הסטארטאפ שנפרץ בגלל עובד אחד: מה המחקרים מגלים על הגורם האנושי בפרצות סייבר
זה תמיד מתחיל באותה צורה. עובד מקבל מייל, לוחץ על קישור, מזין את הסיסמה שלו. הוא חושב שהוא מתחבר לממשק עבודה. בפועל, הוא מסר את אישורי ה-VPN של החברה לגורם שמחכה מהצד השני.
מחקר משותף של Stanford University ו-Tessian מצא ש-88% מפרצות המידע נגרמות, לפחות בחלקן, מטעות אנוש. Verizon DBIR 2024 מאשר: 68% מהפרצות כוללות את הגורם האנושי, בין אם דרך הנדסה חברתית, שגיאה, או שימוש לרעה בהרשאות.
בעולם הסטארטאפים התל אביבי, שבו מגייסים מהר, מרחיבים גישות לעובדים חדשים ורצים על מהירות - זה הסיכון שנוטים להמעיט בו.
הנדסה חברתית: הכלי שעובד
סקר סיכוני סייבר מגלה לעיתים קרובות שהבעיה לא נמצאת בתשתית, אלא בפרצה בין גיוס לבין הגדרת הרשאות. עובד חדש מקבל גישה ל-everything כי קל יותר לפתוח מאשר לתחם. עובד שעוזב - הגישה לא נסגרת ביום האחרון, אלא שבועיים אחר כך.
Proofpoint Human Factor Report 2024 מגלה שבמהלך 2023, תוקפים שלחו מעל ל-3 מיליארד הודעות פישינג ביום. שיעור ההצלחה נמוך - אבל כשמדובר במיליארדים ניסיון ביום, גם 0.01% מייצג מספרים עצומים. ותוקף שמצליח פעם אחת, לעיתים קרובות, לא צריך יותר מזה.
מה קורה אחרי שעובד לוחץ?
הרגע שעובד לוחץ על קישור זדוני הוא לא תמיד הרגע שהנזק נוצר. לעיתים מדובר בנקודת כניסה שאחריה מגיע שלב reconnaissance שנמשך ימים. IBM מדווח שאירועי פישינג שמתגלגלים לפרצת מידע לוקחים בממוצע 176 יום לאיתור ו-51 יום נוספים לסגירה. כמעט שמונה חודשים מהלחיצה ועד לסגירה מלאה.
למשרד עורכי דין, לסטארטאפ B2B עם נתוני לקוחות, או לחברת פינטק - שמונה חודשים של חשיפה לא מזוהה הם מתכון לנזק בלתי הפיך: ריגול תחרותי, דליפת נתוני לקוחות, נזק מוניטין.
מה עושה סקר סיכונים בהקשר זה?
סקר סיכוני סייבר מסודר בוחן לא רק תשתית - אלא גם תהליכים ואנשים. מי יש לו גישה למה? מה מדיניות הסיסמאות? מה קורה כשעובד עוזב? האם יש ועדת אבטחת מידע, ולו בסיסית? מי מורשה לאשר העברות כספיות? וכמובן גם הרצאות סייבר אשר מחזקות את המודעות בקרב עובדי החברה.
ממצאי הסקר מאפשרים לבנות roadmap: מה לתקן עכשיו, מה לתעדף לרבעון הבא, ומה להפנות לתקציב השנה הבאה. לא 100 עמוד של פרחי אזהרה - אלא רשימת פעולות ברת ביצוע.
נקודה אחת שצריכה להיות ברורה
הגורם האנושי לא ייעלם. אין מוצר שמבטל פישינג לגמרי. אבל ההפרש בין ארגון שמבין את חשיפתו לבין כזה שלא - הוא הפרש במהירות הזיהוי, בגודל הנזק, וביכולת לחזור לפעילות רגילה.
סטארטאפ בשלבי צמיחה שמשקיע בסקר סיכונים אחת לשנה אינו "מבזבז על ביטוח". הוא בונה יכולת ניהול סיכונים שמשקיעים ושותפים עסקיים מתחילים לשאול עליה.
קרדיט תמונה: envato
