EY: Το 36% των assets των επιχειρήσεων βρίσκεται στη «ζώνη ευπάθειας»

Η έρευνα της EY καταγράφει τις προκλήσεις που αντιμετωπίζουν οι οργανισμοί σε ένα περιβάλλον που χαρακτηρίζεται ως NAVI (Non-linear, Accelerating, Volatile and Interconnected), δηλαδή μη γραμμικό, επιταχυνόμενο, ευμετάβλητο και διασυνδεδεμένο.

Βασίζεται στις απόψεις περισσότερων από 800 CISOs και στελεχών κυβερνοασφάλειας από όλο τον κόσμο και εξετάζει 475 διαφορετικές κατηγορίες ψηφιακών assets. Κεντρικό εύρημα της έρευνας είναι η έννοια της «ζώνης ευπάθειας» (vulnerability zone), στην οποία βρίσκεται κατά μέσο όρο το 36% των assets μιας επιχείρησης.

Τι είναι η «ζώνη ευπάθειας»

Η ζώνη ευπάθειας αφορά assets που συνδυάζουν χαμηλή ορατότητα και ανεπαρκή επιτήρηση. Πρόκειται, δηλαδή, για στοιχεία του ψηφιακού οικοσυστήματος μιας επιχείρησης τα οποία δεν παρακολουθούνται επαρκώς και, ως εκ τούτου, μπορούν να αποτελέσουν ευκολότερα σημεία εισόδου για μια κυβερνοεπίθεση.

Τα υψηλότερα ποσοστά έκθεσης εντοπίζονται στα:

• Φυσικά και λειτουργικά τεχνολογικά στοιχεία (OT και physical assets): 57%
• Οικοσυστήματα και τρίτοι συνεργάτες: 49%
• Συστήματα και εργαλεία τεχνητής νοημοσύνης: 47%
• Δικτυακή υποδομή: 38%

Η εικόνα διαφοροποιείται σημαντικά και ανά κλάδο. Ο κλάδος των υποδομών εμφανίζει το υψηλότερο ποσοστό assets στη ζώνη ευπάθειας, με 71%, ενώ ακολουθούν ο κλάδος μετάλλων με 67% και οι επιστήμες υγείας με 64%.

Η αυξημένη έκθεση των κλάδων που βασίζονται σε λειτουργικά τεχνολογικά συστήματα αποκτά ιδιαίτερη σημασία, καθώς τα OT assets μπορούν να χρησιμοποιηθούν ως σημεία εισόδου, επιτρέποντας στους επιτιθέμενους να πραγματοποιήσουν lateral movement, δηλαδή να μετακινηθούν από ένα σύστημα σε άλλο μέχρι να αποκτήσουν πρόσβαση στους τελικούς στόχους τους.

Οι «ασφαλείς δημιουργοί»

Η έρευνα εντοπίζει παράλληλα σημαντικές διαφορές στο επίπεδο ετοιμότητας των οργανισμών. Μια ξεχωριστή κατηγορία αποτελούν οι «Secure Creators», δηλαδή οι οργανισμοί που εφαρμόζουν πιο προηγμένες πρακτικές και τεχνολογίες κυβερνοασφάλειας.

Σε αυτές τις επιχειρήσεις, μόλις το 30% των assets βρίσκεται στη ζώνη ευπάθειας, έναντι 42% στους υπόλοιπους συμμετέχοντες, τους οποίους η έρευνα κατατάσσει στην κατηγορία Prone Enterprises.

Η διαφορά καταδεικνύει τη σημασία της συστηματικής καταγραφής, της ορατότητας και της συνεχούς επιτήρησης του συνόλου των ψηφιακών περιουσιακών στοιχείων μιας επιχείρησης.

Η τεχνητή νοημοσύνη αλλάζει το τοπίο

Καθοριστικός παράγοντας στη νέα πραγματικότητα είναι η frontier AI, δηλαδή η τεχνητή νοημοσύνη αιχμής. Τα πλέον εξελιγμένα μοντέλα μπορούν να αξιοποιηθούν για τον εντοπισμό ευπαθειών και την πραγματοποίηση πιο στοχευμένων επιθέσεων. Την ίδια στιγμή, όμως, τα ίδια τα συστήματα AI δημιουργούν νέα σημεία έκθεσης για τις επιχειρήσεις.

Η ταχεία εξέλιξη των εργαλείων τεχνητής νοημοσύνης, η ανεξέλεγκτη χρήση εφαρμογών GenAI εκτός εγκεκριμένων εταιρικών καναλιών και η ανάπτυξη του agentic AI, που δημιουργεί περισσότερες ψηφιακές ταυτότητες και συνδέσεις, αυξάνουν την πολυπλοκότητα της επιτήρησης.

Ενδεικτικό της κατάστασης είναι ότι το 70% των ειδικών κυβερνοασφάλειας θεωρεί πως οι σημαντικότεροι κίνδυνοι βρίσκονται σε «τυφλά σημεία» (blindspots), δηλαδή σε assets που δεν επιτηρούνται επαρκώς.

Παράλληλα, μόλις το 43% των ερωτηθέντων χρησιμοποιεί αυτοματοποιημένες διαδικασίες για τον εντοπισμό και την απογραφή των assets, ενώ λιγότεροι από τους μισούς δηλώνουν βέβαιοι ότι η απογραφή τους είναι πλήρης και ενημερωμένη.

Οι επιχειρήσεις δεν αισθάνονται έτοιμες

Παρά την ταχύτατη εξέλιξη των απειλών, η ετοιμότητα των οργανισμών παραμένει περιορισμένη. Μόλις το 45% των CISOs δηλώνει ότι αισθάνεται έτοιμο να αντιμετωπίσει κυβερνοεπιθέσεις που αξιοποιούν την τεχνητή νοημοσύνη.

Ακόμη χαμηλότερη είναι η ετοιμότητα απέναντι στις κβαντικές επιθέσεις, καθώς μόλις 21% των στελεχών δηλώνει προετοιμασμένο. Τα ευρήματα αυτά αναδεικνύουν το χάσμα μεταξύ της ταχύτητας με την οποία εξελίσσονται οι τεχνολογίες και των δυνατοτήτων των επιχειρήσεων να προσαρμόζουν εγκαίρως τις άμυνές τους.

Οι έξι προτεραιότητες για την κυβερνοανθεκτικότητα

Η EY προτείνει μια σειρά από κινήσεις για την ενίσχυση της ανθεκτικότητας των οργανισμών:

1. Συνεχής και αυτοματοποιημένη καταγραφή των assets, ώστε οι επιχειρήσεις να γνωρίζουν σε πραγματικό χρόνο τι διαθέτουν και πού βρίσκονται τα σημεία έκθεσης.
2. Κάλυψη των κενών ασφαλείας σε ολόκληρη την επιφάνεια επίθεσης.
3. Καθορισμός και προστασία της «ελάχιστης βιώσιμης επιχείρησης» (minimum viable enterprise), δηλαδή των κρίσιμων λειτουργιών που πρέπει να παραμείνουν ενεργές ακόμη και σε περίπτωση σοβαρής επίθεσης.
4. Επιτάχυνση των επενδύσεων σε σύγχρονες τεχνολογίες και πρακτικές κυβερνοασφάλειας.
5. Διαρκής διαχείριση του κινδύνου από τρίτους και προμηθευτές, με ιδιαίτερη έμφαση στην ταυτότητα.
6. Ενίσχυση της ασφάλειας των περιμετρικών συσκευών και των δικτύων, ως βασικού τμήματος της συνολικής στρατηγικής ανθεκτικότητας.

Ο Παναγιώτης Παπαγιαννακόπουλος, Εταίρος της EY Ελλάδος και Επικεφαλής Υπηρεσιών Κυβερνοασφάλειας, επισημαίνει ότι η τεχνητή νοημοσύνη αιχμής μεταβάλλει τις προτεραιότητες των οργανισμών και δημιουργεί ανάγκη για συνολική αλλαγή στρατηγικής.

Όπως αναφέρει, τα ανώτατα στελέχη των επιχειρήσεων καλούνται να επιταχύνουν την αξιοποίηση της AI στις αμυντικές λειτουργίες κυβερνοασφάλειας, ενισχύοντας την ορατότητα, την αυτοματοποίηση και την έγκαιρη ανίχνευση και αντιμετώπιση των απειλών.

Το βασικό μήνυμα της έρευνας είναι ότι η κυβερνοανθεκτικότητα δεν αφορά πλέον μόνο την προστασία των συστημάτων από γνωστές απειλές. Απαιτεί συνεχή ορατότητα σε ολόκληρο το ψηφιακό περιβάλλον, αυτοματοποίηση και δυνατότητα άμεσης προσαρμογής σε κινδύνους που εξελίσσονται με ταχύτητα, ιδιαίτερα καθώς η τεχνητή νοημοσύνη μεταβάλλει ταυτόχρονα την επίθεση και την άμυνα.