مخاطر أمن تكنولوجيا المعلومات Hubris

تعرض الأمن السيبراني للشركات للخطر بشكل متزايد منذ أن بدأت الشركات والمؤسسات في تنفيذ سياسات العمل من المنزل (WFH) في مارس مع استمرار انتشار الوباء. شرعت Malwarebytes في حزيران (يونيو) في قياس رد فعل قادة تكنولوجيا المعلومات في الشركات على الوباء ؛ وما هي الاستراتيجيات المخطط لها لأنها تتطلع إلى الأمام. استطلعت شركة برامج مكافحة البرامج الضارة أكثر من 200 خبير في تكنولوجيا المعلومات في شركات مختلفة الأحجام. وجدت نتائج الاستطلاع هذه ، جنبًا إلى جنب مع القياس الداخلي عن بُعد للشركة ، أن العديد من رؤساء تكنولوجيا المعلومات قد يكونون مفرطين في الثقة ببروتوكولات وإجراءات الأمن السيبراني المعمول بها لديهم. على سبيل المثال ، لم يقدم 44 بالمائة من المستجيبين تدريبًا على الأمن السيبراني للقوى العاملة ، ولم يقم 45 بالمائة بإجراء تحليلات للأمان والخصوصية عبر الإنترنت لأدوات البرامج التي تعتبر ضرورية للانتقال إلى WFH ، وقال 18 بالمائة أن الأمن السيبراني لم يكن أولوية لموظفيهم . على الرغم من ذلك ، فإن أكثر من 70 بالمائة من المشاركين في استطلاع Malwarebytes أعطوا منظمتهم درجة 7/10 عندما طُلب منهم تحديد مدى استعدادهم للانتقال إلى WFH. وجاء في الاستطلاع أن "هذا قد يكون مثالاً لظاهرة يصعب قياسها في كثير من الأحيان والتي نسميها الغطرسة الأمنية ، والمعروفة أيضًا باسم الثقة المفرطة في التدابير الأمنية المحدودة التي يتم نشرها". التصور مقابل الواقع ليس هناك شك في أن اتجاه WFH قد شهد زيادة في نشاط المتسللين. قال كلوي ميسداغي ، نائب رئيس الإستراتيجية في Point3 Security لموقع TechNewsWorld: "نشهد ارتفاعًا قويًا في هجمات التصيد الاحتيالي بسبب وباء COVID-19" . قال المسداغي: "على سبيل المثال ، نشهد محاولات متزايدة من قبل الجهات الفاعلة في التهديد للدخول إلى الشركات من خلال عناوين البريد الإلكتروني الشخصية والرسائل النصية القصيرة لموظفيها". "كل شيء ولكن لا يقاوم الفاعلون السيئون لأن هذا الوباء يجعل وظائفهم أسهل بكثير." يجب أن يكون قسم تكنولوجيا المعلومات للشركات على دراية بهذا ، فلماذا التنافر بين التقييمات الذاتية للمستجيبين والواقع؟ قال David Ruiz ، المدافع عن الخصوصية عبر الإنترنت في Malwarebytes Labs ، لـ TechNewsWorld: "هناك مشكلة متأصلة في الغطرسة الأمنية الموجودة في العديد من المجالات الأخرى - نحن لا نعرف ما لا نعرفه". وقال رويز إن الغطرسة الأمنية منتشرة على نطاق واسع "ولكن ليس من خلال أي نية خبيثة". في بعض الأحيان ، يرجع السبب في ذلك إلى التركيز على جانب واحد فقط من جوانب الأمن السيبراني بدلاً من تجاهل المشكلة ، على سبيل المثال ، متخصص تكنولوجيا المعلومات الذي يركز على التهديدات الخارجية ولكنه ينسى التهديدات الداخلية ، أو العكس. "بعض المؤسسات التي تدعي أنها جاهزة حقًا - ليست بالضرورة جاهزة تمامًا ، لأن الأمان المثالي هو خرافة ، ولكنه جاهز بشكل معقول" ، آندي إليس ، كبير مسؤولي الأمن في Akamai Technologies ، وهي شبكة عالمية لتقديم المحتوى والأمن السيبراني و شركة الخدمات السحابية ، لـ TechNewsWorld. قال إليس: "قد تعتقد المنظمات الأخرى أنها جاهزة ، لكنها مخطئة". "لا يزال قد يعرف الآخرون أنهم ليسوا مستعدين ولكن من يريد رسم هدف على ظهورهم من خلال الاعتراف بذلك؟" حدود التهديد الجديد ربما لم يكن لدى متخصصي تكنولوجيا المعلومات الوقت الكافي للتعامل مع البعد الجديد للتغطية الذي أضافته ظاهرة WFH ، حيث انتقلت الشركات إلى WFH بسرعة كبيرة. وجد Akamai أن استهلاك خدمة الإنترنت عبر الأجهزة المتصلة بالمؤسسات زاد بنسبة 40 في المائة في مارس ، وزادت حركة المرور إلى مواقع الويب المرتبطة بالبرامج الضارة بنسبة 400 في المائة. وخلصت إلى أن "كلا هذين التغيرين الملاحظين يعتبران نتيجة للتغييرات في عادات تصفح المستخدمين بمجرد العمل من المنزل". لاحظ إليس أن الأمور لم تتغير منذ ذلك الحين. "الارتفاع الذي شهدناه مع تحول معظم العالم إلى العمل عن بُعد من المنزل ظل ثابتًا في الأشهر التي تلت ذلك". وأوضح أن مخاطر WFH "ليست بالضرورة مختلفة من الناحية الهيكلية ، ولكن بدلاً من ذلك قد تمثل تحولًا في وزن الهجمات". على سبيل المثال ، كانت هجمات التصيد موجودة دائمًا ، ولكن الآن "هناك المزيد من التصيد الاحتيالي ، وفي الوقت نفسه ، لم يعد أحد الدفاعات التي لم يتم تقديرها ضد التصيد الاحتيالي - سؤال زميلك إذا كان البريد الإلكتروني يبدو غريبًا - متاحًا". علاوة على ذلك ، فإن العديد من حلول مكافحة التصيد تكون تفاعلية ، وتبحث عن أنواع الهجمات المعروفة ، بدلاً من تحديد الهجمات المتغيرة بشكل تكيفي ، أو اتباع نهج هيكلي من خلال القضاء على الطرق التي قد يستغل بها الخصم هجوم تصيد ناجح ، وفقًا لإيليس. التهديدات المضافة من الأجهزة المحمولة قال ماتياس كاتز ، الرئيس التنفيذي لشركة Byos ، لـ TechNewsWorld: " يتطلب تنفيذ الأمن المناسب لضمان بيئة آمنة لـ WFH استثمارًا مكلفًا ويمثل دولارات جديدة لم يتم تضمينها في أي ميزانية حتى الآن" . علاوة على ذلك ، لا تزال الكثير من الشركات في حالة إنكار وتعتقد أن هذا سينتهي قريبًا ؛ وبالتالي فهي مترددة في القيام باستثمار. وقال كاتز إن الاتحاد العالمي للصحة موجود ليبقى ، "يتعين على الشركات أن تدرك أنه ، بغض النظر عن أي شيء ، سيتعين عليها تعزيز بنيتها التحتية للبقاء آمنة في العصر الجديد". تسمح الشركات بشكل متزايد لموظفي WFH باستخدام أجهزتهم المحمولة ، وهذا يساهم في المشكلة. قال ما يقرب من 70 بالمائة من متخصصي تكنولوجيا المعلومات البالغ عددهم 303 الذين استجابوا لاستطلاع أجرته شركة الأمن السحابي Bitglass في يونيو أن شركاتهم تسمح للموظفين باستخدام الأجهزة الشخصية لأداء عملهم ، وقال البعض إن شركاتهم تسمح للمقاولين والشركاء والعملاء والمستلزمات بإحضار أجهزتهم الخاصة . ومع ذلك ، فهم لا يتخذون الخطوات المناسبة لحماية بيانات الشركة - على سبيل المثال ، قال نصف المستجيبين إن مؤسساتهم ليس لديها رؤية لتطبيقات مشاركة الملفات. كان الوصول غير المصرح به إلى البيانات والأنظمة والإصابة بالبرامج الضارة هي المخاوف الأمنية الرئيسية لنحو نصف المستجيبين. انتشرت أقسام تكنولوجيا المعلومات بشكل ضعيف قد يكون الانتقال السريع إلى WFH قد غير الأولويات للعديد من الشركات ، وفقًا لـ Ruiz من Malwarebytes Labs. "قد يعني ذلك ، أولاً ، ضمان استمرار نجاح أي شركة ، وثانيًا ، ضمان استمرار نجاحها بأمان." بمعنى آخر ، تأكد أولاً من استمرار العمل في العمل ، ثم التعامل مع المشكلات الأمنية. قد يكون النقص في موظفي تكنولوجيا المعلومات سببًا آخر. تسريح العمال منتشر على نطاق واسع بسبب الوباء ، وقد يكون بعض أولئك الذين تم تسريحهم من موظفي تكنولوجيا المعلومات والأمن السيبراني. واقترح رويز أن سببًا آخر قد يكون ، في هذه الأيام ، أن العديد من الشركات ليس لديها موظفين متخصصين في مجال تكنولوجيا المعلومات في الموقع ، كما أن معظم موظفي تكنولوجيا المعلومات عن بُعد يعملون فوق طاقتهم دائمًا. "ببساطة قد لا يكون هناك وقت لبناء ونشر دورة تدريبية عبر الإنترنت لجميع الموظفين ليأخذوها." ازداد الضغط على العاملين في مجال تكنولوجيا المعلومات ، الذين تعاني أقسامهم من نقص في الموظفين وتمويلهم ، مع انتشار الوباء ، وقد يسهم ذلك في عدم كفاية احتياطات الأمن السيبراني المتخذة والفشل في إدراك ما إذا كانت هذه الاحتياطات كافية أم لا. وأشار مسداغي من Point3 Security إلى أنه "خلال هذا الوباء ، تعمل فرق الأمن بجدية أكبر من أي وقت مضى وفي عزلة" ، مضيفًا أن المديرين التنفيذيين في جناح C يجب أن يستثمروا في الصحة العقلية لتلك الفرق. كان موظفو تكنولوجيا المعلومات يعانون بالفعل من ضغوط شديدة قبل الوباء - تضاعف تأثير الإجهاد على الصحة العقلية في عام 2020 ، وفقًا لتقرير صادر عن Nominet UK ، وهو سجل اسم نطاق .uk في المملكة المتحدة. أجرت Nominet مقابلات مع 800 من كبار مسؤولي أمن المعلومات والمديرين التنفيذيين في C Suite حول تحديات دور CISO. عمل المجيبون ، الموزعون بالتساوي بين المملكة المتحدة والولايات المتحدة ، في شركات تضم ما لا يقل عن 3000 موظف عبر مجموعة من القطاعات العامة والخاصة. قال التقرير ، الذي نُشر في فبراير ، إن 88 بالمائة من CISO لا يزالون تحت الضغط بشكل معتدل أو شديد ؛ وقال 48 في المائة من المستجيبين أن هذا يؤثر على صحتهم العقلية - ضعف العدد في العام السابق. يؤثر الضغط على علاقاتهم مع الشركاء والأطفال ، بالإضافة إلى قدرتهم على أداء دورهم ويؤدي إلى الإرهاق. يبلغ متوسط ​​مدة عمل CISO 26 شهرًا فقط. اتفق المجيبون في C-suite على أن CISOs يعملون لساعات إضافية ، لكن 97٪ منهم يعتقدون أن الفريق الأمني ​​يمكنه تحسين تقديم القيمة مقابل المال بناءً على ميزانيتهم. منع الأمن Hubris "من التمارين الجيدة لإثبات المدى الكامل للغطرسة الأمنية أن تسأل نفسك ، على مقياس من 1 إلى 10 ، كيف أنت في أمان الإنترنت؟" اقترح رويز. "الآن ، اسأل نفسك بعض الأسئلة الأخرى: - هل تتصل بجهاز توجيه منزلي لا يزال يستخدم كلمة المرور الافتراضية الخاصة به؟ - هل تعيد استخدام كلمات المرور على بعض الحسابات في منزلك؟ - هل طلبت شركتك استخدام VPN للوصول إلى موارد الشركة؟ - هل تنقر فوق الروابط الموجودة في رسائل البريد الإلكتروني من جهات اتصال جديدة ، أم تنقر فوق الروابط في الرسائل النصية؟ ماذا لو كان هذا الرابط من المفترض أن يكون من FedEx ، وأنت ، بعد كل شيء ، طلبت شيئًا ما عبر الإنترنت؟ " قال رويز إن هذا النوع من الأسئلة "سيقضي على التقييم الأمني ​​لمعظم الناس بعد فترة".