گزارش جدیدی از VikingCloud با بررسی ۲۰۰ مدیر IT و امنیت در زنجیره‌های تجاری ایالات متحده و اروپا، یافته‌های نگران‌کننده‌ای را درباره نحوه گسترش حملات سایبری در سازمان‌های با شعب متعدد منتشر کرده است. این مطالعه نشان می‌دهد که خرید ابزارهای امنیتی پیشرفته لزوماً به معنای کاهش دامنه اثر یا همان Blast Radius در هنگام وقوع یک حادثه نیست.
شکاف بین ابزارها و حاکمیت امنیتی
بر اساس این نظرسنجی، هیچ‌یک از ۱۳ فناوری امنیتی مورد بررسی و حتی قابلیت Real-time Visibility (دیدبانی آنی)، تأثیر مستقیمی بر جلوگیری از گسترش حمله از یک شعبه به سایر نقاط شبکه نداشته‌اند. در مقابل، تنها یک عامل تعیین‌کننده بود: سیاست‌های اجباری (Mandates).
- در سازمان‌هایی که سیاست‌های امنیتی متمرکز و اجباری داشتند، تنها ۶۴٪ حملات به سایر نقاط گسترش یافتند.
- در سازمان‌هایی که فاقد چنین سیاست‌هایی بودند، این رقم به ۸۹٪ رسید.
- این تفاوت در مدل‌های فرانچایز (Franchise) بسیار چشم‌گیرتر است و احتمال توقف حمله در نقطه شروع، در صورت وجود سیاست‌های اجباری، سه برابر افزایش می‌یابد.
آمار تکان‌دهنده از گسترش حملات و عدم گزارش
نتایج نشان می‌دهد که ۸۶٪ از شرکت‌های مورد بررسی در سال گذشته مورد حمله قرار گرفته‌اند و ۷۷٪ از آن‌ها شاهد انتقال حمله از نقطه شروع به سایر شعب، سیستم‌های شرکتی یا تامین‌کنندگان مشترک بوده‌اند. این وضعیت در سازمان‌های بزرگتر (بیش از ۲۵۰۰ شعبه) بحرانی‌تر است و ۸۹٪ حملات در این سازمان‌ها منجر به نفوذ گسترده شده‌اند.
یکی از نقاط ضعف استراتژیک، شکاف روز افتتاحیه است؛ ۸۰٪ از این زنجیره‌ها شعب جدید خود را پیش از آنکه نظارت و اجرای سیاست‌های امنیتی مرکزی در آن‌ها مستقر شود، افتتاح می‌کنند.
پنهان‌کاری در گزارش‌دهی حوادث
گزارش حاکی از آن است که ۹۱٪ از پاسخ‌دهندگان تایید کرده‌اند که حداقل یک حادثه امنیتی مهم در سال گذشته هرگز به اطلاع مدیریت ارشد یا هیئت مدیره نرسیده است. ۴۳٪ نیز اعلام کردند که ۵ مورد یا بیشتر از حوادث گزارش نشده‌اند. دلیل اصلی این پدیده (در ۴۷٪ موارد)، ترس از پیامدهای شغلی و حرفه‌ای بوده است.
نتیجه‌گیری برای مدیران SOC و CISOها
همان‌طور که کوین پیرس، مدیر عملیاتی VikingCloud اشاره می‌کند: «شما نمی‌توانید تنها با نظارت (Monitoring)، شعاع انفجار یا Blast Radius را مدیریت کنید؛ شما باید حاکمیت (Governance) داشته باشید.»
تمرکز صرف بر خرید ابزار بدون داشتن یک چارچوب حاکمیتی سخت‌گیرانه و اجباری، منجر به ایجاد یک حس امنیت کاذب می‌شود؛ به‌طوری که ۸۳٪ مدیران با وجود ضعف در دیدبانی و گسترش حملات، نسبت به وضعیت امنیتی خود «مطمئن» یا «بسیار مطمئن» هستند.
