پیش‌بینی‌های گارتنر و فوربس در مورد صنعت امنیت در سال 2023

پیش‌بینی‌های انجام‌شده توسط نشریه فوربس

کریستوفر پریویت (Christopher Prewitt)، مدیر ارشد فناوری فوربس، بر مبنای دانش و تجربه‌ای که در صنعت امنیت سایبری داشته به نکات قابل تاملی اشاره کرده و معتقد است که برخی از پیش‌بینی‌ها در این صنعت در سال 2023 یا در سال‌های آتی به تحقق خواهند پیوست، در حالی که برخی دیگر ریشه در باورهای نادرست دارند. 

مطلب پیشنهادی

تداوم حمله‌های سایبری، در مقابل کمبود نیروهای متخصص

در سال جدید سازمان‌ها با چه چالش‌های امنیتی روبرو هستند؟

هوش مصنوعی و یادگیری ماشین به سلاحی در اختیار هکرها تبدیل می‌شوند

پریویت بر این باور است که پیش‌بینی فوق اشتباه است. او می‌گوید: «این حرف به این معنا نیست که هکرها توانایی لازم برای سوء‌استفاده از هوش مصنوعی، یادگیری ماشین و روش‌های پیشرفته‌تر را ندارند، بلکه مسئله این است که اساسا نیازی به انجام این‌کار ندارند». 

حمله‌های موفق به شرکت‌هایی مثل اوبر، توییتر و دیگر شرکت‌های بزرگ دنیای فناوری اطلاعات نشان داده است که هنوز هم الگوهای ساده حمله به زنجیره تامین، فیشینگ ایمیل تجاری و حمله‌های اعتبارسنجی‌محور، بازده خوبی برای هکرها دارند. کارشناسان امنیتی، راهکارهای جدیدی برای مقابله با حمله‌های پیرامون احراز هویت چندعاملی و پیچیده کردن حمله به زیرساخت‌ها ابداع کرده‌اند، اما هنوز هم این مکانیزم‌های سنتی مقابله با تهدیدات، آسیب‌پذیری‌هایی دارند که هکرها قادر به سوء‌استفاده از آن‌ها هستند. او در انتها به این نکته اشاره دارد که چرا یک هکر باید وقت خود را صرف ساخت جداول داده برای یک موتور یادگیری ماشین کند، در حالی که می‌تواند سند ورد آلوده به ماکروهای مخرب را برای تعدادی از کارمندان یک سازمان ارسال کند و به آن‌چه نیاز دارد، دست پیدا کند. 

مقررات دولتی بیشتر خواهند شد

او بر این باور است که پیش‌بینی فوق درست است. در شرایطی که تفاهم‌نامه جدیدی میان ایالات متحده و اتحادیه اروپا به تصویب رسیده، تغییرات در الزامات حریم خصوصی بین‌المللی ادامه خواهد داشت. در همین ارتباط، مقررات امنیتی جدید بدون شک از SEC به دنیای فناوری وارد خواهند شد. همچنین، به احتمال زیاد دستورالعمل‌های اجرایی بیشتری توسط نهادهای قانون‌گذار ایالات متحده به تصویب خواهند رسید و مطالب زیادی در این زمینه خواهیم خواهند. البته، این احتمال وجود دارد که به‌دلیل تعداد و پیچیدگی زیاد این قوانین، بخش عمده‌ای از آن‌ها ضمانت اجرایی پیدا نکنند. او می‌گوید: «از زمانی که قانون مبنی بر ارسال پیام پذیرش همه کوکی‌ها به تصویب رسید و وب‌سایت‌ها مجبور شدند در هنگام استفاده از کوکی‌ها این مسئله را به کاربر اطلاع دهند تا به امروز، هیچ تغییر واقعی مشاهده نشده است. بعید است در سال 2023، این موضوع تغییر خاصی پیدا کند».

مطلب پیشنهادی

معمار، مشاور، کارشناس تست نفوذ و مدیر ارشد امنیت اطلاعات چه وظایفی دارند

آشنایی با چهار شغل مهم و پردرآمد در حوزه امنیت اطلاعات

هکتیویسم در حال افزایش است

این پیش‌بینی، درست است. از نقطه نظر امنیت سایبری، تنش‌ میان دولت‌های مختلف باعث می‌شود تا حملات سایبری در مقیاس بزرگ بر علیه شهروندان غیرنظامی افزایش پیدا کند. به‌طوری که برخی از هکرهای سازمان‌یافته، بر علیه شهروندان و زیرساخت‌های کشورهای مختلف عملیات هکری انجام دهند. هکرهایی که به زیرساخت‌های نظامی، اقتصادی و اجتماعی کشورهای مختلف از روی سرگرمی و کنجکاوی حمله می‌کنند، در آینده این حمله‌ها را به دلایل مختلفی انجام می‌دهند که نتایج غیرقابل پیش‌بینی به‌همراه خواهد داشت.

حمله به گوشی‌های هوشمند شدت بیشتری پیدا می‌کند 

پریویت بر این باور است که این پیش‌بینی تا حدودی اشتباه است، زیرا همیشه تلاش‌هایی برای حمله به گوشی‌های هوشمند انجام می‌شود، اما حمله به این پلتفرم‌ها به‌صورتی که کارشناسان پیش‌بینی کرده‌اند، فراگیر نخواهند شد. اپل و گوگل در ایمن‌سازی دستگاه‌های خود، تلاش‌های زیادی انجام داده‌اند، به همین دلیل سیستم‌عامل‌های سیار در مقایسه با سیستم‌عامل‌های دسکتاپی با مخاطرات امنیتی کمتری روبه‌رو هستند. همچنین، کاربران هر دو سال یک‌بار گوشی هوشمند خود را تعویض می‌کنند و به همین دلیل، اگر رخنه‌ای در گوشی‌های هوشمند قدیمی شناسایی شود هکرها قادر به استفاده از آن نخواهند بود، زیرا کاربران از آن استفاده نمی‌کنند. 

مطلب پیشنهادی

هدف امنیت در حوزه فناوری اطلاعات (IT) چیست؟

واژه امنیت در حوزه فناوری اطلاعات به چه معنا است؟

مدل‌های اعتماد صفر (Zero Trust) بر دنیای امنیت سایبری تاثیر خواهند گذاشت

این پیش‌بینی، درست است. با توجه به این‌که سازمان‌های بیشتری، مراکز داده درون‌سازمانی را کنار گذاشته و به سراغ زیرساخت‌های ابری می‌روند، برای بهبود امنیت و پیشگیری از حمله‌های سایبری به سراغ امنیت مبتنی بر اعتماد صفر خواهند رفت. همین مسئله باعث می‌شود تا در آینده، نحوه انجام تست‌های نفوذ و ایمن‌سازی شبکه‌های سازمانی با تغییرات اساسی روبه‌رو شود. به‌طور مثال، ظرفیت بار ابری (Cloud Workload) و مدل اعتماد صفر در تعامل با یک‌دیگر، مفهوم لبه شبکه را کنار خواهند گذاشت و ممکن است وابستگی به برخی از مکانیزم‌های رایج تامین امنیت شبکه را برطرف کنند. 

نوک پیکان حمله‌های هکری به سمت ابر خواهد بود

این پیش‌بینی، نادرست است. ارائه‌دهندگان خدمات ابری همواره در معرض حمله‌های سایبری و هک قرار دارند. طیف گسترده‌ای از شرکت‌های فعال در زمینه خدمات ابری در گذشته این مشکل را تجربه کرده‌اند، اما دور از انتظار است که شاهد بروز حمله‌‌هایی در مقیاس وسیع باشیم. به احتمال زیاد کنسول‌های ابری، هدف بزرگ بعدی حمله‌های هکرها خواهند بود. با توجه به این‌که سازمان‌ها، بار کاری و سرورها را به ابر انتقال می‌دهند، این تجهیزات زیربنایی فناوری اطلاعات به لایه زیرین شبکه سازمانی با ماهیت مجازی انتقال پیدا می‌کنند که امنیت آن‌ها را بهبود می‌بخشد. در گذشته موارد مختلفی از حمله به زیرساخت‌های ابری را شاهد بودیم، اما با شروع مهاجرت شرکت‌های کم‌تجربه به فضای ابری، گزارش‌های بیشتری درباره حمله به زیرساخت‌های ابری منتشر خواهد شد، اما به ترند اصلی دنیای امنیت سایبری تبدیل نخواهد شد.  

پاسخ فعال، به دکترین دفاعی پیش‌فرض سازمان‌ها تبدیل می‌شود

این پیش‌بینی، درست است. اگر به عقب نگاه کنیم متوجه می‌شویم که امنیت سایبری رویکرد خود از کنترل‌های دسترسی پیشگیرانه را به کنترل‌های دسترسی تشخیصی متمایل ساخته است. با این حال، هشداردهی و پاسخ‌گویی به موقع مانع از آن نشده است تا از شدت تهدیدها کاسته شود. به همین دلیل، این احتمال وجود دارد که سامانه‌ها با استفاده از حساب‌های قفل‌شده، بازنشانی اجباری گذرواژه یا روش‌های دیگر، به مقابله با نشت و خروج داده‌ها بپردازند. در این حالت، کارشناسان امنیتی زمان کافی برای ارزیابی عملکرد خود و پاسخ به حمله‌ها به‌شکل بلادرنگ در اختیار خواهند داشت. اگر شرایط بغرنج شود، می‌توان انتظار داشت این ویژگی‌ها به تنظیمات پیش‌فرض تبدیل شوند و بخش عمده‌ای از پلتفرم‌ها بر مبنای پاسخ‌گویی فعال و خودکار به مقابله با تهدیدات بپردازند. 

مطلب پیشنهادی

تست نفوذ، مدیریت سطح حمله خارجی و مدیریت رخنه‌ها

یک کارشناس امنیت برای موفقیت در کار باید به چه نکاتی دقت کند؟

فناوری 5G باعث کم شدن حمله‌های سایبری می‌شود 

این پیش‌بینی، تا حدودی اشتباه است. فناوری 5G با قابلیت ساخت شبکه‌های خصوصی مانع از آن می‌شود تا کلاینت‌ها به‌شکل مستقیم به اینترنت متصل شوند و به برخی از ارائه‌دهندگان فناوری اجازه می‌دهد بر مبنای این تکنیک، مکانیزم‌های امنیتی خود را بهبود بخشند. البته، در گذشته شاهد بودیم که افزایش پهنای باند 5G به‌تنهایی، راهکار موثری برای مقابله با تهدیدات نبوده است. با این حال، 5G به احتمال زیاد فرصت‌های بیشتری برای حمله به شبکه‌ها و به‌ویژه تجهیزات اینترنت اشیاء در اختیار هکرها قرار می‌دهد. این مسئله، یک نقص امنیتی نیست، بلکه ریشه در محاسبات ساده ریاضی دارد. هرچه تعداد دستگاه‌های آنلاین بیشتر شود، به همان نسبت بر تعداد حمله‌های سایبری افزوده می‌شود. 

دولت‌ها به‌شکل جدی‌تری مبحث امنیت سایبری را دنبال خواهند کرد

این پیش‌بینی، درست است. در سال 2022، گزارش‌های مختلفی درباره سرقت اطلاعات تجاری سازمان‌های بزرگ و نظامی در کشورهای مختلفی منتشر شد. این گزارش‌ها نشان می‌دهند در سال جدید، دولت‌ها بودجه قابل توجهی را صرف بهبود امنیت سایبری خود خواهند کرد.

بیمه سایبری به شرکت‌های بیشتری کمک می‌کند

این پیش‌بینی، نادرست است. بازار بیمه سایبری در سال 2022، شاهد تغییرات شدیدی بود. نرخ‌های بیمه‌ افزایش پیدا کردند که باعث شدند  کاربران کمتری تمایل به بیمه کردن زیرساخت‌ها داشته باشند. البته، انتظار می‌رود در سال 2023، الزامات و قوانین جدیدی برای بیمه سایبری در کشورهای مختلف به تصویب برسند و برخی از اقدامات در حوزه امنیت سایبری در زیرمجموعه بیمه سایبری قرار بگیرند که از مهم‌ترین آن‌ها باید به اسکن‌های آسیب‌پذیری خارجی اجباری و اعتبارسنجی شخص ثالث اشاره کرد. 

یکی از مشکلات بزرگی که سازمان‌های بزرگ در سال 2023 با آن روبه‌رو می‌شوند، افزایش حق بیمه سایبری است. تنها در سه ماهه اول 2022، حق بیمه سایبری در مقایسه با سه ماهه چهارم 2021 تقریبا 28 درصد افزایش پیدا کرد. یکی از دلایل افزایش، آگاهی بیشتر شرکت‌ها در مورد جریمه‌های سنگین و خدشه وارد شدن به اعتبار برند به‌دلیل حوادث سایبری مثل حملات باج‌افزاری، نقض داده‌ها، سوءاستفاده از آسیب‌پذیری‌ها و موارد این‌چنینی است. در عین حال، پذیره‌نویسان نیز الزامات دریافت بیمه سایبری را  سخت‌گیرانه‌تر از قبل کرده‌اند و شرکت‌ها را ملزم به رعایت احراز هویت دو مرحله‌ای و پذیرش فناوری‌های خاص مانند EDR ،XDR و موارد دیگر کرده‌اند. در شرایطی که تا قبل از این، اسناد و پرسشنامه‌های مرتبط با بیمه سایبری تنها در دو صفحه‌ خلاصه می‌شد، اکنون ممیزی‌ها سخت‌گیرانه‌تر شده و بیش از 12 صفحه را شامل می‌شود. بنابراین، افزایش حق بیمه سایبری و الزامات سخت‌گیرانه‌تر برای دریافت بیمه از چالش‌های عمده‌ در سال 2023 است. 

با این‌حال، در سال 2023 به احتمال زیاد شاهد افزایش تقاضا خواهیم بود که ناشی از افزایش بروز مشکلات زنجیره تامین است. به‌دلیل این مسائل، شرکت‌ها احتمالا از هر فروشنده یا شخص ثالثی که با آن کار می‌کنند، بیمه سایبری دریافت خواهند کرد. به‌دلیل، بروز مسائل ژئوپلیتیکی، علاوه بر تهدیدات سایبری که شرکت‌ها دائما با آن روبه‌رو هستند، شرکت‌ها، حفاظت از حیاتی‌ترین دارایی‌های خود (از جمله شهرت خود) را در اولویت قرار می‌دهند. در سال 2023، تقاضا برای بیمه سایبری بیشتر می‌شود که قیمت‌ها و الزامات برای دریافت این بیمه‌نامه‌ها را افزایش می‌دهد.

رکود باعث کاهش هزینه‌های برنامه‌های آموزشی در حوزه امنیت می‌شود

علی‌رغم این ایده که امنیت سایبری ممکن است صنعتی مقاوم در برابر رکود باشد، این احتمال وجود دارد که بخشی از متخصصان این حوزه در طول رکود اقتصادی با مشکلاتی روبه‌رو شوند. در حال حاضر، شاهد کاهش بودجه در حوزه امنیت سایبری نیستیم، اما بخش‌هایی مثل آموزش ممکن است با کمبود بودجه آموزشی روبه‌رو شوند. این کاهش تنها مختصص به آموزش کارکنان نیست، بلکه بودجه‌ای را که برای آموزش و افزایش سطح مهارت‌های متخصصان اختصاص داده می‌شود تحت تاثیر قرار می‌دهد. این صنعت، در حال حاضر با کمبود مهارت روبه‌رو است و متاسفانه، به‌دلیل افزایش تقاضا برای متخصصان ماهر در امنیت سایبری، به احتمال زیاد در سال 2023 با کمبود نیروی متخصص ماهر روبه‌رو می‌شویم.

مدیران امنیتی تمرکز خود بر انعطاف‌پذیری سایبری را افزایش خواهند داد

مایکل آدامز، متخصص ارشد فناوری اطلاعات شرکت زوم می‌گوید: «در حالی که حفاظت از سازمان‌ها در برابر تهدیدات سایبری همیشه اولویت اصلی در برنامه‌های امنیتی است، اما برآورد ما این است که مدیران امنیتی روی انعطاف‌پذیری سایبری تمرکز بیشتری خواهند داشت که شامل برنامه‌ریزی برای بازیابی و تداوم در صورت وقوع یک حادثه سایبری است. مدیران امنیتی تنها روی محافظت از منابع در برابر حمله‌های سایبری سرمایه‌گذاری نمی‌کنند، بلکه روی افراد، فرآیندها و فناوری‌ها برای کاهش اثرات مخرب یک حمله موفقیت‌آمیز و ادامه عملیات در صورت وقوع یک حادثه سایبری نیز سرمایه‌گذاری خواهند کرد».

پیش‌بینی‌های گارتنر در مورد امنیت سایبری

تمرکز و تاکید بر قوانین حفظ حریم خصوصی داده‌ها، مقابله با حملات باج‌افزاری، محافظت فیزیکی از سامانه‌ها و انجام ممیزی‌های مختلف، مورد توجه مدیران سازمان‌های بزرگ قرار خواهد گرفت. علاوه بر این، شرکت‌ها خط‌مشی‌های جدیدی برای مدیریت بحران به تصویب خواهند رساند. پرسش مهمی که گارتنر مطرح می‌کند این است که چگونه سازمان‌ها و شرکت‌ها باید اطمینان حاصل کنند که مشتریان‌شان در برابر کلاهبرداری‌های آنلاین در امان خواهند بود؟ این پرسشی است که مدیران ارشد امنیت و ریسک باید در سال 2023 به دنبال پاسخی دقیق برای آن باشند و برنامه‌ریزی‌های جامعی در این زمینه اتخاذ کنند.

توسعه سامانه‌های فیزیکی سایبری که شامل سامانه‌هایی است که دنیای سایبری و فیزیکی را برای فناوری‌هایی مثل اتومبیل‌های خودران یکپارچه می‌کند، چالش‌های امنیتی جدیدی برای سازمان‌ها به‌وجود خواهد آورد. این‌ مسئله که چگونه هکرها می‌توانند این سامانه‌ها را هدف قرار دهند، یکی از مهم‌ترین پیش‌بینی‌های سال‌های آتی است. 

سام اولیایی، تحلیل‌گر گارتنر در سخن‌رانی خود در سمپوزیم گارتنر در سال 2022 به این نکته اشاره کرد: «ما عادت کرده‌ایم که با مسائل جدید بر مبنای طرز تفکر قدیمی و راه‌حل‌های قدیمی برخورد کنیم. ما باید اطمینان حاصل کنیم که تفکر، فلسفه، برنامه‌ها و خط‌مشی‌های ما منطبق با تحولات روز دنیای فناوری است».

تصویب قوانین جدید در محافظت از داده‌ها

امنیت و مدیریت ریسک به مبحث مهمی در سطوح عالی سازمان‌ها تبدیل شده است. نقض‌های امنیتی رایج‌تر و پیچیده‌تر شده‌اند و در نتیجه قوانین جدیدی برای حمایت از مصرف‌کنندگان و شرکت‌ها باید به تصویب برسد که امنیت در مرکز آن قرار داشته باشد. تحلیل‌گران گارتنر بر این باور هستند که در چند سال آینده صنعت سایبری بر تمرکززدایی بیشتر، افزایش مقررات و الزمات قانونی تاکید بیشتری خواهد داشت. به‌طوری‌که تا پایان سال 2023، قوانین دقیق‌تری برای حفظ حریم خصوصی داده‌ها به تصویب خواهد رسید که روی نحوه دسترسی به اطلاعات دست‌کم 75 درصد کاربران آنلاین در سراسر جهان تاثیرگذار خواهد بود. GDPR اولین قانون مهم حریم خصوصی مصرف‌کننده بود، اما قوانین دیگری نیز به سرعت تصویب شدند که از مهم‌ترین آن‌ها باید به قانون حفاظت از داده‌های شخصی در کشور ترکیه (Personal Data Protection Act)، قانون عمومی حفاظت از داده‌های شخصی در برزیل (General Personal Data Protection Act) و قانون حفظ حریم خصوصی مصرف‌کنندگان کالیفرنیا (California’s Consumer Privacy Act) اشاره کرد. این قوانین به این نکته اشاره دارند که سازمان‌ها باید در مورد خودکارسازی سامانه‌های مدیریت حریم خصوصی که میزبان داده‌ها هستند، دقت نظر بیشتری داشته باشند. به‌طور مثال، بر مبنای قوانین GDPR می‌توانید عملیات امنیتی را استانداردسازی کنید تا از سوی نهادهای بین‌المللی با جریمه‌های سنگین روبه‌رو نشوید. 

تا سال 2024 سازمان‌هایی که معماری امنیت سایبری شبکه را پیاده‌سازی کنند، خسارت‌های کمتری را متحمل می‌شوند

امروزه، سازمان‌ها از فناوری‌های مختلفی در مکان‌های مختلف استفاده می‌کنند، بنابراین به یک راه‌حل امنیتی انعطاف‌پذیر نیاز دارند. به‌طوری‌که مجبور به ایمن‌سازی شبکه‌های ارتباطی هستند تا بتوانند فرآیند احراز هویت را به‌شکل دقیقی اجرایی کنند و به دید جامعی در مورد عملیات انجام‌شده در شبکه سازمانی دست پیدا کنند. رویکرد فوق، امنیت در انجام کارها به شیوه دورکاری را بهبود می‌بخشد. همچنین، انتظار می‌رود  تا سال 2024، 30 درصد شرکت‌ها دروازه وب امن (SWG)، کارگزار امنیت دسترسی به ابر (CASB)، دسترسی به شبکه اعتماد صفر (ZTNA) و فایروال به‌عنوان سرویس (FWaaS) را مستقر کنند. 

سازمان‌ها به‌سمت بهینه‌سازی و یکپارچگی در حرکت هستند. به‌طور معمول، مدیران ارشد امنیتی، برای انجام کارها مجبور به مدیریت طیف گسترده‌ای از ابزارها هستند، اما ترجیح می‌دهند از چند ابزار که قابلیت‌های جامعی در اختیارشان قرار می‌دهند استفاده کنند. به بیان دقیق‌تر، تمایل به استفاده از راه‌حل‌های SaaS را دارند. 

تا سال 2025، نزدیک به 60 درصد سازمان‌ها در انجام تراکنش‌های شخص ثالث و روابط تجاری به مقوله ریسک امنیت سایبری به عنوان عامل تعیین‌کننده توجه خاصی خواهند داشت

سرمایه‌گذاران از ریسک امنیت سایبری به‌عنوان عامل مهمی در ارزیابی فرصت‌ها استفاده می‌کنند. علاوه بر این، سازمان‌ها در معاملات تجاری، ابتدا ریسک‌های امنیت سایبری را مورد توجه قرار می‌دهند. در نتیجه، ممکن است قبل از انجام معاملات از طرف مقابل درخواست کنند تا خط‌مشی‌های امنیتی خود را برای آن‌ها ارسال کنند. این مسئله به‌ویژه در مورد شرکت‌هایی که قرار است در زنجیره تامین نقش فعالی داشته باشند، مصداق پیدا می‌کند.