За словами HP, безпека платформи – захист апаратного забезпечення та вбудованого програмного забезпечення ПК, ноутбуків і принтерів – часто ігнорується, що послаблює кібербезпеку на довгі роки.
Звіт, заснований на глобальному дослідженні понад 800 осіб, які приймають рішення в галузі ІТ та безпеки (ITSDM) і понад 6000 співробітників, які працюють з будь-якого місця (WFA), показує, що безпека платформи викликає дедалі більше занепокоєння: 81% ITSDM погоджуються, що обладнання та Безпека вбудованого програмного забезпечення має стати пріоритетом, щоб зловмисники не могли використовувати вразливі пристрої.
Однак 68% повідомляють, що інвестиції в безпеку апаратного та мікропрограмного забезпечення часто не враховуються в загальній вартості володіння (TCO) пристроїв. Це призводить до дорогих головних проблем з безпекою, накладних витрат на управління та неефективності в подальшому.
П'ять етапів життєвого циклу пристрою
Вибір постачальника – Крім того, 34% стверджують, що постачальник комп’ютерів, ноутбуків або принтерів не пройшов аудит кібербезпеки за останні п’ять років, а 18% сказали, що збій був настільки серйозним, що вони розірвали свій контракт. 60% ITSDM стверджують, що недостатня участь ІТ та безпеки в закупівлі пристроїв ставить організацію під загрозу.
Введення та налаштування – 53% ITSDM кажуть, що паролі BIOS (базова система вводу/виводу) використовуються спільно, використовуються занадто широко або недостатньо надійні. Крім того, 53% визнають, що вони рідко змінюють паролі BIOS протягом терміну служби пристрою.
Постійне управління – 60% ITSDM не оновлюють мікропрограму, щойно вони стають доступними для ноутбуків чи принтерів. Ще 57% ITSDM кажуть, що бояться оновлювати мікропрограму. Проте 80% вважають, що зростання ШІ означає, що зловмисники швидше розроблятимуть експлойти, що робить життєво важливим швидке оновлення.
Моніторинг і санація – Щороку втрачені та викрадені пристрої коштують організаціям приблизно 8,6 мільярда доларів. Кожен п’ятий співробітник WFA втратив комп’ютер або його вкрали, про що потрібно в середньому 25 годин, перш ніж повідомити ІТ-спеціаліст.
Друге життя та зняття з експлуатації – 47% ITSDM кажуть, що питання безпеки даних є основною перешкодою, коли йдеться про повторне використання, перепродаж або переробку ПК чи ноутбуків, тоді як 39% вважають, що це головна перешкода для принтерів.
«Купівля ПК, ноутбуків або принтерів — це рішення щодо безпеки, яке довгостроково впливає на інфраструктуру кінцевих точок організації. Пріоритезація або відсутність вимог щодо безпеки апаратного та мікропрограмного забезпечення під час закупівлі може мати наслідки протягом усього терміну експлуатації парку пристроїв – від підвищеного ризику до підвищення витрат або негативного досвіду користувача – якщо також встановлено вимоги безпеки та керованості низький у порівнянні з наявними сучасними технологіями», – попереджає Борис Балачев, головний технолог з досліджень безпеки та інновацій HP Inc.
«Важливо, щоб інфраструктури пристроїв кінцевих користувачів стали стійкими до кіберризиків. Це починається з встановлення пріоритетів безпеки апаратного та мікропрограмного забезпечення та вдосконалення способів керування ними протягом усього життєвого циклу пристроїв у всьому парку», – додав Балачев.
Упущення в процесі вибору постачальника
52% ITSDM кажуть, що групи закупівель рідко співпрацюють з ІТ-службами та службами безпеки, щоб перевірити заяви постачальників щодо безпеки апаратного та мікропрограмного забезпечення. 45% ITSDM визнають, що вони повинні довіряти постачальникам, що вони говорять правду, оскільки вони не мають засобів для підтвердження заяв про безпеку апаратного та мікропрограмного забезпечення в RFP. 48% ITSDM навіть кажуть, що групи закупівель схожі на «ягнят на забій», оскільки вони повірять усьому, що скажуть постачальники.
ІТ-спеціалісти також стурбовані обмеженнями їхньої здатності безперебійно інтегрувати та налаштовувати пристрої аж до апаратного та мікропрограмного рівня.
78% ITSDM бажають нульової реєстрації через хмару, щоб включити конфігурацію безпеки апаратного та мікропрограмного забезпечення для підвищення безпеки. 57% ITSDM відчувають розчарування через те, що не можуть підключити та налаштувати пристрої через хмару.
48% працівників WFA, яким доставили пристрій додому, скаржилися, що процес адаптації та конфігурації заважає.
«Вам завжди потрібно буде вибирати постачальників технологій, яким можна довіряти. Але коли мова заходить про безпеку пристроїв, які служать точками входу у вашу ІТ-інфраструктуру, це не повинно бути сліпою довірою», – коментує Майкл Гейвуд, спеціаліст із безпеки бізнес-інформації відділу кібербезпеки ланцюга поставок HP Inc.
Проблеми, пов’язані з постійним керуванням, моніторингом і відновленням пристроїв
71% ITSDM стверджують, що зростання кількості моделей роботи з будь-якого місця ускладнює керування безпекою платформи, що впливає на продуктивність працівників і створює ризиковану поведінку.
Кожен четвертий співробітник радше змириться з погано продуктивним ноутбуком, ніж попросить ІТ-спеціалістів полагодити або замінити його, оскільки вони не можуть дозволити собі простої.
49% співробітників відправляли свій ноутбук на ремонт і стверджують, що для ремонту або заміни пристрою знадобилося більше 2,5 днів, що змушує багатьох використовувати свій особистий ноутбук для роботи або позичати його в сім’ї чи друзів – стираючи межі між особистими і професійного використання.
У 12% неавторизований сторонній постачальник відремонтував робочий пристрій, потенційно поставивши під загрозу безпеку платформи та затьмаривши уявлення ІТ про цілісність пристрою.
Моніторинг і усунення загроз апаратного та мікропрограмного забезпечення для запобігання доступу суб’єктів загрози до конфіденційних даних і критичних систем є життєво важливими. Проте 79% ITSDM кажуть, що їхнє розуміння безпеки апаратного та мікропрограмного забезпечення відстає від їхніх знань щодо безпеки програмного забезпечення. Більше того, їм не вистачає зрілих інструментів, які нададуть їм видимість і контроль, який вони хотіли б керувати безпекою обладнання та мікропрограм у своїх парках.
63% ITSDM кажуть, що вони стикаються з численними сліпими плямами навколо вразливості та неправильних конфігурацій апаратного забезпечення пристрою та мікропрограми. 57% не можуть проаналізувати вплив минулих подій безпеки на апаратне та мікропрограмне забезпечення, щоб оцінити пристрої під загрозою.
60% стверджують, що неможливо виявити та пом’якшити атаки на апаратне чи мікропрограмне забезпечення, вважаючи єдиним шляхом виправлення після злому.
«Виправлення після злому є програшною стратегією, коли йдеться про атаки на апаратне забезпечення та програмне забезпечення», — попереджає Алекс Холланд, головний дослідник загроз у Лабораторії безпеки HP.
Друге життя та виведення з експлуатації
Занепокоєння щодо безпеки платформи також заважають організаціям повторно використовувати, переробляти або перепродавати пристрої, що закінчилися.
59% ITSDM кажуть, що надто важко дати пристроям друге життя, тому вони часто знищують пристрої через проблеми безпеки даних. 69% кажуть, що вони сидять на значній кількості пристроїв, які можна було б перепрофілювати або пожертвувати, якби вони могли їх продезінфікувати. 60% ITSDM визнають, що їхня неспроможність утилізувати та повторно використовувати ідеально придатні ноутбуки призводить до епідемії електронного сміття.
Ще більше ускладнює ситуацію те, що багато працівників сидять на старих робочих пристроях. Це не тільки запобігає перепрофілюванню пристроїв, але й створює ризики для безпеки даних навколо загублених пристроїв, які все ще можуть нести корпоративні дані.
70% співробітників WFA мають принаймні 1 старий робочий комп’ютер/ноутбук вдома чи в офісі. 12% працівників WFA залишили роботу, не повернувши свій пристрій відразу, і майже половина з них стверджують, що ніколи не повертали свій пристрій.
«ІТ-команди накопичують відпрацьовані пристрої, оскільки їм бракує впевненості, що всі конфіденційні дані компанії чи особисті дані було повністю стерто, що саме по собі може становити ризики для безпеки даних і негативно вплинути на цілі ESG. Ключовим є пошук авторитетного постачальника засобів утилізації ІТ-активів, який використовує найновіші стандартні процеси видалення або знищення носіїв і надає сертифікат санітарної обробки даних, щоб ви могли відповідати вимогам відповідності», — коментує Грант Хоффман, старший віце-президент з операцій і портфоліо HP Solutions.
69% організацій стверджують, що їхній підхід до керування безпекою апаратного забезпечення та вбудованого програмного забезпечення стосується лише невеликої частини їх життєвого циклу. Це залишає пристрої незахищеними, а команди не можуть відстежувати та контролювати безпеку платформи від вибору постачальника до виведення з експлуатації.
