מחקר: הסתמכות יתר על האבטחה של ספקיות הענן – סיכון לארגונים

75% מהארגונים מסתמכים על האבטחה המובנית של ספקיות הענן הציבורי, למרות שמחצית מהם יודעים שהאבטחה המובנית שלהן – אינה מספיקה, מה שמהווה סיכון משמעותי לארגונים, כך עולה מדו"ח של סייברארק המתפרסם כאן לראשונה.

לפי המחקר, בזמן שארגונים מעבירים לסביבות ענן ציבורי יותר ויותר יישומים קריטיים, נתונים ומידע של לקוחות בפיקוח רגולטורי וכן תהליכי פיתוח – 36% מהארגונים הגלובליים אומרים שהיתרון העיקרי של העברת עומסי העבודה לענן – הוא צמצום סיכון האבטחה. זאת, למרות שספקיות ענן ציבורי רבות מספקות הנחיות ברורות לגבי מודל האחריות המשותפת לאבטחה והתקינה בסביבות ענן.

על פי דו"ח האיומים המתקדמים של סייברארק ל-2019, 49% מהארגונים מעבירים יישומים עסקיים קריטיים – מערכות ERP, CRM, או מערכות ניהול פיננסי – לסביבת ענן ציבורי. 45% מהם מאחסנים נתונים של לקוחות, הכפופים לפיקוח רגולטורי בענן הציבורי. 39% מהם משתמשים בענן הציבורי למטרות פיתוח פנימיות, לרבות DevOps.

סייברארק

"לפחות ממחצית הארגונים אין כלל אסטרטגיה לאבטחת הרשאות פריבילגיות בענן"

על פי המחקר, התחומים המטרידים ביותר בשימוש בענן ציבורי הם: גישה פריבילגית לגורמי פנים, שותפים וקבלנים (46%); גישה בלתי מורשית למערכות ניהול הענן (46%); שימוש באותן הרשאות לכלל סביבות המחשוב, האחסון והאפליקציות (44%). על פי החוקרים, "הבעיה הופכת לקריטית עוד יותר, כאשר הרשאות בלתי מאובטחות ובלתי מנוהלות מעניקות גישה פריבילגית, מה שעלול לאפשר לתוקפים להשיג הרשאות גבוהות יותר, ולקבל גישה עוד יותר פריבילגית לתשתית הענן".

כך, מהמחקר עולה כי רוב הארגונים, 62% מהם, אינם מודעים לקיומם של הרשאות, סודות ומפתחות וחשבונות פריבילגיים בסביבות IaaS (תשתית כשירות) ו-PaaS (פלטפורמה כשירות). נתון נוסף הוא שרק ל-49% מהארגונים יש כיום אסטרטגיה לאבטחת גישה פריבילגית לתשתית ענן ובתוך תשתית הענן.

"הסיכונים הנובעים כתוצאה מהיעדר בהירות לגבי זהות האחראי לאבטחה בענן מורכבים, בין היתר, מכישלון באבטחת גישה פריבילגית בסביבות אלה", אמר אדם בוסניאן, סגן נשיא בכיר לפיתוח עסקי גלובלי בסייברארק, "למרות שעננים משמשים כיום לעתים קרובות גם לאחסון נתונים רגישים הכפופים לרגולציה, מפתיע לגלות שלפחות ממחצית הארגונים אין כלל אסטרטגיה לאבטחת הרשאות פריבילגיות בענן. הממצא הזה נותר ללא שינוי, מאז הדו"ח האחרון שפרסמנו". הוא סיכם באומרו כי "ככל שארגונים ממשיכים להשתמש בענן כדי להאיץ הטרנספורמציה הדיגיטלית שלהם, הסתמכות על ספקיות הענן למטרות אבטחה מהווה סיכון משמעותי".