Štúdia HP Wolf Security: firmy ohrozuje nedostatočné zabezpečenie koncových zariadení

Dáta z výskumu upozorňujú na problémy so zabezpečením koncových zariadení. Ohrozujú ich chyby pri dodaní, slabé heslá BIOS-u aj strach zamestnancov z aktualizácií. Výnimkou nie sú ani straty alebo odcudzenia počítačov.

Spoločnosť HP Inc. vydala správu zhrňujúcu výsledky najnovšej štúdie HP Wolf Security. Upozorňuje na závažné dôsledky plynúce z nedostatočného zabezpečenia zariadenia po celú dobu ich životnosti. Ukazuje sa, že zlé alebo nedôsledné zabezpečenie hardvéru a firmvéru počítačov, notebookov a tlačiarní oslabuje kybernetickú bezpečnosť firiem na dlhé roky.

Hlavné body správy:

• 34 % respondentov priznalo, že dodávateľ ich počítača, notebooku alebo tlačiarne neprešiel v posledných piatich rokoch auditom kybernetickej bezpečnosti
• 57 % odborníkov na IT a bezpečnosť priznáva, že aktualizácie firmvéru v ich firme vyvolávajú FOMU (strach z vykonania aktualizácií)
• 52 % IT profesionálov uvádza, že nákupné tímy len zriedka spolupracujú s oddeleniami IT a kyberbezpečnosti, keď si overujú tvrdenia dodávateľov

Správa vychádza z globálnej štúdie, ktorej sa zúčastnilo viac ako 800 profesionálov zodpovedných za IT a bezpečnosť (ITSDM) a viac ako 6 000 zamestnancov pracujúcich aj na diaľku (WFA). Upozorňuje na rastúci význam zabezpečenia systémov. Podľa 81 % ITSDM je nevyhnutné zamerať sa na bezpečnosť hardvéru a firmvéru, aby sa predišlo možnosti zneužitia zraniteľných zariadení. Napriek tomu až 68 % respondentov priznáva, že investície do tejto oblasti sú pri plánovaní celkových nákladov na vlastníctvo zariadenia (TCO) často zanedbávané. Táto nedbalosť si následne vyžiada nákladné riešenie vzniknutých bezpečnostných problémov.

Kľúčové zistenia z jednotlivých fáz životného cyklu zariadenia:

Výber dodávateľa –⁠⁠⁠⁠⁠⁠ 34 % respondentov priznalo, že ich dodávateľ počítačov, notebookov alebo tlačiarní v posledných piatich rokoch neprešiel auditom kybernetickej bezpečnosti. 18 % uviedlo, že v dôsledku závažného zlyhania s dodávateľom ukončilo zmluvu. 60 % odborníkov na IT a bezpečnosť poukazuje na to, že zanedbanie problematiky kyberbezpečnosti pri nákupe zariadenia je pre firmu rizikové.
Zapojenie a konfigurácia –⁠⁠⁠⁠⁠⁠ viac ako polovica (53 %) ITSDM hovorí, že používajú zdieľané heslá systému BIOS alebo ich nemajú dostatočne silné. Okrem toho 53 % z nich priznáva, že počas celej doby, kedy zariadenie využívajú, menia heslá do BIOSu len zriedka.
Priebežná správa –⁠⁠⁠⁠⁠⁠ cez 60 % ITSDM nevykonáva aktualizácie firmvéru notebookov alebo tlačiarní okamžite, akonáhle ich výrobca dá k dispozícii a ďalších 57 % priznáva, že u nich aktualizácie firmvéru vyvolávajú FOMU (strach z vykonania aktualizácií). Napriek tomu 80 % ľudí zodpovedných vo firmách za bezpečnosť verí, že s rozvojom umelej inteligencie bude rýchlejší aj vývoj útokov, čo zvyšuje význam rýchlych aktualizácií.
Monitorovanie a náprava –⁠⁠⁠⁠⁠⁠ straty a krádeže zariadení stoja organizácie každoročne odhadom 8,6 miliardy dolárov . Každý piaty zamestnanec pracujúci na diaľku (WFA) počítač stratil alebo mu bol odcudzený. Následne trvalo v priemere 25 hodín, kým o tom informoval svoje IT oddelenie.
Druhý život a vyraďovanie z prevádzky –⁠⁠⁠⁠⁠⁠ takmer polovica (47 %) ITSDM uvádza, že obavy o bezpečnosť dát sú hlavnou prekážkou opätovného použitia, predaja alebo recyklácie počítačov či notebookov. U tlačiarní je to prekážka pre 39 % respondentov.
„Nákup PC, notebookov alebo tlačiarní je rozhodnutie s dlhodobým dopadom na bezpečnosť. Zanedbanie požiadaviek na zabezpečenie hardvéru a firmvéru pri nákupe môže spôsobiť problémy po celú dobu životnosti zariadenia. Nízke požiadavky na bezpečnosť a možnosť správy môžu spôsobiť zvýšené bezpečnostné riziko, vyššie náklady aj negatívnu používateľskú skúsenosť,“ varuje Boris Balacheff, hlavný technológ divízie HP Security Research and Innovation a dodáva: „Zariadenia koncových používateľov musia byť odolné voči kybernetickým hrozbám. Základom je kvalitné zabezpečenie a efektívna správa hardvéru a firmvéru po celú dobu životnosti zariadenia a naprieč celou firmou.“

Od výroby po používateľa – chyby pri výbere dodávateľov a nastaveniach narúšajú bezpečnosť počítačov, tlačiarní a iných zariadení
Výsledky prieskumu tiež ukazujú potrebu zapájať expertov na IT a bezpečnosť do procesu zadávania zákaziek – a to už pri stanovovaní požiadaviek na nakupované zariadenia, ale aj pri overovaní deklarovaného zabezpečenia kupovaných produktov:

52 % ITSDM uvádza, že nákupné tímy len zriedka spolupracujú s oddelením IT a kyberbezpečnosti, keď si overujú tvrdenia dodávateľov
45 % ITSDM priznáva, že musia veriť tvrdeniam dodávateľov o zabezpečení hardvéru a firmvéru, pretože nemajú prostriedky na ich overenie
48 % ITSDM dokonca tvrdí, že nákupné tímy často pôsobia ako „bezbranné obete“, pretože veria všetkému, čo dodávatelia uvádzajú
I
IT profesionáli majú tiež obavy z obmedzených možností ako inštalovať a konfigurovať zariadenia až na úroveň hardvéru a firmvéru.
78 % ITSDM chce, aby bezkontaktný onboarding prostredníctvom cloudu zahŕňal konfiguráciu zabezpečenia hardvéru a firmvéru, čo by zvýšilo úroveň zabezpečenia
57 % ITSDM cíti frustráciu z toho, že nemôžu pripájať a konfigurovať zariadenia prostredníctvom cloudu
Takmer polovica (48 %) WFA sa sťažovala, že proces inštalácie a konfigurácie po doručení počítača narúšal ich prácu
„Je potrebné vybrať takých dodávateľov technológií, ktorým môžete dôverovať. V prípade zabezpečenia zariadení, ktoré slúžia ako vstupné body do vašej IT infraštruktúry, to nesmie byť slepá dôvera,“ komentuje Michael Heywood, Business Information Security Officer v oddelení HP Supply Chain Cybersecurity. „Organizácie potrebujú jasné dôkazy – technické prehľady, podrobnú dokumentáciu, pravidelné audity a dôsledný validačný proces, aby zabezpečili splnenie bezpečnostných požiadaviek a možnosť bezpečnej a efektívnej implementácie zariadenia.”
Problémy spojené s priebežnou správou, monitorovaním a nápravou zariadenia
71 % odborníkov na IT a bezpečnosť tvrdí, že nárast práce na diaľku sťažuje zabezpečenie, odráža sa na produktivite pracovníkov a umožňuje ich rizikové správanie:
Každý štvrtý zamestnanec sa radšej zmieri so zle fungujúcim notebookom, než aby požiadal IT oddelenie o jeho opravu alebo výmenu, pretože si nemôže dovoliť prestoje v práci
49 % zamestnancov, ktorí si niekedy nechali svoj notebook opravovať uviedlo, že zásah trval dlhšie ako 2,5 dňa. Mnohí preto museli používať na prácu svoj osobný notebook, čím sa stiera hranica medzi osobným a pracovným využitím
12 % zamestnancov si nechalo opraviť pracovné zariadenie neautorizovaným poskytovateľom, čo mohlo ohroziť bezpečnosť systému a sťažiť IT oddelenie kontrolu nad stavom zariadenia

Monitorovanie a náprava hrozieb pre hardvér a firmvér sú kľúčové pre ochranu citlivých dát a kritických systémov. Napriek tomu 79 % odborníkov zodpovedných za IT bezpečnosť priznáva, že ich znalosti zabezpečenia hardvéru a firmvéru zaostávajú za povedomím o softvérovej bezpečnosti. Navyše im chýbajú pokročilé nástroje na získavanie prehľadu a kontroly nad zabezpečením zariadenia.

63 % ITSDM tvrdí, že sa stretávajú s mnohými slepými miestami v zraniteľnosti a so zlými konfiguráciami zariadenia
57 % nedokáže analyzovať vplyv skorších bezpečnostných udalostí na hardvér a firmvér a určiť tak ohrozené zariadenia
60 % respondentov tvrdí, že detekcia a zmiernenie hardvérových alebo firmvérových útokov je nemožné, a za jedinú možnú cestu považujú nápravu až po prieniku
„V prípade útokov na hardvér a firmvér je náprava po prieniku neudržateľná stratégia,“ varuje Alex Holland, hlavný výskumník hrozieb v laboratóriu HP Security Lab. „Tieto útoky môžu protivníkom poskytnúť plnú kontrolu nad zariadením, môžu sa tiež usadiť sa hlboko v systémoch. Tradičné bezpečnostné nástroje sú voči týmto hrozbám slepé, pretože sa obvykle zameriavajú na operačný systém a softvér. Prevencia alebo okamžité obmedzenie týchto útokov je kľúčom k udržaniu náskoku, inak je tu skryté riziko, ktoré nemožno efektívne eliminovať.“

Druhý život a vyraďovanie zariadení – obavy o bezpečnosť dát zvyšujú množstvo elektronického odpadu
Obavy o bezpečnosť systémov tiež bránia firmám v opakovanom použití, recyklácii a ďalšom predaji vyradených zariadení:

59 % ITSDM tvrdí, že je príliš ťažké dať takýmto zariadeniam druhý život, preto ich často ničia z obáv o bezpečnosť dát
69 % respondentov tvrdí, že majú na sklade značné množstvo zariadení, ktoré by mohli byť znovu využité alebo darované, ak by ich dokázali bezpečne vymazať
60 % ITSDM priznáva, že ich neschopnosť recyklovať a znovu používať dokonale použiteľné notebooky vedie k nárastu množstva elektronického odpadu
Ďalšou komplikáciou je, že mnoho zamestnancov si starú pracovnú techniku ponecháva. Tým znemožňujú jej ďalšie využitie, ale vzniká tiež riziko scudzenia dát, pretože tieto „osirelé“ zariadenia stále môžu obsahovať firemné informácie.
70% WFA má doma alebo vo svojej kancelárii aspoň jeden starý pracovný počítač alebo notebook
12 % WFA opustilo zamestnanie bez toho, aby svoje zariadenie hneď vrátili a takmer polovica z nich tvrdí, že tak neurobili nikdy
„IT tímy často hromadia zariadenia po skončení ich životnosti, pretože nemajú istotu, že z nich dôkladne odstránili všetky citlivé firemné alebo osobné dáta – čo samo o sebe môže predstavovať riziko pre bezpečnosť dát a negatívne ovplyvniť ESG ciele. Kľúčom je nájsť spoľahlivého partnera na likvidáciu IT zariadení, ktorý využíva najnovšie postupy na mazanie alebo ničenie médií a poskytuje certifikát o vyčistení dát v súlade s platnými predpismi,“ komentuje Grant Hoffman, senior viceprezident a generálny manažér HP Renew Solutions.

Podmienkou lepšieho zabezpečenia systémov je nový prístup k životnému cyklu zariadenia.
Viac ako dve tretiny (69 %) organizácií tvrdia, že ich prístup k správe zabezpečenia hardvéru a firmvéru zariadení rieši iba malú časť ich životného cyklu. Odporúčania HP Wolf Security pre správu zabezpečenia platformy v celom životnom cykle zahŕňajú:

Výber dodávateľa: zaistite spoluprácu nákupného oddelenia s IT a bezpečnostnými tímami pri stanovovaní požiadaviek na zabezpečenie a odolnosť nových zariadení, overovanie tvrdení dodávateľov a overovanie štandardov bezpečnosti u dodávateľov.
Onboarding a konfigurácia: hľadajte riešenia, ktoré umožňujú bezpečné bezkontaktné nasadenie zariadenia a pripojenie používateľov, zaistite bezpečnú správu firmvéru bez spoliehania sa na slabú autentizáciu.
Priebežná správa: nájdite nástroje, ktoré IT oddeleniu pomôžu vzdialene monitorovať a upravovať konfiguráciu zariadenia a rýchlo nasadiť aktualizácie firmvéru, aby sa znížil priestor pre útoky.
Monitoring a náprava: zaistite, aby IT a bezpečnostné tímy mohli vzdialene nájsť, zablokovať a vymazať dáta zo zariadenia – dokonca aj z tých, ktoré sú vypnuté – tým sa zníži riziko spojené so stratenými alebo odcudzenými zariadeniami. Zvýšte odolnosť sledovaním protokolov o audite zariadenia, aby ste identifikovali bezpečnostné riziká ako odhaľovanie neoprávnených zmien hardvéru či firmvéru a príznakov zneužitia.
Druhý život a vyradenie z prevádzky: uprednostňujte zariadenia, ktoré umožňujú dôkladné vymazanie citlivých dát, aby mohli byť bezpečne vyradené. Pred opätovným použitím zariadenia skontrolujte ich históriu používania, aby ste zaistili transparentnosť správy a integritu hardvéru aj firmvéru.

Ďalšie informácie a odporúčania nájdete v úplnej správe „Zabezpečenie životného cyklu zariadenia: Od výroby až po užívateľa a budúce opätovné nasadenie” prístupnej cez tento odkaz: Wolf_Security_Lifecycle_Report

Dáta

Vzorka WFA: Prieskum medzi 6 055 kancelárskymi pracovníkmi, ktorí pracujú hybridne, na diaľku alebo odkiaľkoľvek z USA, Kanady, Veľkej Británie, Japonska, Nemecka a Francúzska. Práca v teréne prebiehala od 22. do 30. mája 2024. Prieskum bol vykonaný online spoločnosťou Censuswide.
Vzorka ITSDM: Prieskum medzi 803 osobami s rozhodovacou právomocou v oblasti IT a bezpečnosti v USA, Kanade, Veľkej Británii, Japonsku, Nemecku a Francúzsku. Práca v teréne prebiehala od 22. februára do 5. marca 2024. Prieskum bol vykonaný online spoločnosťou Censuswide.