Hp, Kurumları Tehdit Eden Platform Güvenlik Açıklarını Ortaya Koyan Raporunu Yayınladı

0

BEĞENDİM

ABONE OL

News

0

HP, aygıtların yaşam döngülerinin her etabında güvenliğinin sağlanmamasının geniş kapsamlı siber güvenlik etkilerini vurgulayan yeni bir rapor yayınladı. Bulgular, platform güvenliğinin (PC’lerin, dizüstü bilgisayarların ve yazıcıların donanım ve ürün yazılımının garanti altına alınması) genellikle göz arkası edildiğini ve gelecek yıllar için siber güvenlik duruşunu zayıflattığını gösteriyor.

800’den fazla BT ve güvenlik karar vericisi (ITSDM) ve 6000’den fazla her yerden çalışma (WFA) çalışanıyla yapılan küresel bir araştırmaya dayanan rapor, platform güvenliğinin artan bir endişe kaynağı olduğunu ve ITSDM’lerin yüzde 81’inin saldırganların savunmasız aygıtları istismar etmemesi için donanım ve ürün yazılımı güvenliğinin bir öncelik haline gelmesi gerektiği konusunda hemfikir olduğunu gösteriyor. Bununla birlikte, yüzde 68’i donanım ve ürün yazılımı güvenliğine yapılan yatırımın aygıtların toplam sahip olma maliyetinde (TCO) genellikle göz gerisi edildiğini bildiriyor. Bu da maliyetli güvenlik sorunlarına, yönetim sarfiyatlarına ve ilerleyen evrelerde verimsizliklere yol açıyor.

Cihaz yaşam döngüsünün 5 basamağından elde edilen önemli bulgular şunlar:

1. Tedarikçi Seçimi – Buna ek olarak, yüzde 34’ü bir PC, dizüstü bilgisayar veya yazıcı tedarikçisinin son beş yıl içinde bir siber güvenlik kontrolünde başarısız olduğunu ve yüzde 18’i bu başarısızlığın mukavelelerini feshedecek kadar önemli olduğunu söylüyor. ITSDM’lerin yüzde 60’ı aygıt tedarikinde BT ve güvenlik katılımının olmamasının kurumu riske attığını söylüyor.

2. İşe Alıştırma ve Yapılandırma – ITSDM’lerin yarısından fazlası (yüzde 53) BIOS şifrelerinin paylaşıldığını, çok yaygın olarak kullanıldığını veya gereğince güçlü olmadığını söylüyor. Dahası, yüzde 53’ü BIOS şifrelerini bir aygıtın kullanım ömrü boyunca nadiren değiştirdiklerini itiraf ediyor.

3. Daima Yönetim – ITSDM’lerin %60’ından fazlası dizüstü bilgisayarlar veya yazıcılar için ürün yazılımı güncellemelerini hazır olur olmaz yapmıyor. ITSDM’lerin %57’si ürün yazılımı ile ilgili olarak FOMU (Güncelleme Yapma Korkusu) yaşadıklarını söylüyor. Yine de %80’i yapay zekanın yükselişinin saldırganların daha hızlı açıklar geliştireceği anlamına geldiğine ve bu nedenle hızlı güncelleme yapmanın hayati önem taşıdığına inanıyor.

4. İzleme ve Uygunlaştırma – Her yıl, kaybolan ve çalınan aygıtlar kurumlara tahmini olarak 8,6 milyar dolara mal oluyor. Uzaktan çalışan her 5 kişiden birinin bilgisayarını kaybetmiş ya da çaldırmış ve BT’ye haber vermeden önce ortalama 25 saat beklemiş olduğu görülüyor.

5. İkinci El Kullanım ve Hizmet Dışı Bırakma- ITSDM’lerin neredeyse yarısı (yüzde 47) PC’lerin veya dizüstü bilgisayarların yeniden kullanılması, yeniden satılması veya geri dönüştürülmesi söz konusu olduğunda veri güvenliği kaygılarının büyük bir engel olduğunu söylerken, %yüzde 9’u bunun yazıcılar için büyük bir engel olduğunu söylüyor.

HP Güvenlik Araştırma ve İnovasyon Baş Teknoloji Uzmanı Boris Balacheff, “Bilgisayar, dizüstü bilgisayar veya yazıcı satın almak, bir kurumun uç nokta altyapısı üzerinde uzun vadeli etkisi olan bir güvenlik kararıdır. Satın alma sırasında donanım ve ürün yazılımı güvenlik ihtiyaçlarının önceliklendirilmesi ya da önceliklendirilmemesi, güvenlik ve yönetilebilirlik ihtiyaçlarının mevcut en son teknolojiye kıyasla çok düşük belirlenmesi durumunda, riske maruz kalmanın artmasından maliyetlerin yükselmesine ya da olumsuz kullanıcı tecrübesine kadar bir aygıt filosunun tüm ömrü boyunca sonuçlar doğurabilir,” diye uyarıyor

Balacheff şöyle devam ediyor: “Son kullanıcı aygıt altyapılarının siber risklere karşı dirençli hale gelmesi çok değerlidir. Bu, donanım ve ürün yazılımı güvenliğine öncelik vermek ve filodaki aygıtların tüm yaşam döngüsü boyunca nasıl yönetildiklerinin olgunluğunu geliştirmekle başlar.”

Fabrikadan parmak ucuna – tedarikçi seçim sürecindeki dikkatsizlikler ve işe alım ve yapılandırma sınırlamaları, aygıt güvenliğini yaşam döngüsü boyunca etkiliyor

Bulgular, BT ve güvenliğin yeni aygıtlar için satın alma sürecinin bir parçası olması, ihtiyaçları belirlemesi ve tedarikçinin güvenlik iddialarını doğrulaması için artan ihtiyacı vurguluyor:

• ITSDM’lerin yüzde 52’si satın alma ekiplerinin tedarikçilerin donanım ve ürün yazılımı güvenlik iddialarını doğrulamak için BT ve güvenlikle nadiren işbirliği yaptığını söylüyor.
• ITSDM’lerin yüzde 45’i, RFP’lerdeki donanım ve ürün yazılımı güvenlik iddialarını doğrulama araçlarına sahip olmadıkları için tedarikçilerin doğruyu söylediğine güvenmek zorunda olduklarını itiraf ediyor.
• Hatta ITDMS’lerin yüzde 48’i satın alma ekiplerinin tedarikçilerin söylediği her şeye inanacakları için “kurbanlık koyun” gibi olduklarını söylüyor.

BT uzmanları ayrıca aygıtları donanım ve ürün yazılımı düzeyine kadar problemsiz bir şekilde devreye alma ve yapılandırma marifetlerinin sonlarından da endişe duyuyor.

• ITSDM’lerin yüzde 78’i, güvenliği artırmak için donanım ve ürün yazılımı güvenlik yapılandırmasını içerecek şekilde bulut üzerinden sıfır dokunuşla ilk katılım istiyor.
• ITSDM’lerin yüzde 57’si aygıtları bulut üzerinden devreye alamamaktan ve yapılandıramamaktan dolayı hayal kırıklığı yaşıyor.
• Evlerine bir aygıt teslim edilen WFA çalışanlarının neredeyse yarısı (yüzde 48), ilk katılım ve yapılandırma sürecinin rahatsız edici olduğundan şikayet etti.

“Elbette kesinlikle güvenebileceğiniz teknoloji sağlayıcılarını seçiyorsunuz. Ancak BT altyapınıza giriş noktası olarak hizmet veren aygıtların güvenliği söz konusu olduğunda, bu körü körüne bir güven olmamalıdır,” diyen HP Inc. Tedarik Zinciri Siber Güvenlik İş Bilgi Güvenliği Sorumlusu Michael Heywood şöyle devam ediyor: “ Kurumlar, güvenlik taleplerinin karşılandığından ve aygıtların güvenli ve verimli bir şekilde devreye alınabildiğinden emin olmak için teknik brifingler, detaylı dokümanlar, düzenli kontroller ve titiz bir doğrulama süreci gibi somut delillere ihtiyaç duyarlar.”

Cihazların daima yönetimi, izlenmesi ve iyileştirilmesi ile ilgili zorluklar ve hayal kırıklıkları

ITSDM’lerin yüzde 71’i, her yerden çalışma modellerindeki artışın platform güvenliğini yönetmeyi daha zor hale getirdiğini, çalışan verimliliğini etkilediğini ve riskli davranışlar yarattığını söylüyor:

• Her dört çalışandan biri, BT’den tamir etmesini veya değiştirmesini istemek yerine kötü performans gösteren bir dizüstü bilgisayara katlanmayı tercih ediyor çünkü kesinti müddetini göze alamıyorlar.
• Çalışanların yüzde 49’u dizüstü bilgisayarlarını tamire gönderdiklerini ve aygıtın tamirinin ya da değiştirilmesinin 2,5 günden fazla sürdüğünü söylüyor; bu da birçoğunu iş için kişisel dizüstü bilgisayarlarını kullanmaya ya da ailelerinden veya arkadaşlarından bir dizüstü bilgisayar ödünç almaya zorluyor – kişisel ve profesyonel kullanım arasındaki çizgileri bulanıklaştırıyor.
• Yüzde 12’sinin bir iş aygıtını yetkisiz bir üçüncü taraf sağlayıcıya tamir ettirerek potansiyel olarak platform güvenliğini tehlikeye atmış ve BT’nin aygıt bütünlüğüne ilişkin görüşünü bulanıklaştırmış olduğu görülüyor.

Tehdit aktörlerinin hassas verilere ve kritik sistemlere erişimini önlemek için donanım ve ürün yazılımı tehditlerinin izlenmesi ve düzeltilmesi hayati önem taşıyor. Ancak ITSDM’lerin yüzde 79’u donanım ve ürün yazılımı güvenliği konusundaki anlayışlarının yazılım güvenliği konusundaki bilgilerinin gerisinde kaldığını söylüyor. Dahası, filolarında donanım ve ürün yazılımı güvenliğini yönetmek için istedikleri görünürlüğü ve denetimi sağlayacak olgun araçlardan mahrumlar:

• ITSDM’lerin yüzde 63’ü aygıt donanımı ve ürün yazılımı güvenlik açıkları ve yanlış yapılandırmalarla ilgili birden fazla kör noktayla karşı karşıya olduklarını söylüyor.
• Yüzde 57’si risk altındaki aygıtları pahalandırmak için geçmiş güvenlik olaylarının donanım ve ürün yazılımı üzerindeki tesirini analiz edemiyor.
• Yüzde 60’ı donanım veya ürün yazılımı saldırılarını tespit etmenin ve azaltmanın imkansız olduğunu söylüyor ve ihlal sonrası uygunlaştırmayı tek yol olarak görüyor.

HP Güvenlik Laboratuvarı Baş Tehdit Araştırmacısı Alex Holland, “Donanım ve ürün yazılımı saldırıları söz konusu olduğunda, ihlal sonrası güzelleştirme kaybedilen bir stratejidir” uyarısında bulunuyor. “Bu saldırılar, sistemlerin derinliklerine yerleşerek düşmanlara aygıtlar üzerinde tam kontrol sağlayabilir. Klâsik güvenlik araçları, işletim sistemi ve yazılım katmanlarına odaklanma eğiliminde olduklarından bu tehditlere karşı kördür ve tespit edilmelerini neredeyse imkansız hale getirir. Bu saldırıları ilk etapta önlemek ya da kontrol altına almak, bir adım önde olmak için kritik önem taşıyor; aksi takdirde kurumlar göremedikleri ve ortadan kaldıramadıkları bir tehditle karşı karşıya kalabilirler.”

İkinci el kullanım ve hizmet dışı bırakma: Veri güvenliği tasaları e-atık salgınına nasıl yol açıyor?

Platform güvenliği tasaları de kurumların ömrünü tamamlamış aygıtları yeniden kullanma, geri dönüştürme veya yeniden satma imkanlarını kısıtlıyor:

• ITSDM’lerin yüzde 59’u aygıtlara ikinci bir hayat vermenin çok zor olduğunu ve bu nedenle veri güvenliği tasaları nedeniyle aygıtları genellikle imha ettiklerini söylüyor.
• Yüzde 69’u, sterilize edebildikleri takdirde yeniden kullanılabilecek veya bağışlanabilecek önemli sayıda aygıtın üzerinde oturduklarını söylüyor.
• ITSDM’lerin yüzde 60’ı, harika şekilde kullanılabilir dizüstü bilgisayarları geri dönüştürme ve yeniden kullanma konusundaki başarısızlıklarının bir e-atık salgınına yol açtığını kabul ediyor.

Birçok çalışanın eski iş cihazlarını hiçbir şey yapmasa da elinde tutması işleri daha da karmaşık hale getiriyor. Bu sadece aygıtların yeniden kullanılmasını engellemekle kalmıyor, aynı zamanda hala kurumsal veri taşıyabilen öksüz aygıtlarla ilgili veri güvenliği riskleri de yaratıyor.

• WFA çalışanlarının yüzde 70’inin evinde ya da ofisindeki çalışma alanında en az 1 eski iş bilgisayarı/dizüstü bilgisayarı bulunuyor.
• WFA çalışanlarının yüzde 12’si cihazlarını hemen iade etmeden işten ayrılmış ve bunların neredeyse yarısı hiç iade etmediklerini söylüyor.

HP Solutions, Operasyon ve Portföylerden sorumlu Kıdemli Başkan Yardımcısı ve Genel Müdürü Grant Htffman, “BT ekipleri, tüm hassas şirket veya kişisel bilgilerin tamamen silindiğine dair garantiye sahip olmadıkları için ömrünü tamamlamış aygıtları biriktiriyor ki bu da kendi başına veri güvenliği riskleri oluşturabiliyor ve ESG gayelerini olumsuz etkileyebiliyor. En son sanayi standardı silme veya medya imha süreçlerini kullanan ve uyumluluk ihtiyaçlarını karşılayabilmeniz için bir veri temizleme sertifikası sağlayan saygın bir BT varlık imha tedarikçisi bulmak çok değerlidir,” diyor.

Platform güvenliğini güzelleştirmek için aygıt yaşam döngüsüne yeni bir yaklaşım gerekiyor

Kurumların üçte ikisinden fazlası (yüzde 69), aygıt donanımı ve ürün yazılımı güvenliğini yönetme yaklaşımlarının yaşam döngülerinin sırf küçük bir bölümünü ele aldığını söylüyor. Bu durum aygıtları açıkta bırakıyor ve ekipler tedarikçi seçiminden hizmet dışı bırakmaya kadar platform güvenliğini izleyemiyor ve kontrol edemiyor.

Platform güvenliğini tüm yaşam döngüsü boyunca yönetmek için HP Wolf Security’nin önerileri şunları içeriyor:

• Tedarikçi seçimi: BT, güvenlik ve satın alma ekiplerinin yeni aygıtlar için güvenlik ve esneklik ihtiyaçlarını belirlemek, satıcı güvenlik iddialarını doğrulamak ve tedarikçi üretim güvenlik yönetişimini denetlemek için birlikte çalışmasını sağlayın.
• İlk katılım ve yapılandırma: Aygıtların ve kullanıcıların güvenli bir şekilde sıfır dokunuşla işe alınmasını ve BIOS parolaları gibi zayıf kimlik doğrulamasına dayanmayan ürün yazılımı ayarlarının güvenli bir şekilde yönetilmesini sağlayan tahlilleri araştırın.
• Sürekli yönetim: BT’nin aygıt yapılandırmasını uzaktan izlemesine ve güncellemesine yardımcı olacak araçları belirleyin ve filonuzun saldırı yüzeyini azaltmak için ürün yazılımı güncellemelerini hızlı bir şekilde dağıtın.
• İzleme ve Düzeltme: Kayıp ve çalıntı aygıt riskini azaltmak için BT ve güvenlik ekiplerinin aygıtlardaki verileri uzaktan bulabilmesini, kilitleyebilmesini ve silebilmesini sağlayın. Yetkisiz donanım ve ürün yazılımı değişikliklerini ve istismar belirtilerini tespit etmek gibi platform güvenlik risklerini belirlemek için aygıt denetim günlüklerini izleyerek dayanıklılığı artırın.

İkinci kez kullanım ve hizmet dışı bırakma: Güvenli bir şekilde hizmet dışı bırakmayı sağlamak için hassas donanım ve ürün yazılımı datalarını güvenli bir şekilde silebilen aygıtlara öncelik verin. Aygıtları yeniden hizmete almadan önce, nezaret zincirini, donanım ve ürün yazılımı bütünlüğünü doğrulamak için ömür boyu hizmet geçmişlerini denetlemeye çalışın.

Diğer Teknoloji Haberleri İçin Tıklayın / Bursa Haber – Bursa Gündem – Bursa Gündem Haber – Bursa Haberleri – Bursa Son Dakika 

Bizi İnstagram’da Takip Edebilirsiniz / @BursaGündemHaber

Bizi X’de Takip Edebilirsiniz / @BursaGündemHbr

Bizi Facebook’da Takip Edebilirsiniz / @BursaGündemHaber

Bizi Youtube’da Takip Edebilirsiniz / @BursaGündemHaber

Bizi Linkedin’de Takip Edebilirsiniz / @BursaGündemHaber