Предприятия, независимо от того, большие они или малые, должны быть осторожны со своими данными, потому что кто-то может их украсть или они могут быть случайно утечены. Хакеры не делают различий по количеству сотрудников или размеру ИТ-бюджета. Одни и те же виды рисков безопасности влияют на предприятия, независимо от их размера.
Изо дня в день малые и средние предприятия подвергаются кибератакам. Они часто не знают о рисках, которым они подвергаются, которые могут включать взлом, мошенничество, фишинг и многое другое. Главным виновником этих атак является недостаточное понимание API. В этом очерке я расскажу о том, как и малые и средние предприятия испытывают трудности с API как механизмом информационной безопасности. По данным Forbes, «первая половина 2018 года ознаменовалась увеличением числа связанных с API утечек данных, при этом 10 крупнейших компаний сообщили о потере 63 миллионов личных записей». Растущее число сообщений об утечках данных через API заставило многих СМБ задуматься о принятии мер по защите своих клиентов.
Подобные атаки могут позволить хакерам похитить огромное количество конфиденциальных данных, нарушить работу и даже вывести из строя веб-сайты. Для защиты от таких атак предприятиям необходимо внедрить широкий спектр надежных мер безопасности API, таких как аутентификация, авторизация, шифрование и сканирование уязвимостей. Огромное количество вариантов напрямую влияет на бюджет.
Тот факт, что существует так много различных API, является основной проблемой для предприятий, когда речь заходит о безопасности API. Хранение учетных данных для аутентификации API является серьезной проблемой. Это может усугубляться тем, что некоторые предприятия используют Интернет вещей (IoT), который не имеет хорошей защиты. Компании осознают, что им приходится постоянно тушить пожары на персональных устройствах, оставляя их уязвимыми для атак.
Другая проблема с API заключается в том, что если один из них будет взломан, то, скорее всего, пострадают все ваши учетные записи, поскольку тот, кто получит доступ, будет использовать ваше имя пользователя и пароль для входа на другие сайты, приложения и т.д. Угроза, которую представляют собой нарушения безопасности API для предприятий, не должна восприниматься легкомысленно. Нарушение безопасности всегда должно послужить толчком к разработке комплексного плана кризисной коммуникации с участием совета директоров, руководства и других заинтересованных сторон. В этом коммуникационном плане должно быть указано, как руководящие органы будут информироваться в случае утечки данных, а также… Как видите, обеспечение безопасности API — это утомительная операция, но не менее дорогостоящая даже для предприятий.
Но крупные предприятия могут смягчить последствия подобных нарушений, в то время как СМБ едва могут выделить на это бюджет, что делает их легкой мишенью для подобных атак.
В большинстве своем представители малого и среднего бизнеса считают, что они — мелкие цели и вряд ли подвергнутся атаке, но на самом деле это не так. Мы видим большое количество атак на малые и средние предприятия. Хакеры не ищут ведра с деньгами. В основном, такие атаки обычно совершают крупные компании, и они, как правило, осуществляются субъектами, финансируемыми государством, но малые и средние предприятия на самом деле работают с обычными преступниками. В некоторых случаях они начинают с конкретной цели и доходят до попыток взлома этой цели, но в других случаях это очень оппортунистично. Речь идет о поиске самой легкой цели для проникновения или низко висящего плода.
Однако в последние годы мы видим, что малые и средние предприятия все чаще используют облачные сервисы для управления многими областями своих информационных технологий. Раньше эти услуги были исключительно корпоративными решениями. В то же время, то же самое касается кибербезопасности, где SAST (статическое тестирование безопасности приложений), DAST (динамическое тестирование безопасности приложений) и тестеры проникновения, которые помогают организациям выявлять и устранять уязвимости безопасности. раньше были решениями, ориентированными на эти предприятия. Однако все чаще используются такие решения, как BLST (Business Logic Security Testing), обеспечивающие автоматическое тестирование на проникновение по бюджетной цене. С его помощью можно непрерывно сканировать API и точно определять и находить уязвимости безопасности, что позволяет разработчикам и тестированию безопасности быстрее обнаруживать и устранять уязвимости.
В заключение следует отметить, что малые и средние предприятия находятся в невыгодном положении, когда речь заходит о безопасности API, поскольку они зачастую не имеют такого уровня ресурсов безопасности, как более крупные предприятия. Хакеры знают об этом и часто нацеливаются на малые и средние предприятия, поскольку они представляют собой легкую мишень. Однако в настоящее время решения, которые обычно использовались на предприятиях, все чаще применяются в СМБ, и цена их вполне приемлема.
Присоединяйтесь к обсуждению на нашем канале Discord https://discord.gg/TnabSMyC.