאסטרטגיות מניעה לגישה פרו-אקטיבית".

עמית יורן, נשיא RSA, מזהיר על החשיפה לאיומים שהארגונים לא יוכלו לעמוד בהם. צילום: פלי הנמר

מהסקר עולה, כי יש חוסר איזון  בין ארגונים שאוספים נתונים היקפיים (88%) לבין אלו שאוספים נתונים מתשתיות IT מודרניות (תשתית מבוססת ענן 27%, מחבילות ברשת 49%, ניהול זהויות 55%, ונקודת קצה 59%). יתר על כן, ארגונים ששילבו את מקורות הנתונים הללו בתוך אסטרטגיות איתור האיומים שלהם, גילו שהם יקרי ערך במיוחד: ארגונים שאוספים נתונים מחבילות הרשת ייחסו 66% יותר ערך לנתונים הללו באיתור וחקירת איומים מאלו שלא עשו זאת, ואלו שאוספים נתונים מנקודות הקצה ייחסו 57% יותר ערך לנתונים הללו מאשר אלו שלא עשו כן.

סוגיה חשובה נוספת היא של אינטגרציית נתונים. רבע מהמשיבים אינם מבצעים כלל אינטגרציה של הנתונים, ורק 21% הופכים את כל הנתונים שלהם לנגישים ממקור יחיד. נתונים השמורים בגישה מבוזרת ברבדים שונים, מונעת מתאם בין כל מקורות הנתונים, מאטה את החקירה ומגבילה את הנראות למלוא היקף התקיפה. רק 10% מהמשיבים דירגו את היכולת שלהם לחבר פעילות של תוקפים מכל מקורות הנתונים שהם אוספים כ"טובה מאוד".

המשיבים לא החשיבו אף אחת מהטכנולוגיות הקיימות שלהם לאיתור וחקירת איומים ליעילה במיוחד, וכולם העניקו לטכנולוגיות הקיימות דירוג ממוצע של "יעיל במידת מה". על אף שיותר משני שלישים מהמשיבים דיווחו על פריסה של מערך ניהול אירועי אבטחת מידע  (SIEM), דווקא כלים יעילים יותר כמו לכידת חבילת רשת מידע, תחקור נקודות קצה וניתוח התנהגויות משתמשים, לא אומצו בשיעורים המתבקשים.

ממצא מעודד בסקר הוא החשיבות ההולכת וגדלה של נתוני זהות בסיוע באיתור וחקירת איומים. בעוד שרק מעט יותר ממחצית הארגונים אוספים כיום נתונים מזהויות ומערכות גישה identity and access management systems, הרי אלו שכן עושים זאת ייחסו 77% יותר ערך לנתונים הללו באיתור איומים מאלו שאינם עושים זאת. יתרה מכך, ניתוח התנהגויות משתמשים, היא ההשקעה הטכנולוגית המתוכננת הפופולרית ביותר. 33% מהמשיבים אמרו שבכוונתם לאמץ את הטכנולוגיה הזו במהלך 12 החודשים הקרובים.

דניאל כהן, ראש חטיבת שירותי לוחמה בהונאות, RSA ישראל. צילום: פלי הנמר

המתודולוגיה שבסיס הסקר

דניאל כהן, ראש חטיבת שירותי לוחמה בהונאות FraudAction Anti-Fraud Services המנהל אותה ממשרדי RSA ישראל, הסביר את המתודולוגיה בבסיס הסקר: הסקר הכמותי הגלובלי של RSA נערך באופן מקוון מדצמבר 2015 ועד פברואר 2016. כל המשיבים שנמצאו מתאימים להשתתף דיווחו בעצמם על כל הנתונים.

הסקר כלל ארגונים שבהם 44% מנו פחות מאלף עובדים, 31% מנו עד 10,000 עובדים ו-25% מנו יותר מ-10,000 עובדים. המשיבים ייצגו 22 מגזרים שונים בתעשייה, כאשר 58% מאמריקה הצפונית והדרומית, 26% מאירופה והמזה"ת, ו-15% מאסיה פסיפיק ויפן.

פעילות RSA בישראל מתמקדת במחקר ופיתוח, ניהול מוצר ותפעול שירותי אבטחה מבוססי ענן. החטיבה של כהן פועלת במסגרת מרכז שליטה ופיקוד לאיתור ונטרול הונאות רשת. המרכז, הפועל במסגרת מרכז המצוינות של EMC בישראל, בניהולה של ד"ר ארנה ברי,  עובד 24/7, כדי לעמוד באתגרי אבטחת המידע ההולכים וגדלים.

RSA, נרכשה לפני כעשור על ידי EMC (שבעצמה עומדת לעבור בחודש יולי השנה, לידי דל שרכשה אותה בשנה שעברה) ונעשתה לחטיבת אבטחת המידע שלה. כיום, היא ספקית מובילה של פתרונות אבטחה, ניהול סיכונים ועמידה ברגולציה, המסייעת לארגונים המובילים בעולם להתמודד עם האתגרים המורכבים והרגישים ביותר הנוגעים לאבטחה הכוללים ניהול סיכונים ארגוניים, הגנה על הגישה והשיתוף בפלטפורמות ניידות, בדיקת התאמה לתקנות ואבטחת סביבות מחשוב וירטואליות ומחשוב ענן.

הכותב הינו שליח אנשים ומחשבים לתערוכת RSA