資訊安全 勒索軟體 零信任 資料外洩 遠端辦公

2022年Thales資料威脅研究報告揭露驚人真相

遠端辦公應對勒索威脅 駕馭資料安全成當務之急

2022-07-14
2022年Thales資料威脅研究報告,針對安全專業人員和高階執行主管進行廣泛調查研究,著眼探討造成這些影響的許多面向,從勒索軟體、零信任安全策略和雲端資料等主題中發現一些安全趨勢與脈絡。

新冠肺炎(COVID-19)疫情對全球的IT團隊產生了直接而巨大的影響,長期影響的層面仍在不斷延伸。2022年Thales全球資料威脅報告調查超過2,800位資安專業人士和執行主管,分別來自澳洲、香港、印度、日本、紐西蘭、新加坡和韓國。這份亞太版分析,來自亞太區850位以上的受訪者,著眼探討造成這些影響的許多面向,從勒索軟體、零信任安全策略和雲端資料等主題中發現一些安全趨勢與脈絡。

資料外洩仍然高居不下

儘管企業每年在網路安全方面投入大量資金,但資料外洩率仍然高得令人不安。50%的受訪者表示他們曾在某個時間遭遇資安漏洞,其中32%在過去12個月內曾經歷過資料外洩的危害。

資料外洩仍然居高不下的可能原因之一,是缺乏有關資料所在地和分類的資訊。在今年的調查中,只有16%的受訪者表示他們完全了解資料儲存的位置,只有23%的受訪者能夠對資料進行完全分類。而可用於漏洞通知流程中的避風港(Safe Harbor)聲明,其定義仍然不明確,因為仍有62%的資料外洩事件申訴不符避風港標準。

安全威脅增加勒索軟體位居第一

45%的受訪者表示駭客攻擊次數有增加。看到攻擊增加的受訪者,對於增長的攻擊類型分別是,58%勒索軟體,57%惡意軟體,45%阻斷服務攻擊。在去年的受訪報告中,57%的人將惡意軟體列為危害安全的主要攻擊來源,勒索軟體以47%位居第二。勒索軟體攻擊發生的速度以及對經濟造成的傷害,將持續改變企業檢測和應對資料外洩的方式。

儘管攻擊增加,但企業仍然充滿信心。77%的受訪者表示他們信任自己的企業擁有他的個人資料。全球受訪者對自身企業的總體信任度也達到79%。

對於攻擊來源的在排名,75%的亞太區受訪者將內部突發錯誤列在首位,其次73%選擇以意識形態為動機的外部對手「駭客份子」,以69%排名第三的是具有地緣政治目標,如民族國家行動者發動的攻擊。對於那些是優先攻擊的目標,34%的受訪者表示最大目標是雲端儲存,31%認為是雲端資料庫,28%是本地網路應用程式。

勒索軟體改變了資料外洩可牟取的非法利益

該報告重新關注勒索軟體的策劃和應對。與大多數「低度和緩慢」的惡意軟體資料外洩風險相比較,勒索軟體的攻擊速度和嚴重程度,會對資料機密性和可用性造成影響。21%的受訪者表示,他們必須支付或將支付贖金才能從攻擊中手中取回資料。更令人擔憂的是,只有47%的受訪者表示,他們有一個正式可遵循的勒索軟體應對計畫(圖1)。

圖1  勒索軟體的攻擊速度和嚴重程度,對資料機密性和可用性造成影響。

鑑於勒索軟體攻擊的嚴重性和速度,在協調一致的應對策略時,首先應該制定一個集中式正式計畫,將安全運營、法律和高階主管團隊等不同利益關聯者聯繫起來。

持續遠端辦公的時代

在過去的一年中,許多企業為員工延伸了遠端辦公方案。2022年企業仍持續憂慮遠端辦公人員的資安風險,調查顯示80%的亞太區受訪者對遠端辦公資安風險「非常擔心」或「有些擔心」,只有47%回應有一個正規可遵循的的勒索軟體應對計畫(圖2)。

圖2  持續遠端辦公的安全風險和威脅。

遠端存取應用程式的採用,59%使用虛擬桌面基礎架構(VDI)。53%並列第二的是VPN和以雲端為基礎的單一登入(SSO),38%為零信任網路存取(ZTNA)。

零信任策略尚未被正規化

零信任原則是對身分、網路、設備、應用程式和資料不再使用傳統企業網路安全認證方法。或許是因為零信任安全策略涵蓋的範圍太廣,較少受訪者表示擁有正規的零信任策略。只有28%受訪者表示他們已經採納正規的策略,另有28%的受訪者仍在研究和計畫制定正規的零信任安全策略,如圖3所示。

圖3  零信任策略的接受程度。

雲端動能與雲端覆蓋的差距逐漸縮小

全球企業將越來越多的資料移轉到雲端,亞太區企業也不例外。51%的受訪者表示他們至少有40%的資料儲存在外部雲端,19%將超過60%的資料在雲端。

資料受到保護的差距正在縮小。資料外洩紀錄雖然有改善,但仍居高不下。33%的受訪者指出,在過去12個月內曾經歷雲端資料和應用程式的資料外洩或是沒有通過審查。48%的受訪者指出,至少有少40%儲存在雲端中的機敏資料已經加密保護。而21%的受訪者表示,超過60%儲存在雲端中的機敏資料已經加密,如圖4所示。

圖4  如何決定和執行雲端安全策略。

多雲端策略正在普及

在該調查中也發現,大多數企業為了符合多樣的需求,採用多個雲端服務供應商提供的IaaS、PaaS和SaaS雲端服務模式,因此雲端的加密形式變得更加複雜。2022年調查中,亞太區受訪者49%採用AWS與43%採用Azure來協助各項工作執行,兩種公有雲服務的比例很接近。選擇雲端服務模式變化最大的是SaaS服務。

隨著越來越多的SaaS以API形式交付,差異化極大的各雲端使用服務模式,31%受訪者採用50個以上的SaaS應用程式,在跨多個雲端服務供應商運作時,帶來更複雜的加密金鑰管理和身分安全的憂慮和挑戰。

多雲採用和金鑰管理方案導致複雜性

有鑑於IaaS、SaaS以及現有的本地基礎架構的差異性,企業需要在內部進行一致的安全控管要求,這也造成企業擁有混合的加密和金鑰管理解決方案。

特別的是,39%的亞太區企業採用5到7個單獨的金鑰管理產品,而11%受訪者擁有多達8到10個金鑰管理產品。這些通常包括金鑰管理軟體、硬體安全模組、本地端解決方案和電子表格或平面檔(Flat Files)。

決定在雲端中使用加密的主要驅動因素,如圖5所示。許多雲端服務和平台會提供資料加密的功能,如果底層金鑰管理沒有做好理解,將增加雲端資料保護的複雜性。受訪者保護雲端中的機敏資料會優先考慮的安全技術,分別為61%的靜態資料加密,其次是53%的多因素身分驗證,51%金鑰管理。企業可以全面研究分析不同的加密和金鑰管理解決方案,以確保執行和安全要求之間沒有差距。

圖5  在雲端中使用加密的主要驅動因素。

展望未來

本項研究可以作為亞太區企業在開啟安全之旅時,作為可依循參考的路徑指標。從疫情中,我們得到的關鍵教訓是,安全戰略必須具備高敏捷性,以應對瞬息萬變的世界,但也必須擁有高靈活性,可以應對自身的基礎設施、應用程式、資料和用戶的混合環境類別,因為安全領域變成居家辦公和雲端的常設固定裝置,這是一個零信任策略可以提供幫助的領域。

雲端運算和混合環境雖然具備它們該有的所有優勢,但也具有相當大的複雜性,而複雜性是良好安全性的敵人。這表示安全控制和安全管理都需要擴展到雲端,以防止每個雲端環境成為孤立的操作領域,並透過以服務為基礎的產品和自動化來減少人工負擔。

<本文作者:陳昶旭現為Thales大中華區資深技術顧問。>


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!