Διαβάσαμε τις προβλέψεις, αναλύσαμε τις αναλύσεις, είδαμε πίσω από τις στατιστικές, τις τάσεις και τις προτάσεις, επικοινωνήσαμε με συναδέλφους στην Ελλάδα και το εξωτερικό και σας παρουσιάζουμε τις θεματικές που θα μας απασχολήσουν στον τομέα της ασφάλειας των πληροφοριών σε εταιρικό επίπεδο την επόμενη διετία.
Νότης Ηλιόπουλος
MSc InfoSec, MSc MBIT, CISA, CISM, ISO27k LA
Information Security & Compliance Officer
MR HealthTech Ltd.
Η ασφάλεια των πληροφοριών συνδέεται στενά τόσο με τις επιχειρηματικές τάσεις και τα μοντέλα διοίκησης, όσο και με τους ευρύτερους κινδύνους που απειλούν την καθημερινότητα και την λειτουργία των επιχειρήσεων . Για τον λόγο αυτόν, αφετηρία της παρούσας ανάλυσης αποτελούν τα σημεία αυτά που διαμορφώνουν, τελικά, το περιβάλλον, εντός του οποίου καλείται να αναπτυχθεί και να ευδοκιμήσει η ασφάλεια πληροφοριών.
Επιχειρηματικές τάσεις
Οι προτεραιότητες σε επιχειρηματικό επίπεδο είναι τρείς: Ανάπτυξη, Ψηφιακός μετασχηματισμός και Αποτελεσματικότητα όσον αφορά τη λειτουργία και την επίτευξη των επιχειρηματικών στόχων. Οι επικεφαλής των επιχειρήσεων αναμένεται ν’ ακολουθήσουν επιθετική στρατηγική ανάπτυξης με σκοπό την επέκταση των δραστηριοτήτων τους. Ως προς τα μοντέλα ηγεσίας, παρατηρείται ότι αυτά δίνουν έμφαση στην καινοτομία, στην ομαδικότητα και στην παρότρυνση των εργαζομένων να συνταχθούν με τους εταιρικούς στόχους. Ταυτόχρονα, διαβλέπεται περαιτέρω ακόμη ενίσχυση του ψηφιακού μετασχηματισμού, αναβάθμιση του ανθρώπινου δυναμικού και υιοθέτηση ενός ευέλικτου μοντέλου άσκησης των εργασιακών καθηκόντων, με σκοπό την ταχύτερη ανάπτυξη και βιωσιμότητα σε ένα ασταθές και αβέβαιο παγκόσμιο περιβάλλον που δεν ευνοεί τις προβλέψεις, καθώς εμφανίζει ραγδαίες και, συχνά, απροσδόκητες αλλαγές. . Οι υπάρχουσες αναλύσεις αναφορικά με τις επιχειρηματικές τάσεις και τα μοντέλα διοίκησης για τα επόμενα χρόνια τονίζουν την ανάγκη να ληφθούν υπ’ όψη, στο πλαίσιο αυτό, οι κίνδυνοι που απειλούν την ανάπτυξη και την επιχειρηματική βιωσιμότητα, ιδίως εκείνοι εξ αυτών που αφορούν στην παγκόσμια αλυσίδα εφοδιασμού, στην κυβερνοασφάλεια και στην κλιματική αλλαγή. Ταυτόχρονα, ιδιαίτερη προσοχή απαιτείται για την αντιμετώπιση των κινδύνων που είναι συνυφασμένοι με τη χρήση των νέων τεχνολογιών, τις απαιτήσεις για κανονιστική συμμόρφωση και την παραπληροφόρηση μέσω της διάδοσης ψευδών πληροφοριών.
Κίνδυνοι σε παγκόσμιο επίπεδο
Σε παγκόσμιο επίπεδο, διαμορφώνονται κίνδυνοι οι οποίοι επηρεάζουν τόσο την καθημερινότητα των ατόμων, όσο και την προσπάθεια των επιχειρήσεων για την επίτευξη των στόχων τους. Η πανδημία έχει αναδείξει θεμελιώδεις ελλείψεις και αδυναμίες , οι οποίες προβλέπεται ότι θα μεταμορφώσουν άρδην τον τρόπο του επιχειρείν και του ζην μέσα στα επόμενα χρόνια. . Οι προκλήσεις αναμένεται να γίνουν ακόμη μεγαλύτερες κατά το επόμενο διάστημα και μάλιστα σε πληθώρα τομέων όπως η υγεία, η οικονομία, η κλιματική αλλαγή και οι νέες τεχνολογίες.. Όπως είναι αναμενόμενο, οι εν λόγω προκλήσεις θα δοκιμάσουν τις αντοχές και την προσαρμοστικότητα του διεθνούς γίγνεσθαι, , καθώς και την αποτελεσματικότητα των υφιστάμενων μοντέλων διακυβέρνησης και διαχείρισης. Ο παγκόσμιος ανταγωνισμός για την επίτευξη τεχνολογικής υπεροχής θα αυξηθεί και θα έχει ως αποτέλεσμα την άμεση υιοθέτηση νέων τεχνολογιών, καθώς και μια, εσπευσμένη ίσως, μετάβαση των τεχνολογικών τάσεων από το πειραματικό στάδιο και την έρευνα στην παραγωγή. Οι ποικίλες ανησυχίες για διάφορα λειτουργικά ζητήματα, όπως η ανθεκτικότητα της εφοδιαστικής αλυσίδας, η ασφάλεια στον κυβερνοχώρο και τα ρυθμιστικά θέματα, θα εγκαθιδρυθούν στην κορυφή των κινδύνων σε παγκόσμιο επίπεδο, αναζητώντας άμεσες και πρόσφορες λύσεις και κατάλληλη αντιμετώπιση. .
Είναι επίσης προφανές ότι η ψηφιακή τεχνολογία και η παρουσία της σε κάθε έκφανση της ζωής μας σχετίζεται ολοένα και περισσότερο με κάθε μορφή εγκληματικότητας. Οι μέθοδοι και τα εργαλεία που χρησιμοποιούνται από τους εγκληματίες του κυβερνοχώρου υιοθετούνται ολοένα και περισσότερο και από άλλους τομείς εγκληματικότητας,και μάλιστα με αυξητική τάση. Το απόρρητο και η ευκολία που προσφέρει κάθε μορφή ψηφιακής επικοινωνίας, η διανομή και η διαχείριση των κρυπτονομισμάτων μέσα από πλατφόρμες καθιστούν ευχερέστερη τη διάπραξη εγκληματικών πράξεων και δυσχερέστερη την αποκάλυψη του δράστη. Η ανωνυμία στο διαδίκτυο σε συνδυασμό με την υιοθέτηση των τεχνολογιών κρυπτογράφησης δρουν ευεργετικά τόσο για τους νόμιμους όσο και για τους κακόβουλους χρήστες των ψηφιακών τεχνολογιών, δημιουργώντας μια παράδοξη συνθήκη για τους υπεύθυνους χάραξης πολιτικών και τους νομοθέτες.
Θεματικές στις οποίες θα επικεντρωθεί η ασφάλεια πληροφοριών
Οι ψηφιακές επιθέσεις με χρήση κακόβουλου λογισμικού τύπου ransomware, οι κυβερνοεπιθέσεις μεταξύ κρατών, τα μέσα κοινωνικής δικτύωσης και η αυξημένη εξάρτηση από την τηλεργασία, υπήρξαν συνεχώς στο προσκήνιο το 2021 όσον αφορά στην ασφάλεια των πληροφοριών. Τη χρονιά που τελειώνει, οι κακόβουλοι χρήστες και οι εγκληματίες του κυβερνοχώρου έδρασαν με μεγαλύτερη ταχύτητα και αποτελεσματικότητα και χρησιμοποίησαν νέες τακτικές και τεχνικές. Παράλληλα, παρατηρήθηκε αλματώδης αύξηση των κενών ασφάλειας (vulnerabilities) κάθε λογής εμπορικά διαθέσιμου λογισμικού. Παρόμοιες τάσεις αναμένεται να επικρατήσουν όχι μόνο την επόμενη χρονιά αλλά και τα επόμενα χρόνια.
Ransomware
Η επιλογή των θυμάτων θα είναι πλέον στοχευμένη και οι επιθέσεις θα εστιάζουν σε μεγάλους επιχειρηματικούς οργανισμούς, στην εφοδιαστική αλυσίδα τέτοιων οργανισμών, καθώς και σε οργανισμούς που διαχειρίζονται κρίσιμες υποδομές. Τέτοιου τύπου οργανισμοί θα μπορούν να ανταποκριθούν στα λύτρα που θα τους ζητούνται , έτσι ώστε να αποφευχθούν σημαντικές επιπτώσεις στην υγεία, την ασφάλεια και στην εύρυθμη καθημερινότητα των πολιτών. Στο επίπεδο της κοινωνικής μηχανικής αναμένεται επίσης μεγαλύτερη στόχευση σε υψηλόβαθμα στελέχη οργανισμών. Επίσης, αναμένεται αύξηση των περιπτώσεων συνεργασίας μεταξύ κυβερνο-εγκληματιών και προγραμματιστών κακόβουλου λογισμικού, προκειμένου να μεγιστοποιηθεί η αποτελεσματικότητα των επιθέσεων. Αναμένεται επίσης να αυξηθούν οι περιπτώσεις πολύπλευρου εκβιασμού. Πέρα δηλαδή από το κλείδωμα αρχείων μέσω κρυπτογράφησης, προστίθενται απειλές όπως η δημοσιοποίηση ευαίσθητων εταιρικών και προσωπικών δεδομένων. Το 2022 αναμένεται η ανάπτυξη νέων τακτικών σε τεχνικό επίπεδο, καθώς καπροσπάθεια στρατολόγησης εργαζόμενων στους οργανισμούς κατά των οποίων επίκειται επίθεση . επίσης, αναμένονται σφοδρότερες αντιδράσεις των κυβερνο-εγκληματιών στις περιπτώσεις που τα θύματά τους θα καταφεύγουν σε εταιρείες που αναλαμβάνουν τις διαπραγματεύσεις μεταξύ αυτών και των θυμάτων τους.
Zero Trust architecture (Αρχιτεκτονική μηδενικής εμπιστοσύνης)
Μία πολυσυζητημένη έννοια κατά τη διάρκεια του 2021, η οποία αναμένεται να κυριαρχήσει το 2022, κυρίως από πλευράς κατασκευαστών λύσεων ψηφιακής ασφάλειας, έως ότου γίνει ευρύτερα κατανοητό ότι το Zero Trust architecture αποτελεί, επί της ουσίας, μια φιλοσοφία και δεν εξαντλείται σε μεμονωμένες λύσεις. Η φιλοσοφία της μηδενικής εμπιστοσύνης αφορά στη συνεχή επαλήθευση κάθε στοιχείου πρόσβασης σε ψηφιακές υποδομές και δεδομένα απ’ οπουδήποτε και αν προέρχεται (εσωτερικό ή εξωτερικό δίκτυο ή χρήστη). Δεν υπάρχει άκριτη εμπιστοσύνη καμία ροή δεδομένων και σε κανένα χρήστη ή ψηφιακό πόρο εάν προηγουμένως δεν έχει επαληθευτεί η ταυτότητά του και δεν έχουν τηρηθεί οι κανόνες που διέπουν την κάθε μορφή ψηφιακής επικοινωνίας. Η νέα φιλοσοφία έχει προκύψει ως ανάγκη στο πλαίσιο του ψηφιακού μετασχηματισμού και δεν αφορά σε μία συγκεκριμένη αρχιτεκτονική, αλλά σ’ ένα σύνολο κατευθυντήριων αρχών. Μία σειρά τεχνολογιών όπως, multifactor authentication, network analytics, cloud workload governance, micros-segmentation, identity και access management, least-privilege access, corporate device management, κ.α. αποτελούν τα συστατικά υλοποίησης της νέας αυτής φιλοσοφίας η οποία θα πρέπει να σχεδιάζεται βάσει των συγκεκριμένων εταιρικών κανόνων και προς αντιμετώπιση των απειλών που διέπουν τη λειτουργία του εκάστοτε λειτουργικού περιβάλλοντος. Το ζητούμενο είναι οι παραπάνω τεχνολογίες να μπορούν να συνεργαστούν χωρίς υπερκαλύψεις και αστοχίες.
Ασφάλεια των APIs
Οι εφαρμογές που παρέχονται μέσω των υποδομών cloud, ανεξάρτητα από τον τύπο της υποδομής (SaaS, PaaS ή IaaS), έχουν αλλάξει τον τρόπο με τον οποίο σχεδιάζονται και αξιοποιούνται τα API από τους προγραμματιστές λογισμικού, είτε πρόκειται για B2B είτε για B2C. Ταυτόχρονα, η φύση της λειτουργίας των APIs και η αδιάλειπτη διασύνδεση που προσφέρουν δημιουργεί δυνητικά επιπλέον κινδύνους για τις επιχειρήσεις που τα παρέχουν, καθώς μπορούν να καταστούν στόχος επιθέσεων που αφορούν στην ευρύτερη εφοδιαστική αλυσίδα. Όσον αφορά στους προγραμματιστές, είναι αναγκαίο ν’ αποτελέσει προτεραιότητά τους η ανάπτυξη ενός αποτελεσματικού μοντέλου αντιμετώπισης των απειλών για τα API που παρέχουν, έτσι ώστε να είναι εφικτή η αξιολόγηση των παρεχόμενων μηχανισμών ασφάλειας,. Ταυτόχρονα, κρίνεται αναγκαία η ύπαρξη μηχανισμού ελέγχου πρόσβασης ο οποίος θα υιοθετει τη φιλοσοφία της μηδενικής εμπιστοσύνης (Zero Trust), καθώς και η ύπαρξη αποτελεσματικού μηχανισμού καταγραφής αρχείων ελέγχων (audit logs) για καλύτερη απόκριση και εντοπισμό πιθανής κακόβουλης χρήσης των APIs.
Ασφάλεια στις υποδομές Cloud
Πλέον κάθε συζήτηση αναφορικά με τη μετάπτωση στο cloud ξεκινά και ολοκληρώνεται με τα θέματα της ψηφιακής ασφάλειας, τόσο όσον αφορά στην προστασία τον εταιρικών δεδομένων στο περιβάλλον του παρόχου των υπηρεσιών cloud, όσο και αναφορικά με την ανθεκτικότητα του παρόχου ενάντια στις διάφορες επιθέσεις κυβερνοασφάλειας. Η ανθεκτικότητα ως προς την κυβερνοπασφάλεια αναμένεται να αποτελέσει ένα από τα βασικά ανταγωνιστικά πλεονεκτήματα μεταξύ των παρόχων υπηρεσιών cloud. Το 2022 αναμένεται να αυξηθούν οι επιθέσεις σε υποδομές cloud ενώ ταυτόχρονα θ’ αυξάνεται και η υιοθέτηση του cloud από τις επιχειρήσεις. Η αυξημένη χρήση των υποδομών cloud θα δοκιμάσει την ανθεκτικότητα των παρόχων σε επιθέσεις κυβερνοασφάλειας, αλλά και του συνόλου των δικλείδων ασφάλειας και προστασίας των ψηφιακών υποδομών και δεδομένων που έχουν υλοποιήσει. Ταυτόχρονα, θα δοκιμαστούν τόσο η τεχνογνωσία σε θέματα ασφάλειας των οργανισμών που χρησιμοποιούν το cloud, όσο και η εναρμόνιση πολιτικών, διαδικασιών και τεχνολογιών ασφάλειας στο νέο μοντέλο λειτουργίας. Συνεπεία αυτών, αναμένεται αύξηση των επιτυχημένων επιθέσεων σε περιβάλλοντα cloud μιας και η μετάβαση στο νέο περιβάλλον, , έχει συχνά γίνει με μη προσήκοντα τρόπο και το νέο μοντέλο εργασίας δεν έχει πλήρως αφομοιωθεί.
Deepfakes και παραπληροφόρηση
Η τεχνολογία Deepfakes εξελίχθηκε αρκετά κατά το 2021 τόσο σε ό,τι αφορά στον ήχο όσο και στην εικόνα, με αποτέλεσμα να έχουν σημειωθεί σημαντικές επιθέσεις με χρήση παραποιημένων ηχητικών και οπτικών μέσων προκειμένου να παρακαμφθούν μηχανισμοί πολλαπλών παραγόντων ελέγχου ταυτότητας και ελέγχου ψηφιακής πρόσβασης. Η τεχνολογία deepfakes αναμένεται να γίνει ευρύτερα διαθέσιμη από το 2022 και μετά, με αποτέλεσμα οι κυβερνο-εγκληματίες και οι κυβερνο-κατασκοπεία να κάνει ευρεία χρήση της εν λόγω τεχνολογίας στο πλαίσιο επιθέσεων κοινωνικής μηχανικής, με σκοπό την ευκολότερη προσαρμογή του περιεχομένου σε συγκεκριμένους στόχους. Κατ’ αυτόν τον τρόπο, αναμένεται ότι οι μηχανισμοί πιστοποίησης ταυτότητας και ελέγχου πρόσβασης θα παρακάμπτονται ευκολότερα. . Επισημαίνεται ότι φορείς οι οποίοι χρηματοδοτούνται από συγκεκριμένα κράτη έχουν αρχίσει να επιδεικνύουν αυξανόμενο ενδιαφέρον για αυτήν την τεχνολογία.
Οι Κυβερνήσεις σε ρόλο επιτιθέμενου
Οι Κυβερνήσεις διαφόρων κρατών έχουν αναπτύξει αξιοσημείωτη επιθετική δραστηριότητα μέσω στοχευμένων και καλά οργανωμένων κυβερνοεπιθέσεων. Οι συγκεκριμένες δραστηριότητες αναμένεται να αυξηθούν και να «αξιοποιηθούν» συναφώς οι οργανωμένοι εγκληματίες του κυβερνοχώρου αλλά και τα μέσα κοινωνικής δικτύωσης, έτσι ώστε οι στοχευμένες επιθέσεις ή/και διασπορά ψευδών ειδήσεων να διαπράττονται σε μεγαλύτερο βαθμό. Οι συγκεκριμένες δραστηριότητες υλοποιούνται μέσω νεοσύστατων εταιρειών ή με τη ν χρήση των ψηφιακών υποδομών συστοιχίας εταιρειών, κυρίως στον τομέα της τεχνολογίας, οι οποίες διευθύνονται και ελέγχονται από τις υπηρεσίες πληροφοριών των εκάστοτε χωρών. Με την προβλεπόμενη αύξηση τέτοιου είδους τακτικών σε συνδυασμό με την ασάφεια ως προς τα κίνητρα και τη ταυτότητα των κυβερνοεγκληματιών, ο επιχειρηματικός κλάδος θα πρέπει να είναι σε συνεχή εγρήγορση και να μπορεί να ανιχνεύει άμεσα απόπειρες κυβερνοεπιθέσεων, αλλά και να συλλέγει πληροφορίες για τέτοιου είδους ενέργειες, ιδιαίτερα γι’ αυτές που αφορούν στον κλάδο, στον οποίοι δραστηριοποιείται.
Κακόβουλες ενέργειες κατά παραγγελία
Οι παράνομες δραστηριότητες που αφορούν στην παροχή υπηρεσιών κυβερνοεπιθέσεων ή στην κατασκευή λογισμικού τύπου Ransomware και στην παροχή κρίσιμων και εμπιστευτικών πληροφοριών οι οποίες έχουν παρανόμως υποκλαπεί, μεταλλάσσονται και εξελίσσονται συνεχώς. Οι πάροχοι των εν λόγω παράνομων δράσεων έχουν αλλάξει τα υφιστάμενα κανάλια επικοινωνίας με τους ‘πελάτες τους’ λόγω της αυξημένης τάξης να διώκονται αυτοί σε νομικό επίπεδο, , η οποία έλαβε χώρα τα τελευταία δύο χρόνια. Το 2022 αναμένεται η δραστηριοποίηση αυτοδύναμων ομάδων οι οποίες θα είναι καλύτερα οργανωμένες και οι οποίες θα έχουν τη δυνατότητα όχι μόνο να κατασκευάσουν το κακόβουλο λογισμικό, αλλά και να το χρησιμοποιήσουν σε συνδυασμό με επιθετικές τεχνικές παρείσδυσης, προκειμένου να ελέγξουν δίκτυα και πληροφορίες των οργανισμών στους οποίους θα επιτίθενται κατά παραγγελία. Το γεγονός αυτό συνεπάγεται την αναπόφευκτη αύξηση των κυβερνοεπιθέσεων, , αφού αυτές θα μπορούν να εκδηλωθούν κατά παραγγελία και δεν θα απαιτείται αυξημένη εξειδίκευση και τεχνογνωσία από τους παραγγελιοδόχους.
Συνεργάτες και εφοδιαστική αλυσίδα
Οι κυβερνοεπιθέσεις πλήττουν ολοένα και περισσότερο επιχειρήσεις οι οποίες αποτελούν ζωτικό κομμάτι της εφοδιαστικής αλυσίδας πολλών εταιρειών και οργανισμών, ιδιαίτερα όσον αφορά στη λειτουργία των ψηφιακών υποδομών τους. Οι οργανισμοί πρέπει να είναι προσηκόντως προετοιμασμένοι ώστε ν’ αντιμετωπίσουν περιπτώσεις απώλειας της διαθεσιμότητας των υπηρεσιών και των πληροφοριών τους από περιστατικά στα οποία δεν θα είναι οι ίδιοι, κατ΄ ανάγκη, ο πρωταρχικός στόχος. Κατ’ επέκταση, σε τέτοιες περιπτώσεις δεν θα είναι σε θέση να διαθέτουν την πλήρη εικόνα ούτε την απαιτούμενη πληροφόρηση σχετικά με την επίθεση. Αυτό σημαίνει ότι εταιρείες και Οργανισμοί θα πρέπει να βεβαιωθούν ότι οι προμηθευτές και συνεργάτες τους είναι επαρκώς θωρακισμένοι όσον αφορά στην ασφάλεια των πληροφοριών και των ψηφιακών τους υποδομών. Οι συγκεκριμένοι έλεγχοι αναμένεται ν’ αποτελέσουν αναπόσπαστο κομμάτι του προγράμματος αξιολόγησης κινδύνων των οργανισμών το οποίο είναι άρρηκτα συνδεδεμένο και με τον επιχειρηματικό λειτουργικό κίνδυνο.
Εκπαίδευση και εγρήγορση προσωπικού
Η υιοθέτηση ενός υβριδικού τρόπου εργασίας έχει αυξήσει την έκθεση των εργαζομένων σε κυβερνοεπιθέσεις. Η παρουσία της κάθε εταιρείας εκτείνεται πέρα από το στενό πλαίσιο του εταιρικού ψηφιακού δικτύου, πρακτικά δηλ. η εταιρεία βρίσκεται όπου βρίσκεται ο κάθε εργαζόμενος ο οποίος συνδέεται στο εταιρικό δίκτυο. Ως εκ τούτου, η ευθύνη για την ασφάλεια των πληροφοριών ενός οργανισμού, σήμερα περισσότερο από ποτέ, δεν μπορεί να εντάσσεται αποκλειστικά στη σφαίρα ευθύνης των ομάδων πληροφορικής, αντίθετα, θα πρέπει να κατανέμεται αντίστοιχα και βάσει του βαθμού εμπλοκής του καθενός, στο σύνολο του προσωπικού.. Αυτό προϋποθέτει ενημέρωση και εκπαίδευση όλου του προσωπικού, αδιακρίτως και κατά τρόπο αποτελεσματικό και προσαρμοσμένο σε κάθε ομάδα εργαζομένων ανάλογα με το ειδικότερο αντικείμενο απασχόλησης της καθεμιάς εξ αυτών.
Devsecops
Οι επιθέσεις που αφορούν στην εφοδιαστική αλυσίδα, οι λάθος χειρισμοί δεδομένων μέσα σε εφαρμογές και οι γνωστές αδυναμίες και κενά ασφάλειας τα οποία δεν αντιμετωπίστηκαν έγκαιρα την περασμένη χρονιά, κατέστησαν σαφές ότι η υιοθέτηση του DevSecOps είναι το επόμενο στάδιο εξέλιξης του DevOps και η κινητήρια δύναμη που προσθέτει αξία, ταχύτητα και ασφάλεια σε όλα τα στάδια του κύκλου ζωής ανάπτυξης λογισμικού (SDLC).
OT & Cyber/Physical
Ο χώρος του ΟΤ θα αποτελεί ολοένα και περισσότερο πεδίο έρευνας και εκμετάλλευσης αδυναμιών ασφάλειας αλλά και πρόσφορο έδαφος προσέλκυσης επιθέσεων τύπου ransomware. Τα περισσότερα από τα ψηφιακά συστήματα ΟΤ δεν έχουν σχεδιαστεί ούτε κατασκευαστεί με γνώμονα την ψηφιακή ασφάλεια. Για τον λόγο αυτόν παρατηρείται τεράστια αύξηση των αδυναμιών ασφάλειας, με ίδια αυξητική τάση και στο μέλλον.
Αδυναμίες ασφάλειας λογισμικού (Vulnerabilities)
Το 2021 υπήρξε μία από τις χειρότερες χρονιές που έχουν καταγραφεί σε σχέση με τον αριθμό των αδυναμιών ασφάλειας (zero-day) που ανακοινώθηκαν και αποτέλεσαν πεδίο εκμετάλλευσης από κακόβουλους χρήστες. Πλέον, ο χρόνος που θα απαιτείται για να κατασκευάζεται ο κώδικας εκμετάλλευσης των αδυναμιών ασφάλειας (exploits) που θα αφορά αφορά στις νέες αδυναμίες θα μετριέται σε ώρες και η μόνη ασπίδα προστασίας θα είναι η εγκατάσταση των patches, εφόσον αυτά είναι διαθέσιμα. Από πλευράς επιχειρήσεων, αναμένονται ενέργειες για μεγιστοποίηση της αποτελεσματικότητας των διεργασιών διαχείρισης των ψηφιακών πόρων (asset management) και εγκατάσταση των patches (patch management). Αναπόφευκτα, προσπάθειες εκμετάλλευσης των αδυναμιών ασφάλειας θα εξακολουθήσουν να υπάρχουν, ταυτόχρονα όμως αναμένεται να μειωθεί το εύρος της εκμετάλλευσης και οι αρνητικές επιπτώσεις, καθώς οι περισσότεροι οργανισμοί θα εντείνουν την προσπάθειά τους για αποτελεσματική υλοποίηση και τήρηση των βασικών μέτρων προστασίας που αφορούν στην ασφάλεια των πληροφοριών και των ψηφιακών υποδομών.
Ολιστική θεώρηση για την ασφάλεια των πληροφοριών
Η ασφάλεια πληροφοριών είναι μια συνεχής διεργασία διαχείρισης κινδύνων η οποία επιδιώκει να είναι κατά το δυνατόν αποτελεσματικότερη, , προκειμένου να υποστηρίξει τις επιχειρηματικές ανάγκες και να προστατεύσει τα κρίσιμα και προσωπικά δεδομένα. Είναι περισσότερο από ποτέ ορατή η ανάγκη αποτελεσματικής εφαρμογής των βασικών αρχών και δικλείδων ασφαλείας, ενώ ταυτόχρονα αναδεικνύεται έντονη η ανάγκη προσαρμογής της στρατηγικής, της αρχιτεκτονικής και της διαχείρισης των απειλών στο νέο συνεχώς εξελισσόμενο ψηφιακό/φυσικό/εικονικό κόσμο. Η ολιστική προσέγγιση για την Ασφάλεια των Πληροφοριών, όπου και αν αυτές βρίσκονται μέσα στο ευρύτερο εταιρικό περιβάλλον, είναι μονόδρομος. Ο διαχωρισμός και ο κατακερματισμός της διαχείρισης της ασφάλειας στο επιχειρηματικό περιβάλλον ανήκουν πλέον στο παρελθόν. Η αναδυόμενη μέσα από τις συνθήκες αβεβαιότητα καλεί για αποτελεσματικότητα και ολιστική προσέγγιση.
Παραπομπές
- Gartner, Top Strategic Technology Trends for 2022 12 Trends Shaping the Future of Digital Business
- Verizon, 2021-data-breach-investigations-report
- Europol, Internet Organised Crime Threat Assessment (IOCTA) 2021
- CompTIA, State of Cybersecurity
- IBM Security, Cost of a Data Breach Report
- EY, Global information security survey
- National Intelligence Council, Global Trends 2040
- CSO, State of Cybersecurity
- KPMG, 2021 CEO Outlook Plugged-in, people-first, purpose-led
- McAfee Enterprise & FireEye, 2022 Threat Predictions
- Mandiant, SECURITY PREDICTIONS 2022
