وقد شهدت ثلاثة أرباع المؤسسات المتوسطة والكبيرة في المملكة المتحدة، وأربعة أخماس المؤسسات الخيرية ذات الدخل المرتفع، شكلاً من أشكال الأزمة. حادث الأمن السيبراني وحذرت الحكومة من أن التحسينات في المرونة السيبرانية الشاملة تبدو راكدة، حيث تؤدي الرياح الاقتصادية المعاكسة وارتفاع التضخم إلى انخفاض الاستثمار الإجمالي.
في تقرير نشر اليوم – الموجة الثالثة من المراجعة الأمنية المستمرة، المسح الطولي للأمن السيبراني (CSLS)، الذي بدأ في عام 2022 – دعت وزارة العلوم والابتكار والتكنولوجيا (DSIT) المؤسسات إلى بذل المزيد من الجهد لتعزيز إجراءات الحماية الأمنية الخاصة بها.
منذ التشغيل الأول لمسح CSLS، كانت هناك تحسينات واضحة في جميع المجالات، ولكن كما تظهر بيانات التقرير في العديد من المجالات، ارتفعت الأرقام بين عامي 2022 و2023 أكثر مما كانت عليه خلال الأشهر الـ 12 الماضية.
“تحرز المملكة المتحدة تقدمًا ملحوظًا في تعزيز مكانتنا كلاعب عالمي رئيسي في مجال الإنترنت. وقال وزير الإنترنت فيكونت كامروز: “يواصل قطاعنا السيبراني توليد فرص عمل وأعمال غير مسبوقة، لكننا نعلم أنه لا تزال هناك مجموعة من التحديات والمخاطر التي لا يمكننا تجاهلها”.
“ولهذا السبب أدعو المؤسسات من جميع الأحجام إلى تكثيف خططها للأمن السيبراني للحماية من التهديدات، وحماية عملائها وقوتها العاملة، واقتصادنا الأوسع.
“نحن نعمل جنبًا إلى جنب مع الصناعة للتأكد من أن المنظمات لديها خطة عمل قوية لمعالجة هذه التهديدات بشكل مباشر. بدءًا من التعليمات البرمجية لمساعدة القادة على تشديد الحماية السيبرانية إلى رفع مهارات القوى العاملة حتى تتمتع الشركات بخبرة داخلية، يمكن لهذه التدابير المدعومة من الحكومة أن تدعم المؤسسات لفتح عروض التقنيات الرقمية المحتملة بأمان.
وقال التقرير إن المؤسسات قامت بشكل واضح بتحسين مرونتها منذ الموجة الأولى من CSLS في عام 2022، ولكن لمواكبة ذلك، هناك حاجة إلى ضمانات أكثر قوة لمعالجة المخاطر السيبرانية الناشئة. ومن بين الإجراءات الوقائية التي يبدو أن العديد منها لا تنفذها هي خطط الاستجابة للحوادث والتعافي المناسبة، ومعالجة الوعي الأمني للموظفين والمهارات الأساسية.
على سبيل المثال، في الموجة الثالثة، قال 85% من المشاركين في قطاع الأعمال أنهم اتخذوا خطوات لتحسين أمنهم السيبراني في الأشهر الـ 12 الماضية، وهي نسبة مماثلة للموجة الثانية، ولكنها ارتفعت من 79% في الموجة الأولى. وكشفت المقابلات النوعية مع بعض المشاركين في الاستطلاع أن العديد منهم يكافحون من أجل الحفاظ على وتيرة التغيير، والتي تفاقمت بسبب التغيرات في البيئة الاقتصادية الأوسع. ومع ذلك، كانت هناك مجالات نائية شهدت تحسنًا كبيرًا، ولا سيما في مجال التأمين السيبراني.
تحسنت الصورة أيضًا بين الشركات الكبرى، التي كان من المرجح أن يكون لديها وثائق مناسبة لإدارة المخاطر، واعتمدت تدريب الموظفين، والالتزام باعتمادات مثل Cyber Essentials وCyber Essentials Plus من المركز الوطني للأمن السيبراني (NCSC)، وISO 27001. والاستثمار في إدارة التصحيح ومراقبة المستخدم ومخاطر سلسلة التوريد. من الواضح أن المنظمات الأكبر حجمًا، التي تتمتع بإمكانية وصول أكبر إلى الموارد، تكون أكثر قدرة على الحفاظ على التطوير المستمر لمواقفها السيبرانية.
مناطق التحسين
ويحدد التقرير أيضًا المجالات التي تحتاج إلى إجراء تحسينات كبيرة على وجه السرعة. وعلى وجه الخصوص، فإن العديد من المنظمات، وخاصة المؤسسات الخيرية، تتساهل عندما يتعلق الأمر بالسماح للموظفين بالوصول إلى أنظمة العمل على الأجهزة الشخصية، وقلة قليلة من الشركات والجمعيات الخيرية تقوم بتقييم مرونة مورديها بشكل صحيح.
بالإضافة إلى ذلك، هناك عدد قليل جدًا من الأشخاص الذين حصلوا على شهادة Cyber Essentials، أو أي نوع من المعايير، وأقل من النصف يهتمون باستخدام إرشادات NCSC الأوسع. ولا يبدو أن الكثيرين يميلون إلى استخدام الحلول المتطورة التي تشمل الذكاء الاصطناعي (AI)، على الرغم من أنه بالنظر إلى الحديث الأوسع حول استخدام الذكاء الاصطناعي وإساءة استخدامه في مجال الأمن، فقد يكون هذا الحذر مبررًا.
وقال آندي كايز، الرئيس التنفيذي لشركة “إن بعض هذه الأرقام لا يمكن تصديقها، ولكن باعتبارها دراسة استقصائية طولية تسيطر عليها الحكومة، فقد تكون هذه من أكثر أرقام مسح الأمن السيبراني واقعية التي تم الحصول عليها على الإطلاق في المملكة المتحدة”. سوكورا، متخصص في الكشف والاستجابة المُدارة (MDR) ومركز العمليات الأمنية (SOC).
“في حين أن الدراسات الاستقصائية الأخرى قد تتجه نحو نتائج إيجابية ومثيرة، فإن تتبع نفس الشركات الـ 1000 على مدى عدة سنوات يظهر الحقيقة القاتمة المتمثلة في أن العديد من الشركات في المملكة المتحدة لا تعطي الأولوية للأمن السيبراني، أو تقوم بإجراء تغييرات على وضعها الأمني بوتيرة بطيئة.
“في العام الماضي، حصل نصف أعضاء مجالس الإدارة في المملكة المتحدة فقط على تدريب أمني، ويقوم ربع الشركات فقط بتقييم الموردين بحثًا عن المخاطر الأمنية المحتملة، وفشل خُمس مجالس الإدارة في المملكة المتحدة في مناقشة الأمن السيبراني ولو مرة واحدة. 17% فقط من الشركات حاصلة على شهادة Cyber Essentials، وهو أحد أقل المعايير لقياس أفضل الممارسات الأمنية. هذه الأرقام كلها بعيدة عن الكمال.
“بطريقة ما، فإن الإحصائية الأكثر إيجابية في الاستطلاع بأكمله هي حقيقة أن أكثر من نصف الشركات في المملكة المتحدة تقول إنها تعتمد على الاستشارة الخارجية لأغراض أمنية. وقد يكون اعتمادهم على موفري خدمات الأمن الخارجيين والبائعين الموثوق بهم عاملاً في المعايير الضعيفة عمومًا لتطوير الأمن الداخلي.
انتشار الحادث
في الأشهر الـ 12 الماضية، كان الشكل الأكثر شيوعًا للحوادث السيبرانية لكل من المؤسسات التجارية والخيرية هو تلقي رسائل بريد إلكتروني أو مرفقات احتيالية (غالبًا ما تكون مقدمة لشيء أكثر شرًا)، وقد لوحظ ذلك في 70% من الشركات و74% من المؤسسات الخيرية. وشوهد أيضًا أشخاص ينتحلون صفة المنظمة في رسائل البريد الإلكتروني أو عبر الإنترنت بشكل متكرر، في 43% من الشركات و28% من المؤسسات الخيرية.
ومع ذلك، ظلت نسبة الهجمات السيبرانية الضارة أقل، حيث أثرت محاولات اختراق المواقع الإلكترونية أو وسائل التواصل الاجتماعي أو حسابات المستخدمين على 15% من الشركات و18% من المؤسسات الخيرية؛ إصابات البرامج الضارة التي تؤثر على 12% و10%؛ حوادث داخلية تؤثر على 6% و5%؛ والهجمات التي تهدف إلى إبطاء مواقع الويب أو الخدمات أو إزالتها، مثل هجمات DDoS، 8% و7%. كان من المرجح أن تؤثر الحوادث التي تتجاوز محاولات التصيد الاحتيالي على المؤسسات الأكبر حجمًا.
من حيث حجم الهجمات، شهدت 26% من الشركات و27% من المؤسسات الخيرية هجمات مرة واحدة تقريبًا في الشهر، و12% و17% مرة واحدة تقريبًا في الأسبوع، و5% و4% يوميًا، و10% و7% عدة مرات يوميًا.
ومع ذلك، قال معظمهم إنهم لم يواجهوا عواقب وخيمة، حيث تأثرت حوالي 23% من الشركات و24% من المؤسسات الخيرية سلبًا، بما يتوافق مع النتائج السابقة للدراسة. وكانت التأثيرات الأكثر شيوعًا هي الفقدان المؤقت للوصول إلى الملفات والشبكات، أو تعطيل مواقع الويب والتطبيقات والخدمات، أو اختراق الحسابات المستخدمة لأغراض مراوغة. مرة أخرى، كلما كانت المنظمة أكبر، كلما كان التأثير أكثر أهمية.
وفيما يتعلق بالتكاليف المالية، حيث تم تكبدها، بلغ متوسط تكلفة الحادث الأمني في جميع الشركات 2718 جنيهًا إسترلينيًا، وارتفع إلى 4993 جنيهًا إسترلينيًا لأكبر الشركات، و2583 جنيهًا إسترلينيًا للجمعيات الخيرية. بالنسبة لأولئك الذين حددوا حوادث ذات نتيجة، ارتفعت هذه التكاليف بشكل ملحوظ، إلى 7187 جنيهًا إسترلينيًا، و12273 جنيهًا إسترلينيًا، و6932 جنيهًا إسترلينيًا.
