С точки зрения безопасности, вы самое слабое звено

Ежегодная конференция по информационной безопасности Black Hat проходит всего за несколько недель. Специалисты по безопасности, руководители, поставщики и хакеры соберутся в Лас-Вегасе, чтобы узнать и поделиться самыми последними уязвимостями, средствами защиты, дырами в безопасности и методами взлома. В преддверии конференции Black Hat обнародовала результаты опроса, в ходе которого опрашивались ведущие эксперты по безопасности об их проблемах и взглядах. Вы можете прочитать различные значения результатов, но мой собственный вывод таков: вы - самое слабое звено. (Да, я имею в виду вас.)

Пул респондентов для опроса был выбран для экспертизы и реального опыта. Из 460 специалистов по безопасности и менеджеров почти две трети были из компаний, в которых работало не менее 1000 человек. Названия должностей для более чем 60 процентов из них включают слово «безопасность», и полностью четверть группы выполняет функции менеджера по безопасности своей организации. Эти люди находятся в окопах, неустанно трудясь над обеспечением безопасности своих компаний.

Беспокойство против реальности

Большая часть опроса представила респондентам 15 угроз и вызовов безопасности. Им было предложено отметить три главных задачи, которые их больше всего волнуют, три лучших, которые занимают свое время, и три лучших, которые получают наибольшую долю бюджета. Логично, что вы думаете, что они будут отслеживаться; на практике это не так.

Наибольшее беспокойство, на 57 процентов, имела защита от целенаправленных атак, сложные попытки нарушения безопасности. Однако лишь 20 процентов респондентов сообщили, что на подготовку и борьбу с такими атаками потребители тратят много времени.

Следующая наиболее тревожная проблема связана с фишингом и другими атаками социальной инженерии. На уровне 46 процентов это намного выше всех других проблем в опросе, за исключением целевых атак. Лучшая система безопасности в мире не поможет, если мошенническое сообщение убедит одного из ваших сотрудников отключить его, и очистка после таких проблем может стать настоящим медведем. Действительно, в отношении того, как профессионалы в области безопасности проводят свое время, две из трех главных проблем связаны с человеческой ошибкой. Социальные сети - это одно, но самое большое время занимает проблемы безопасности, возникающие у внутренних разработчиков.

Другие заботы, такие как слежка со стороны нашего правительства или других лиц, инсайдерские атаки и цифровые атаки на устройства Интернета вещей (IoT), просто не потребляют такой же степени умственных или финансовых ресурсов. Фактически, самые высокие расходы для респондентов этого опроса включают случайные утечки данных неаккуратными пользователями - людьми, еще раз. Кроме того, среди самых дорогостоящих проблем стоит упомянуть человеческие ошибки, которые выводят компанию из строя, и устранять проблемы, вызванные сотрудниками, которые влюбились в атаки социальной инженерии.

Будем ли мы умнее?

Респондентам также было предложено принять тот же набор из 15 задач и выбрать три, которые будут самыми большими проблемами через два года. Интересно, что все проблемы, связанные с людьми, оказались в этом списке гораздо ниже. Проблемы безопасности, вызванные собственной разработкой, находятся внизу, с 7 процентами. Далее идут ошибки, из-за которых компания не соблюдает нормативы соответствия - 8 процентов. Кража данных со стороны злоумышленников идет на 9%. Беспокойство по поводу социальной инженерии остается значительным, но его далеко не на вершине.

Через два года эксперты (36 процентов из них) считают, что IoT-атаки будут самой большой проблемой, за которыми следуют целевые атаки (до 33 процентов от нынешних 57 процентов). Ни одна из шести проблем не связана с человеческими ошибками. Кажется, мы будем умнее!

Ты самая слабая ссылка

Большая часть остальной части обширного опроса касается кадрового обеспечения, найма и карьерного роста, темы, которые менее интересны для тех, кто не имеет непосредственного отношения к сообществу безопасности. Вы можете прочитать полный отчет здесь.

Один момент определенно заслуживает внимания. На вопрос, что является самым слабым звеном в современной ИТ-безопасности, респонденты поместили веб-угрозы, инструменты безопасности, которые не общаются друг с другом, и уязвимости конечных точек в самом низу списка, каждый из которых получает всего 3 процента голосов. Что наверху? Более трети сказали: «Конечные пользователи, которые нарушают политику безопасности и легко одурачены атаками социальных инженеров».

В отчете делается вывод о том, что в большинстве организаций не хватает сотрудников службы безопасности, и они не сосредотачивают время и бюджет сотрудников на самых важных проблемах. Учитывая карьеру в сфере безопасности? Ваше будущее выглядит радужно! Но вам придется выяснить, как не дать сотрудникам случайно или лениво свести на нет ваши усилия.