75% מהארגונים נמצאים בסיכון לאירועי סייבר וללא מוכנות מספקת לקראתם

סקר אבטחת הסייבר הגלובלי של RSA, חטיבת אבטחת המידע של EMC
RSA, חטיבת האבטחה של EMC, פרסמה אמש נתונים מהם עולה כי ארגונים המשקיעים בטכנולוגיות של איתור ומתן תגובה לאיומי סייבר (detection and response) ערוכים טוב יותר להתמודד מול איומים אלו, מאשר ארגונים המשקיעים בפתרונות היקפיים. תובנות אלו עלו מתוך הסקר השנתי השני לאבטחת הסייבר שקיימה RSA, ה-RSA Cybersecurity Poverty Index, שקיבץ את תשובותיהם של 878 משתתפים מארגונים ב-81 מדינות ומ-24 תעשיות.

הסקר מאפשר לבחון עד כמה "בוגרת" תפיסת האבטחה של הארגונים על פי סולם המתבסס על ה-NIST Cybersecurity Framework (CSF). מהמחקר עולה כי 75% ממשתתפי הסקר מצויים בסיכון לאירועי סייבר ויכולות התגובה שלהם אינן מפותחות דיין. כמעט מחצית מהארגונים שנסקרו טענו כי יכולות התגובה שלהם "לא קיימות" או "מיושמות לפי דרישה", אך מהסקר עולה גם כי לאחר שמתרחש אירוע סייבר הגורם לפגיעה בעסקיהם, הארגונים מאיצים את תהליכי ההתמגנות שלהם מפני נזקי סייבר. תובנה נוספת מהסקר היא שהארגונים מתקשים בשיפור יכולות אבטחת הסייבר שלהם, מכיוון שהם אינם מבינים כיצד אירוע סייבר עלול להשפיע על פעילותם.

המציאות מוכיחה כי חברות נוטות לדחות השקעות באבטחת סייבר, עד שהן חוות פגיעה כואבת. בנוסף, ממצאי הסקר תומכים בהנחה, לפיה חברות המסתמכות על "הגנה היקפית" כפילוסופיית הסייבר שלהן, מתקשות לאתר פעילות עוינת, ומשאביהן חשופים יותר. 65% מהארגונים החווים ומאתרים אירועי אבטחה תכופים, הם בעלי יכולות אבטחה ופיתוח מתקדמות. נתון זה משקף את העובדה, כי ארגונים העוסקים דרך קבע באירועי אבטחת סייבר, מאיצים מהלכים המחזקים את תוכניות האבטחה שלהם, ותכניות אלו בסופו של דבר מספקות להם יכולות אבטחה בוגרות יותר.

בסקר הנוכחי ניכרת עליה במספר הארגונים להם תוכניות אבטחת מידע בוגרות – מספר הארגונים שדיווח על "יכולות מתקדמות" (הסיווג הגבוה ביותר) בתחום זה עלה מ-4.9% ל-7.4%. למרות זאת, תפיסת המוכנות האישית הכוללת של כלל הארגונים ממשיכה לפגר (75% לא רואות את עצמן כמוכנות).

הסקר הראה גם כי ארגונים עדיין מתקשים לנקוט בצעדים לשיפור אבטחה ואיתור סיכונים. 45% מהנסקרים טענו כי היכולת לאסוף ,להעריך ולנתח סיכוני סייבר בארגונם "לא קיימות" או "מיושמות לפי דרישה", לעומת 24% שדיווחו שהם כן בעלי יכולות אלו. אי היכולת לכמת את הסכנות והשפעתן על הארגון, מקשה על תעדוף ההשקעה לצורך שיפור מערך האבטחה לקראת סכנות עתידיות.

פילוח ע"פ ענפי תעשיה מראה, כי ארגונים ממשלתיים וארגונים בתחום האנרגיה דורגו במקום הנמוך ביותר עם 18% מהנשאלים בלבד שדיווחו על יכולות אבטחה מתקדמות או מפותחות. ארגוני תעופה ותעשיות צבאיות זכו בדירוג הגבוה ביותר, עם 39%. ארגונים פיננסיים הנחשבים למובילי תעשייה בתחום, לאור תקיפות הסייבר הרבות שהם מתמודדים עמם, דורגו עם רק 26% מהנשאלים אשר סבורים כי ארגונם מוכן לאיומי אבטחה, לעומת 33% בשנה שעברה.

עמית יורן, נשיא RSA: "סקר זה מספק הוכחה ממשית לכך שארגונים מכל הגדלים, בכל התעשיות, מכל אזור בעולם, חשים שאינם מוכנים לאיומים עמם הם מתמודדים. אנחנו צריכים לשנות את הדרך בה אנו חושבים על אבטחה. פחות מיקוד בטכנולוגיות מניעה ויותר פיתוח של אסטרטגיה בטכנולוגיות של איתור ומתן תגובה לאיומי סייבר. על הארגונים להציב מטרות בהקדם, לבנות אסטרטגיה מקיפה ולא לחכות לאירוע אבטחה שיכפה עליהם לפעול".

מתודולוגיה
משיבי הסקר ביססו את דירוג יכולותיהם על פי נייר העבודה שלCSF , שנוצר משיתוף פעולה של ממשלה ותעשייה, ומספק גישה והנחיות ליישום אבטחת סייבר על בסיס סטנדרטים ונהלים קיימים להפחתת סכנות סייבר. המשיבים דרגו עצמם על פי חמש פונקציות שהגדיר ה-CSF: זיהוי, הגנה, גילוי, תגובה והתאוששות, כאשר הציונים שנתנו לעצמם נעו בין היעדר מוחלט של יכולות בתחום לבין יכולות מתקדמות מאוד.