Μια νέα έκθεση της Kaspersky αποκάλυψε ότι ένα σημαντικό ποσοστό (26%) των κυβερνοεπιθέσεων σε επιχειρήσεις σχετίζεται με τη μη συμμόρφωση των υπαλλήλων στα πρωτόκολλα ασφαλείας που έχουν θεσπίσει οι εταιρείες. Αυτό το ποσοστό ανταγωνίζεται στενά το 20% που αποδίδεται σε απόπειρες εξωτερικών εισβολών.
Η Kaspersky εξήγησε ότι, σε αντίθεση με τις επικρατούσες πεποιθήσεις ότι το ανθρώπινο λάθος είναι η κύρια αιτία περιστατικών ασφάλειας στον κυβερνοχώρο, η πραγματικότητα είναι διαφορετική.
Μιλώντας με επαγγελματίες ασφάλειας IT σε μικρομεσαίες και άλλες επιχειρήσεις παγκοσμίως, η εταιρεία θέλησε να κατανοήσει τον αντίκτυπο διαφόρων ατόμων στο cybersecurity posture των εταιρειών.
Δείτε επίσης: Citrix: Οι διαχειριστές πρέπει να τερματίσουν τις συνεδρίες χρήστη του NetScaler
Ανακάλυψε ότι οι σκόπιμες παραβιάσεις των πρωτοκόλλων ασφαλείας από υπαλλήλους (IT υπαλλήλους και μη IT), διαδραμάτισαν σημαντικό ρόλο στην πραγματοποίηση κυβερνοεπιθέσεων. Μάλιστα, η μη συμμόρφωση στις πολιτικές ασφαλείας από IT security officers οδήγησε στο 13% των περιστατικών, η μη συμμόρφωση από επαγγελματίες IT στο 12% και η μη συμμόρφωση από άλλους υπαλλήλους (άσχετους με το κομμάτι πληροφορικής) στο 4% των περιστατικών ασφαλείας.
Η μελέτη αποκάλυψε ότι το 22% των περιστατικών ασφαλείας στις επιχειρήσεις οφειλόταν στη σκόπιμη χρήση αδύναμων κωδικών πρόσβασης ή στην αποτυχία έγκαιρης αλλαγής τους. Επιπλέον, το 18% συνδέθηκε με προσωπικό που επισκεπτόταν μη ασφαλείς ιστότοπους, ενώ το 25% προέκυψε λόγω παραμέλησης του λογισμικού συστήματος ή της τακτικής εφαρμογής ενημερώσεων.
Επίσης, η χρήση μη ασφαλών συσκευών για την κοινή χρήση δεδομένων οδήγησε σε περιστατικά κυβερνοασφάλειας στο 14% των εταιρειών. Ιδιαίτερα ανησυχητικό ήταν το εύρημα ότι το 20% των κακόβουλων ενεργειών διαπράχθηκαν από εργαζομένους για προσωπικό όφελος. Στον τομέα των χρηματοοικονομικών υπηρεσιών αυτό είναι ακόμα πιο σύνηθες.
Δείτε επίσης: Lumma: Μπορεί να αποκαταστήσει ληγμένα Google auth cookies
Ο Alexey Vovk, ειδικός ασφάλειας της Kaspersky, τόνισε τη σημασία της καλλιέργειας μιας κουλτούρας κυβερνοασφάλειας στις εταιρείες.
“Είναι απαραίτητο να δημιουργηθεί μια κουλτούρα κυβερνοασφάλειας σε έναν οργανισμό από την αρχή, αναπτύσσοντας και επιβάλλοντας πολιτικές ασφάλειας, καθώς και αυξάνοντας την ευαισθητοποίηση των εργαζομένων για την ασφάλεια στον κυβερνοχώρο“, εξήγησε ο Vovk.
“Έτσι, το προσωπικό θα προσεγγίσει τους κανόνες πιο υπεύθυνα και θα κατανοήσει ξεκάθαρα τις πιθανές συνέπειες των παραβιάσεων τους“.
Οι οργανισμοί μπορούν να λάβουν διάφορα μέτρα για να ενισχύσουν τις πολιτικές τους για τους εργαζομένους και να προλάβουν τις κυβερνοεπιθέσεις. Ένα από τα πρώτα βήματα είναι η δημιουργία και η επιβολή ενός συνολικού πλαισίου για την ασφάλεια των πληροφοριών. Αυτό περιλαμβάνει την καθορισμό των προτύπων ασφάλειας, των διαδικασιών και των κανόνων που πρέπει να ακολουθούν οι εργαζόμενοι για να προστατεύσουν τις πληροφορίες της εταιρείας.
Επιπλέον, οι επιχειρήσεις πρέπει να παρέχουν εκπαίδευση και ευαισθητοποίηση στους εργαζομένους τους σχετικά με τις απειλές της κυβερνοασφάλειας και τη σημασία της τήρησης των πολιτικών ασφαλείας. Αυτό μπορεί να γίνει μέσω εκπαιδευτικών προγραμμάτων, ενημερωτικών εκδηλώσεων και συνεχούς επικοινωνίας με τους εργαζομένους.
Δείτε επίσης: Τα DarkGate και PikaBot malware γεμίζουν το κενό που άφησε το Qakbot (QBot)
Οι επιχειρήσεις πρέπει, ακόμα, να εφαρμόζουν αυστηρές πολιτικές πρόσβασης και περιορισμού των δικαιωμάτων χρήστη. Αυτό σημαίνει ότι οι εργαζόμενοι πρέπει να έχουν πρόσβαση μόνο στις πληροφορίες και τους πόρους που είναι απαραίτητοι για την εκτέλεση των καθηκόντων τους. Είναι, ακόμα, σημαντικό να υπάρχουν μηχανισμοί ελέγχου και παρακολούθησης για να διασφαλίζεται η συμμόρφωση με αυτές τις πολιτικές.
Τέλος, οι οργανισμοί πρέπει να διατηρούν ενημερωμένα και ασφαλή συστήματα και λογισμικά. Αυτό περιλαμβάνει την εγκατάσταση των απαιτούμενων ενημερώσεων και ενημερωτικών πακέτων ασφαλείας, τη χρήση antivirus λογισμικών και την εφαρμογή αυστηρών πολιτικών για την πρόληψη και ανίχνευση κακόβουλου λογισμικού.
Πηγή: www.infosecurity-magazine.com
