أصدرت Verizon مؤخرًا تقرير تحقيقات خرق البيانات لعام 2022 ، مما يمنح الشركات رؤى حيوية حول حالة الأمن السيبراني في جميع أنحاء العالم. تحتوي فيريزون على تحليل لأكثر من 23000 حادثة و 5200 انتهاك مؤكد على مدار 15 عامًا ، وتعزو فيريزون الدافع الأول للهجمات الإلكترونية إلى مكاسب مالية. يُعزى ما يقرب من أربعة من أصل خمسة انتهاكات إلى الجريمة المنظمة التي تسعى إلى ابتزاز الشركات بمبالغ ضخمة من برامج الفدية ، مدعومة بمبالغ التأمين.
قدرت Verizon أيضًا أن هناك زيادة بنسبة 13 في المائة في انتهاكات برامج الفدية – وهذا أكثر مما كان عليه في السنوات الخمس الماضية مجتمعة. بالإضافة إلى ذلك ، تضمنت 82 في المائة من الانتهاكات السيبرانية عنصرًا بشريًا ، أي من خلال بيانات الاعتماد المسروقة أو التصيد الاحتيالي أو إساءة الاستخدام أو مجرد الخطأ.
تنص Verizon على أن الناس يواصلون لعب دور كبير جدًا في الحوادث والانتهاكات على حد سواء. هذا العام ، قيل أيضًا أن 18 في المائة من رسائل البريد الإلكتروني المخادعة التي تم النقر عليها تأتي مباشرة من هاتف محمول ، مما يبرز نقطة ضعف لأمن الأعمال. تجادل Verizon بأن إحصائياتها تسلط الضوء على أهمية وجود برنامج توعية أمني قوي.
من الواضح جدًا أن هناك حاجة ماسة للشركات الخاصة والمؤسسات العامة لتغيير نهجها في مجال الأمن السيبراني. إن تحسين الوعي الأمني أمر جيد ، لكن المعالجة المباشرة لمشكلة استمرت دون منازع لما يقرب من عقدين من الزمن أفضل.
خلل منهجي في عملية الوصول
هناك اعتقاد واسع الانتشار في مجتمع ووسائل الإعلام في مجال الأمن السيبراني بأن مشكلة الأمن السيبراني الرئيسية هي الأشخاص. هذا مدعوم بأبحاث مثل أحدث تقرير للتحقيق في خرق البيانات من Verizon ، والذي وجد أن أكثر من 80 في المائة من الهجمات الإلكترونية وخروقات الشبكة تعود إلى أخطاء بشرية تتعلق ببيانات الاعتماد ، وتحديداً سرقة بيانات الاعتماد وإساءة استخدامها.
ومع ذلك ، فإن هذا الاتهام في غير محله. تخيل لو كان هناك تقاطع طرق حيث يقع أكثر من 80 بالمائة من الحوادث وبدأ الناس في إلقاء اللوم على السائقين ، مما يوحي بضرورة تدريبهم على القيادة بشكل أفضل. ما يجب تغييره هو تصميم التقاطع وليس الأشخاص.
الاستخدام المنهجي لكلمات المرور الضعيفة والمعاد استخدامها
في جميع الخروقات ، يُتهم البشر دائمًا باستخدام كلمات مرور ضعيفة أو مُعاد استخدامها. هذه المشكلة في الواقع ليست خطأ الفرد. بادئ ذي بدء ، من المستحيل تذكر مئات من كلمات المرور العشوائية مثل 9f64q3tfAT $ Q £ 532W٪. لا يجب أن يوضع الناس في هذا الموقف في المقام الأول. ولكن لم يكن لديهم خيار في العالم الرقمي ، فقد اضطروا إلى اللجوء إلى كلمات مرور أو جمل أو أنماط يسهل تذكرها مثل 123456 لجعل العملية تعمل لصالحهم.
الانتهاك المنهجي لقوانين خصوصية البيانات
كلمات المرور الضعيفة والمعاد استخدامها ليست سببًا جذريًا للانتهاكات. تحدث أكبر المشكلات التي تواجهها الشركات عندما تسمح للموظفين بإنشاء كلمات مرور خاصة بهم. عندما يحدث هذا ، تفقد الشركات السيطرة على مفاتيحها ، وبالتالي على بياناتها وشبكتها. إذا كانت “ليست مفاتيحك” ، فهي ليست “بياناتك”. وهذا يعني أن الشركات لا يمكنها الامتثال لقوانين خصوصية البيانات ، والتي يمكن أن تفسر سبب شيوع انتهاكات البيانات هذه الأيام.
التفكيك المنهجي للصمود
علاوة على فقدان السيطرة على وصولهم ، في محاولة لتقليل عدد كلمات المرور التي يجب تذكرها ، اعتمدت المؤسسات وصولاً فرديًا (تسجيل الدخول الفردي ، وإدارة الوصول إلى الهوية ، وإدارة الوصول المميز) ، دون إدراك أن هذا يؤدي تلقائيًا إلى إزالة الطبقات والعقبات للمجرمين ، تقليل عدد الخطوات المطلوبة بمجرد دخولهم الشبكة الخاصة بهم. بعد إنشاء مسار ذهبي للمجرمين للوصول والمسح وتحديد الامتياز المطلوب لقفل الشبكة بالكامل ، تم تقليل الوقت الإجمالي المطلوب بين الوصول الأولي إلى برامج الفدية – من أكثر من شهرين إلى 3.85 يومًا بين 2019 و 2021. في نفس العملية ، قاموا بتفاقم التأثير السلبي المحتمل لأي خرق للبيانات من خلال وضع جميع بياناتهم في سلة واحدة يمكن الوصول إليها من حساب مسؤول أو حساب مميز.
المزيد من أدوات الأمن السيبراني أو التدريب لن يحل المشكلة
بدون حل الثغرات الأمنية في الوصول ، فإن زيادة الميزانيات لأدوات الأمن السيبراني أو التدريب لن يوقف الانتهاكات أو برامج الفدية. كما أن وضع المزيد من الأدوات في السيارة وإعطاء المزيد من دروس القيادة لن يوقف حوادث الطرق إذا تم إنشاء البنية التحتية بشكل خطير. ليست هناك حاجة لتدريب الأشخاص على نظافة كلمات المرور عندما لا ينبغي عليهم إنشاء كلمات مرور الشركة ومعرفتها في المقام الأول. ليست هناك حاجة لتدريب الأشخاص على التصيد الاحتيالي عندما لا يتمكنون من الكشف عن كلمات المرور التي لا يعرفونها. ليست هناك حاجة لفصل البنية التحتية لتكنولوجيا المعلومات بالكامل عندما تشك في وجود خرق ، عندما يكون لكل نظام كلمة مرور مختلفة ولا يوجد وصول واحد من مكان قفل أو سرقة كل شيء.
تحول في العقلية
على مدى السنوات القليلة الماضية ، ارتفع عدد الهجمات الإلكترونية مع زيادة ميزانيات الأمن السيبراني ، دون أن يسأل الكثير من الناس عن السبب. على الرغم من أكثر من 80 في المائة من الانتهاكات المرتبطة ببيانات الاعتماد المستندة إلى الإنسان ، فقد تم إنفاق معظم ميزانية الأمن السيبراني على نقاط ضعف البنية التحتية والنظام ، والتي لا تزال معظمها غير مكتشفة. ولكن الآن ، دفعت المخاطر الهائلة للتداعيات في العالم المادي الناس إلى المطالبة بتغيير في كيفية تنفيذ الأمن السيبراني. وكمثال على ذلك ، طلب مدير الإنترنت القومي الأمريكي كريس إنجليس مؤخرًا من الإدارة والوكالات الفيدرالية تغيير الطريقة التي يتعاملون بها مع الأمن السيبراني ويستثمرون فيه ، حيث من الواضح أن الجهود السابقة “لم تنجح”.
لماذا لا ينبغي على الناس جعل كلمات المرور الخاصة بهم في المقام الأول
لن يكون لاستثمار مليارات الدولارات في الأمن السيبراني أي تأثير ما لم تتمكن من تأمين أبوابك. ويبدأ بعدم السماح لموظفيهم بالتحكم في بيانات اعتماد الوصول إلى البنية التحتية للشركات والأصول. عندما ينشئ الأشخاص الآخرون المفاتيح الرقمية لمؤسستك بأكملها ، تفقد الرؤية والتحكم في ما يحدث لهم.
حقًا ، كلمات المرور هي مجرد مفاتيح
لتتمكن من استعادة السيطرة على كلمات المرور الخاصة بها ، تحتاج الشركات إلى التعامل مع كلمات المرور كما هي: المفاتيح. مثلما يبدأ موظف جديد في وظيفة جديدة ويتلقى مفاتيح المبنى والمكتب ، يتلقى هو أو هي المفاتيح الرقمية عند بدء وظيفة جديدة ، وليس عمل مفاتيح خاصة به.
الفرق الوحيد بين المفاتيح المادية والرقمية هو عدم وجود عقبة مادية في العالم الرقمي. لسرقة المفاتيح المادية ، يجب أن تكون على مقربة من المفاتيح. يمكن سرقة المفاتيح الرقمية أو كلمات المرور من أي مكان في العالم.
قم بتشفير مفاتيحك حتى لا تتم سرقتها
في حالة عدم وجود عوائق مادية أمام سرقة بيانات الاعتماد ، فإن الإجراء الأكثر فعالية لحماية المفاتيح هو استخدام طريقة حماية الأسرار: التشفير. تقوم الشركات ببساطة بتشفير وصولها وتوزيع بيانات الاعتماد على جميع الأنظمة لمستخدميها داخل مكان آمن يمكن فقط لكل مستخدم الوصول إليه. هذا المنطق يحل أكثر من 80 بالمائة من الخروقات.