Studiu HP Wolf Security: Lacunele de securitate din fiecare etapă a ciclului de viaţă al dispozitivelor

HP Inc. a publicat un raport care subliniază riscurile majore de securitate cibernetică generate de dispozitivele nesecurizate pe parcursul întregului lor ciclu de viaţă, potrivit comunicatului emis redacţiei.

Un raport recent al HP Inc. evidenţiază că securitatea platformei, inclusiv protecţia hardware-ului şi firmware-ului PC-urilor, laptopurilor şi imprimantelor, este adesea neglijată. Studiul global, realizat pe un eşantion de peste 800 de manageri IT şi de securitate şi mai mult de 6.000 de angajaţi, arată că 81% dintre manageri consideră că securitatea hardware şi firmware trebuie să devină o prioritate. Cu toate acestea, 68% dintre respondenţi spun că investiţiile în aceste domenii sunt adesea neglijate în costul total de proprietate al dispozitivelor, ceea ce duce la probleme de securitate şi cheltuieli suplimentare.

Principalele constatări din cele cinci etape ale ciclului de viaţă al dispozitivelor sunt:

1.Alegerea furnizorilor: 34% dintre managerii IT şi de securitate afirmă că furnizorii de PC-uri, laptopuri sau imprimante nu au trecut un audit de securitate cibernetică în ultimii cinci ani, iar 18% spun că problemele de securitate au fost atât de grave încât au reziliat contractul.

2.Integrarea în reţea şi configurarea: 53% dintre manageri recunosc că parolele BIOS sunt partajate, prea larg utilizate sau nu sunt suficient de puternice, iar 53% nu schimbă parolele BIOS pe durata de viaţă a unui dispozitiv.

3.Gestionarea continuă: Peste 60% dintre managerii IT şi de securitate nu actualizează firmware-ul dispozitivelor (laptopuri, imprimante) imediat ce sunt disponibile noile actualizări. 57% se tem de actualizările firmware-ului, în timp ce 80% cred că inteligenţa artificială va ajuta hackerii să planifice atacuri mai rapid, ceea ce face esenţială actualizarea rapidă.

4.Monitorizarea şi remedierea: Dispozitivele pierdute şi furate costă organizaţiile aproximativ 8,6 miliarde de dolari anual. Unul din cinci angajaţi a pierdut sau i-a fost furat un PC, iar în medie, sunt necesare 25 de ore pentru a raporta incidentul la departamentul IT.

5.Second Life şi scoaterea din uz: Aproape 47% dintre managerii IT consideră că problemele legate de securitatea datelor reprezintă un obstacol major pentru reutilizarea, revânzarea sau reciclarea PC-urilor şi laptopurilor, iar 39% spun că aceeaşi problemă există şi pentru imprimante.

"Achiziţionarea de PC-uri, laptopuri sau imprimante este o decizie de securitate cu impact pe termen lung asupra infrastructurii de puncte terminale a unei organizaţii. Prioritizarea, sau lipsa acesteia, a cerinţelor de securitate hardware şi firmware în timpul achiziţiei poate avea ramificaţii pe întreaga durată de viaţă a unei flote de dispozitive - de la creşterea expunerii la risc, până la creşterea costurilor sau experienţa negativă a utilizatorilor - dacă cerinţele de securitate şi gestiune sunt stabilite la un nivel prea scăzut în comparaţie cu stadiul actual al tehnologiei", avertizează Boris Balacheff, Chief Technologist for Security Research and Innovation la HP Inc.

Constatările studiului subliniază importanţa implicării experţilor în IT şi securitate în procesul de achiziţie a noilor dispozitive pentru a stabili cerinţele de securitate şi a verifica declaraţiile de securitate ale furnizorilor.

• 52% dintre managerii IT şi de securitate afirmă că echipele de achiziţii colaborează rareori cu departamentele IT şi de securitate pentru a verifica furnizorii în ceea ce priveşte securitatea hardware şi firmware.

• 45% recunosc că sunt nevoiţi să aibă încredere în furnizori, deoarece nu dispun de resursele necesare pentru a valida informaţiile din cererile de ofertă.

• 48% consideră că echipele de achiziţii sunt nepregătite şi tind să creadă orice informaţie oferită de furnizori.

"Întotdeauna va trebui să alegeţi furnizori de tehnologie în care puteţi avea încredere. Dar când vine vorba de securitatea dispozitivelor care servesc ca puncte de intrare în infrastructura IT, această încredere nu ar trebui să fie oarbă", comentează Michael Heywood, Business Information Security Officer, Supply Chain Cybersecurity la HP Inc. "Organizaţiile au nevoie de dovezi concrete - informări tehnice, documentaţie detaliată, audituri periodice şi un proces de validare riguros - pentru a se asigura că cerinţele de securitate sunt îndeplinite, iar dispozitivele pot fi integrate în mod sigur şi eficient."

Este necesară o nouă abordare a ciclului de viaţă al dispozitivelor pentru a îmbunătăţi securitatea platformei

Pentru a gestiona securitatea platformei pe parcursul întregului ciclu de viaţă al dispozitivelor, HP Wolf Security recomandă următoarele abordări:

Alegerea furnizorilor: Colaborarea strânsă între echipele IT, de securitate şi de achiziţii pentru a stabili cerinţele de securitate şi rezilienţă pentru noile dispozitive, precum şi pentru a valida declaraţiile de securitate ale furnizorilor.

Integrare şi configurare: Implementarea unor soluţii care permit integrarea securizată zero-touch a dispozitivelor şi utilizatorilor, precum şi gestionarea securizată a setărilor firmware, evitând autentificarea slabă (de exemplu, parolele BIOS).

Gestionare continuă: Identificarea instrumentelor care ajută departamentul IT să monitorizeze şi să actualizeze configuraţia dispozitivelor de la distanţă şi să implementeze rapid actualizările de firmware, reducând astfel vulnerabilităţile la atacuri cibernetice.

Monitorizare şi remediere: Asigurarea că echipele IT şi de securitate pot localiza, bloca şi şterge datele de pe dispozitive, chiar şi atunci când acestea sunt oprite, pentru a reduce riscurile asociate cu pierderea sau furtul dispozitivelor.

Second life şi scoaterea din uz: Prioritizarea dispozitivelor care pot şterge în siguranţă datele sensibile din hardware şi firmware, pentru a permite scoaterea acestora din uz într-un mod securizat. Înainte de redistribuirea dispozitivelor, este important să se verifice istoricul lor de funcţionare pe întreaga durată de viaţă pentru a asigura integritatea hardware şi firmware.