تغییری که هیچکس اعلام نکرد
تیترها هنوز نقضها در شرکتهای بزرگ را ترجیح میدهند، اما روند واقعی در رفتار مهاجم به جای دیگری منتقل شده. کسبوکارهای کوچک و متوسط — اغلب با زیرساخت امنیتی بسیار کمتر و سطح حملهٔ بسیار بیشتر در معرض — به هدف ترجیحی تبدیل شدهاند، نه تصادفی.
منطق ساده است: شرکتهای بزرگ تیمهای امنیتی، بودجه و نظارت دارند. کسبوکارهای کوچک اغلب هیچکدام را ندارند، در حالی که هنوز دادهٔ مشتری، سیستمهای مالی و دسترسی تأمینکننده را دارند که آنها را ارزش حمله میکند.
چرا سازمانهای کوچکتر بیشتر در معرض هستند
امنیت بهعنوان هزینه، نه زیرساخت، در نظر گرفته میشود
بدون بودجهٔ امنیتی اختصاصی، محافظتهای اولیه — احراز هویت چندعاملی، مدیریت پچ، تأیید پشتیبان — پشت ویژگیها و رشد اولویت پایین میگیرند. مهاجمان این را میدانند و بهطور خاص آن را بررسی میکنند.
دسترسی شخص ثالث ریسک بزرگتری است از آنچه اکثر افراد تشخیص میدهند
کسبوکارهای کوچک دهها ابزار SaaS، پیمانکار و تأمینکننده را به سیستمهای خود متصل میکنند، اغلب با مجوزهای گسترده که یکبار اعطا شده و هرگز دوباره بازبینی نشده. هر اتصال یک نقطهٔ ورود بالقوه است که هیچ ربطی به وضعیت امنیتی خودتان ندارد.
کارکنان محیط واقعی هستند
فیشینگ با اختلاف زیاد رایجترین بردار حملهٔ اولیه باقی میماند، و تیمهای کوچک بهندرت آموزش آگاهی امنیتی دارند که سازمانهای بزرگتر بهطور معمول در آن سرمایهگذاری میکنند.
«ما خیلی کوچک هستیم که هدف باشیم» دقیقاً برعکس است
حملات خودکار بر اساس اندازهٔ شرکت تبعیض قائل نمیشوند — آنها آسیبپذیریهای شناختهشده را در سراسر اینترنت اسکن میکنند. کوچکبودن شما را نامرئی نمیکند؛ شما را برای مهاجمی که همان اسکریپت را علیه هزاران هدف اجرا میکند، برد آسانتر و سریعتری میسازد.
آنچه واقعاً بدون بودجهٔ سازمانی ریسک را کاهش میدهد
۱. احراز هویت چندعاملی هرجایی که ارائه شود. این یک کنترل واحد اکثریت قریببهاتفاق تلاشهای تصاحب حساب را مسدود میکند، و معمولاً رایگان است. ۲. یک پشتیبان واقعی و آزمایششده — نه فقط پشتیبانی که وجود دارد. بازیابی باجافزار کاملاً به این بستگی دارد که آیا پشتیبان شما واقعاً بازیابی میشود، که اکثر سازمانها فقط در طول یک حادثهٔ واقعی متوجه میشوند. ۳. دسترسی حداقلامتیاز، بهطور دورهای بازبینیشده. نه هر کارمند یا یکپارچهسازی تأمینکننده به دسترسی مدیریتی نیاز دارد. این را هر سهماه یکبار حسابرسی کنید، نه هرگز. ۴. نرمافزار و وابستگیها را پچشده نگه دارید. اکثر نقضها از روزهای صفر بهره نمیبرند — از آسیبپذیریهای شناختهشده که ماهها پچ در دسترس داشتند بهره میبرند. ۵. آموزش پایهٔ آگاهی از فیشینگ. یک یادآوری کوتاه و تکرارشونده از اینکه یک ایمیل مشکوک چگونه به نظر میرسد، در مقایسه با هزینهاش بهطور نامتناسبی مؤثر است.
نتیجه
امنیت برای کاهش معنادار ریسک به بودجهٔ سازمانی نیاز ندارد. نیاز دارد که آن را بهعنوان زیرساخت، نه یک فکر ثانویه، در نظر بگیرید — و کسبوکارهایی که این کار را بهطور مداوم انجام میدهند، آنهایی هستند که دیگر در فهرست هدف آسان ظاهر نمیشوند.
مطمئن نیستید بزرگترین آسیبپذیری شما واقعاً کجاست؟ یک بررسی امنیتی متمرکز معمولاً پاسخ سریعتری از حدسزدن است.