كريبس: تفشل معظم الشركات في اتخاذ تدابير بسيطة للأمن السيبراني

ألقى الباحث الأمني ​​المشهور براين كريبس محادثة رائعة ولكنها مخيفة حول الوضع الحالي للجريمة الإلكترونية ، وذلك في عرض تقديمي أمس قبل افتتاح ندوة غارتنر في أورلاندو.

في حديث مع مجموعة من مديري المعلومات ومديري تقنية المعلومات الآخرين ، قال مؤلف موقع Krebs on Security وكتاب Spam Nation أن هناك "فجوة كبيرة في العلاقات العامة" بين تصور وواقع الجريمة الإلكترونية. وقال "النور في نهاية النفق ليس مخرجا." "إنه قطار قادم".

على وجه الخصوص ، قال إن الأشرار قاموا بمهمة أفضل لتبادل المعلومات من مديري المعلومات. غالبًا ما تقوم الإصدارات الأقدم من التقارير ، مثل Verizon Data Breach Investigation Report ، بعمل جيد لشرح كيفية انتهاك الأنظمة ، مع بقاء المعلومات ذات الصلة. وقال إنه في العديد من الاختراقات الأخيرة ، كان من شأن الإطلاع البسيط على سجلات الأمان أن ينبه الشركات إلى أن لديها مشكلة.

قضى كريبس معظم وقته يتحدث عن الهجمات على معلومات بطاقة الائتمان ، مع التركيز في الغالب على البرامج الضارة التي تستهدف أنظمة Point-of-Sale (POS). وتحدث عن كيف لم يقم الأشرار على مدار العامين الماضيين بتحسين هجماتهم على مثل هذه الأنظمة فحسب ، بل جعلوا الأسواق السرية لبيع وشراء معلومات بطاقات الائتمان أكثر تطوراً و "ملائمة للعملاء".

في كثير من الحالات ، تتجه عصابات الشوارع إلى الاحتيال في بطاقات الائتمان كوسيلة سريعة لتحويل استثمار يتراوح بين 10 إلى 20 دولارًا إلى 800 دولار إلى 1000 دولار. وقال إن هذا ليس مربحًا فحسب ، بل إنه أقل خطورة وخطورة بطبيعته من تعاطي المخدرات ، وغالبًا ما يُنظر إليه على أنه جريمة "ضحية" لأن أصحاب الحسابات لا يتحملون عادةً هذه الاتهامات.

لاحظ كريبس مشاكل مثل عدد أنظمة نقاط البيع مع متصفحات الويب ، وكيف أن هذا هو ناقل شائع للغاية للهجوم. وقال إن الانتقال إلى بطاقات ائتمان الشريحة والدبوس لا يكمن في حل المشكلة ، مشيراً إلى أن هذا الانتقال في البلدان الأخرى أدى إلى زيادة في الاحتيال في التجارة الإلكترونية ، والاحتيال في الحساب الجديد ، وعمليات الاستيلاء على الحساب.

يعود الكثير من هذا إلى الهوية والخصوصية ، وأشار إلى أن الكثير من المعلومات الشخصية التي لا تتغير للأشخاص (مثل العناوين وأرقام الضمان الاجتماعي) متاحة الآن. قال إنه عندما يتعلق الأمر بأنظمة الكمبيوتر ، فإنها يمكن أن تكون آمنة أو سريعة أو سهلة الاستخدام: اختر اثنين. وقال إن معظم الناس اختاروا عدم التركيز على الأمن. نتيجة لذلك ، هناك الكثير من الأماكن على الويب لاكتشاف المعلومات الشخصية عن الأشخاص ، ودعا الحكومة إلى اعتماد قواعد خصوصية أكثر صرامة ، مثل المستخدمة في معظم البلدان الأخرى.

في النهاية ، استشهد كريبس بخمسة مجالات حيث اعتقد أن الشركات يمكنها تحقيق أكبر قدر من التقدم في مكافحة الجرائم الإلكترونية. إنه مؤمن بشكل كبير بتجزئة الشبكات ، قائلاً إن الأمن في معظم الشركات يشبه شريط الحلوى: "قاسي ومقرمش من الخارج ، ناعم وممتلئ من الداخل".

بدلاً من ذلك ، اقترح إتاحة الوصول إلى الأجزاء الأكثر حساسية في شبكتك فقط لأولئك الموجودين داخل المؤسسة الذين لديهم حاجة خاصة. يجب على الشركات أن تنشئ فريقًا مخصصًا للاستجابة للحوادث ، ومراجعة أخبار الانتهاكات الأخرى لمعرفة الدروس التي يمكنهم تعلمها ، وإجراء تدريبات متكررة على ما يجب القيام به في حالة حدوث خرق ، وإدراج شركائهم في التخطيط الأمني.

إنها نصيحة جيدة ، ولكن الأشياء التي غالبًا ما يتم التغاضي عنها في الدفع اليومي للقيام بمشاريع جديدة في مجال تكنولوجيا المعلومات. تمثل موازنة هذه الأولويات مشكلة أساسية للعديد من المديرين التنفيذيين لتكنولوجيا المعلومات الذين تحدثت إليهم في المؤتمر.