סקר: הסתמכות יתר על ספקי ענן למטרות אבטחה מציבה ארגונים בסיכון למתקפה

לפי סקר חדש של חברת סייברארק (נאסד"ק: CYBR): בזמן שארגונים מעבירים לסביבות ענן ציבורי יותר ויותר יישומים קריטיים, נתונים ומידע של לקוחות בפיקוח רגולטורי וכן תהליכי פיתוח, 36 אחוזים מהארגונים הגלובליים אומרים שהיתרון העיקרי של העברת עומסי העבודה לענן הוא צמצום סיכון האבטחה. זאת, למרות שהרבה ספקיות ענן ציבור מספקות הנחיות ברורות לגבי מודל האחריות המשותפת לאבטחה והתקינה בסביבות ענן.

התוצאות הן חלק מסקר של סייברארק שמתפרסם בתוך דו"ח האיומים המתקדמים של סייברארק ל-2019: CyberArk Global Advanced Threat Landscape Report 2019: Focus on Cloud .

"הסיכונים הנובעים כתוצאה מהיעדר בהירות לגבי זהות האחראי לאבטחה בענן מורכבים, בין היתר, מכישלון באבטחת גישה פריבילגית בסביבות אלה", אומר אדם בוסניאן, סגן נשיא בכיר לפיתוח עסקי גלובלי בסייברארק. "למרות שעננים משמשים כיום לעתים קרובות גם לאחסון נתונים רגישים הכפופים לרגולציה, מפתיע לגלות שלפחות ממחצית הארגונים אין בכלל אסטרטגיה לאבטחת הרשאות פריבילגיות בענן. הממצא הזה נותר ללא שינוי מאז הדו"ח האחרון שפרסמנו".

ככל שארגונים ממשיכים להשתמש בענן כדי להאיץ הטרנספורמציה הדיגיטלית שלהם, הסתמכות על ספקיות הענן למטרות אבטחה מהווה סיכון משמעותי:

• 49 אחוזים מהמשיבים מעבירים יישומים עסקיים קריטיים (כלומר, ERP, CRM או ניהול פיננסי) לסביבת ענן ציבורי.

• 45 אחוזים מאחסנים נתוני לקוחות הכפופים לפיקוח רגולטורי בענן הציבורי.

• 39 אחוזים משתמשים בענן הציבורי למטרות פיתוח פנימיות, לרבות DevOps.

• 75 אחוזים מסתמכים על האבטחה המובנית שמספקת ספקית הענן הציבורי, למרות שמחצית (50%) מהם יודעים שהאבטחה המובנית של הספק אינה מספיקה.

גישה פריבילגית היא התחום המדאיג ביותר באבטחת ענן

על פי המחקר, התחומים המטרידים ביותר בשימוש בענן ציבורי הם:

• גישה פריבילגית לגורמי פנים, שותפים וקבלנים (46 אחוזים)

• גישה בלתי מורשית למערכות ניהול הענן (46 אחוזים)

• שימוש באותן הרשאות לכלל סביבות המחשוב, האחסון והאפליקציות (44 אחוזים)

הבעיה הופכת לקריטית עוד יותר כאשר הרשאות בלתי-מאובטחות ובלתי-מנוהלות מעניקות גישה פריבילגית, מה שעלול לאפשר לתוקפים להשיג הרשאות גבוהות יותר ולקבל גישה עוד יותר פריבילגית לתשתית הענן. על פי הסקר:

• רוב הארגונים (62 אחוזים) אינם מודעים לקיומם של הרשאות, סודות ומפתחות וחשבונות פריבילגיים בסביבות IaaS (תשתית כשירות) ו-PaaS (פלטפורמה כשירות).

• רק ל-49 אחוזים יש כיום אסטרטגיה לאבטחת גישה פריבילגית לתשתית ענן ובתוך תשתית הענן.

הממצאים הם חלק מסקירה ראשונית של דו"ח נוף האיומים הגלובליים המתקדמים של סייברארק לשנת 2019. להורדת העתק של הדו"ח המתמקד במצב הנוכחי של אבטחת ענן, היכנסו ל-http://www.cyberark.com/TL19cloud