Les empreses i el seu personal tecnològic han de lluitar contra una gran quantitat de cibertatacs en la cerca de mantenir les companyies segures a la xarxa. Algunes amenaces són més freqüents i difícils d’aturar que d’altres. En un informe elaborat pel proveïdor de seguretat empresarial Balbix s’analitzen quines són les principals amenaces existents a la xarxa, a partir d’una enquesta feta a professionals de la seguretat. Produït per la comunitat de seguretat Cybersecurity Insiders, l’informe de Balbix que porta per títol ”2020 State of Enterprise Security Posture Report” està basat en una mostra feta entre 372 professionals informàtics i especialistes de ciberseguretat dels Estats Units. El sondeig és recent, del juny d’aquest any.
Entre els enquestats, el 89% van citar els atacs de phishing, web i els de ransomware com a principals preocupacions. Al voltant del 53% assenyala que els sistemes no empaquetats constitueixen el seu major mal de cap en qüestió de seguretat, mentre que el 47% van mencionar les configuracions errònies.
Altres preocupacions incloïen: la gestió d’identitats i accessos; els problemes amb les contrasenyes; l’accés de persones malintencionades; els inventaris d’actius; els atacs de denegació de serveis; les xarxes planes (xarxes no segmentades ni assegurades per encaminadors i commutadors) i els problemes de xifrat.
Preguntats sobre quines àrees estan més exposades a amenaces, el 68% dels enquestats van apuntar a sistemes no empaquetats, mentre que el 59% es van mostrar més preocupats per qüestions relatives a la identitat i la gestió d’accesos. Però menys de la meitat (un 48%) van citar el phishing, web i el ransomware, les mateixes matèries que van afirmar que eren la seva major preocupació. A més, el 46% va dir que les àrees més exposades a amenaces són les vinculades a qüestions relacionades amb contrasenyes; el 44% a inventaris d’actius; el 38% a atacs de denegació de serveis i el 29% a problemes de xifrat.
Per a moltes organitzacions, la capacitat limitada per analitzar els seus forats de seguretat i la incapacitat de prioritzar els problemes de seguretat generen un risc més gran. Entre els enquestats, el 46% va dir que els costa saber quines vulnerabilitats són amenaces reals i quines no “explotaran” mai. Al voltant del 37% es va mostrar preocupat perquè la seva capacitat d’anàlisi s’estén només a un petit sots-conjunt del total d’àrees que poden ser objecte d’un atac total. I el 25% va dir que el número d’alertes el desborda i l’impedeix emprendre les accions adequades.
La gestió d’actius i d’inventaris és un altre repte. Només el 40% dels enquestats va dir que coneix el 75% o més dels dispositius de la seva xarxa, a quina categoria corresponen aquests i a quins riscos estan exposats dins la seva empresa. Al voltant del 43% coneixen entre el 50% i el 75% dels dispositius que integren la xarxa que gestionen, però tenen una cobertura limitada de la categoria i els riscos als quals estan exposats. I el 14% només coneixen entre un 25% i un 50% dels dispositius objectes de possibles atacs, però no disposen de la capacitat de classificar o determinar amb precisió quin n’és el punt crític d’exposició a ciberatacs.
Una mala gestió d’actius i d’inventaris pot resultar problemàtica si una organització és afectada per un ciberatac o s’assabenta d’una greu vulnerabilitat. Només el 58% dels enquestats va dir que pot determinar en 24 hores cada actiu vulnerable de la seva organització després d’una explotació crítica. Més del 40% va dir que trigaria 24 hores o més en identificar cada sistema vulnerable.
També és un repte atorgar privilegis d’accés als usuaris. Si se’n donen massa pocs els empleats tenen dificultats per fer la seva feina; ara bé, si se’n donen molts augmenten els riscos per a la seguretat. Els membres dels equips informàtics prefereixen permetre més accesos. Gairebé la meitat (un 48%) admet que donen a alguns usuaris més privilegis d’accés dels que els serien purament imprescindibles.
Finalment, intentar explicar la necessitat de certs mètodes i projectes de seguretat al consell o a l’alta direcció de l’empresa pot ser una tasca difícil, a la qual s’enfronta el personal d’alt nivell del departament tecnològic d’una companyia. El 52% dels enquestats va explicar que va poder debatre amb els òrgans de decisió de la seva companyia i van poder exposar els seus punts de vista, tot i que el resultat no va ser el previst. Només el 13% van dir que aquest tipus de presentacions van bé i que els consellers entenen la importància de garantir la seguretat del sistema.
“Les conclusions del nostre informe deixen clar que els professionals de la seguretat segueixen desbordats pel repte de mantenir cobert íntegrament l’espai tècnic de la seva empresa que està en posició de risc, alhora que combat un entorn d’amenaces en constant evolució”, va explicar Vinay Sridhara, CTO de Balbix. “En la ciberseguretat, les tendències de risc poden canviar de la nit al dia. Dels resultats de l’enquesta es desprèn que els professionals de la seguretat informàtica lluiten per avaluar, quantificar i prioritzar els riscos més importants per a les seves organitzacions.”
Per ajudar les empreses a gestionar millor les seves posicions de seguretat, Balbix proporciona les següents recomancions sobre diversos temes:
Capacitat de diagnòtic inadequada. Només el 13% dels enquestats no tenen problemes amb la capacitat per diagnosticar exactament els seus riscos de seguretat. Els equips de seguretat informàtica necessiten tenir accés a tots els dispositius i aplicacions de la seva xarxa, així com als centenars de vectors d’atac als quals són susceptibles. Aquest accés ha de ser continu, ja que les exploracions periòdiques poden quedar ràpidament desfasades. Per últim, els equips de seguretat informàtica han de poder quantificar el grau total de vulnerabilitats per saber si es tracta d’amenaces reals o falses.
Disposar d’un inventari real. La majoria dels enquestats no té un 25% o més dels dispositius de l’empresa inclosos en el seu inventari. Això crea enormes punts cecs en el global de la seguretat i exposa la companyia a greus riscos. Les empreses han de tenir una visió continuada i en temps real del seu inventari que ha d’incloure tots els dispositius, aplicacions i serveis. Això significa tenir accés a infraestructures gestionades i no gestionades, que estiguin en local o al núvol, i fixes i mòbils. També han de tenir informació sobre el funcionament dels dispositius.
El risc dels usuaris privilegiats. Amb el 80% de les organitzacions que ofereixen més privilegis d’accés dels necessaris als seus usuaris, és crític tenir coneixement de les amenaces que afecten aquests usuaris. Les vulnerabilitats sobre actius d’usuaris privilegiats s’han de tractar amb urgència; han de tenir una prioritat elevada, ja que l’explotació d’aquestes vulnerabilitats pot comportar un trencament de la seguretat de greus conseqüències. Les empreses també haurien de prendre mesures per limitar els privilegis d’accés quan sigui possible.
Comunicació amb la direcció de l’empresa. A l’entorn del 52% dels responsables de ciberseguretat es conformen amb exposar als seus consells de direcció els riscos que poden patir les seves xarxes, quan el que haurien de fer és poder imposar el seu criteri per garantir la seguretat informàtica de la companyia. Les presentacions efectives a la direcció comencen amb mètriques quantificables de risc i amb diagnòstics intuïtius. S’han de centrar en els objectius empresarials i ajudar els interessats a comprendre on es troba l’empresa en risc cibernètic, on ha de ser i com pot arribar a estar totament protegida.