هل شركتك محمية كما تظن؟.. دراسة ترصد مبالغة المتخصصين في تقدير الحماية

قدّر متخصصون تغطية أدوات الحماية للهجمات بمستويات تجاوزت تقديرات نموذج تحليلي بنحو 27 نقطة مئوية في المتوسط، وكشفت المقارنة أن امتلاك قدرات أمنية متعددة قد يصاحبه تداخل في الوظائف وفجوات في التغطية.

ووفقًا لدراسة نشرتها Risk Analysis بعنوان "نمذجة التهديدات في بنية المؤسسة لإدارة مخاطر الأمن السيبراني"، جمع باحثان من جامعة جورج واشنطن إجابات 65 متخصصًا، وقارنا تقديراتهم بتحليل لأدوات الحماية التي أبلغوا عن استخدامها.

ماذا تغطي أدوات الحماية؟
 

تناول التحليل 12 فئة من القدرات الأمنية، وقاس التغطية التي يقدرها النموذج في الحماية والكشف والاستجابة، بالاستناد إلى منهجية مراجعة بنية الأمن السيبراني وإطار MITRE ATT&CK للإصدار السابع عشر.

شملت المقارنة 910 ملاحظات تربط تقديرات المشاركين بتكتيكات الهجوم، وظهر تفاوت بين المراحل، فلم يكن الفارق في التقدير ثابتًا أو في الاتجاه نفسه مع كل تكتيك.

وأبلغ المشاركون عن الاعتماد على ممارسات المؤسسات الأخرى ومتطلبات الامتثال وتقارير المحللين ضمن قرارات اختيار القدرات، بينما وردت نمذجة التهديدات داخل المؤسسة بوتيرة أقل من هذه العوامل.

التقدير المرتفع لا يثبت وقوع اختراق

المقارنة هنا بين حكم المتخصص ونموذج لتغطية التهديدات، وليست اختبار اختراق يثبت نجاح المهاجم، ولذلك لا تعني فجوة 27 نقطة أن النسبة نفسها من بيانات الشركات مكشوفة أو أنظمتها مخترقة.

وما يمكن استخلاصه للإدارة هو مراجعة وظيفة كل أداة والمرحلة التي تغطيها، فقد يؤدي شراء منتجات متقاربة الوظائف إلى تكرار التغطية دون معالجة الموضع الذي بقي خارجها.

ويمكن تصور مؤسسة تجمع وسائل للكشف عن السلوك نفسه، بينما لا تملك إجراءً كافيًا للاستجابة بعد الإنذار، وهذا مثال توضيحي لفكرة التداخل، وليس وصفًا لمؤسسة بعينها داخل الدراسة.

وتصبح قيمة التقييم في مقارنة ما تعتقد المؤسسة أنها تحميه بما يمكن توثيقه عن قدراتها، ثم استخدام الاختبارات والبيانات التشغيلية لفحص الفجوات، بدل اتخاذ عدد المنتجات أو حجم الإنفاق دليلًا قائمًا بذاته على الأمان.