Studie: „Vulnpocalypse“ nemusí nastat, klíčem je prioritizace zranitelností

Nová studie zaměřená na kybernetickou bezpečnost přináší poněkud uklidňující zprávu pro podnikové bezpečnostní týmy, které se dlouhodobě obávají takzvané „Vulnpocalypse“ – tedy scénáře, kdy by na organizace mělo dopadnout enormní množství bezpečnostních zranitelností najednou, s nimiž by se stávající týmy nedokázaly vypořádat. Podle nových zjištění však nemusí jít o tak katastrofický scénář, jak se dosud předpokládalo, pokud firmy zvolí odpovídající přístup k řízení rizik a záplatování.

Výzkum naznačuje, že klíčovým faktorem pro zvládnutí rostoucího počtu zranitelností není jen navyšování počtu lidí nebo nástrojů, ale především správná strategie prioritizace a řízení bezpečnostních rizik. Bezpečnostní týmy, které dokážou efektivně rozlišit mezi kritickými a méně závažnými zranitelnostmi, mají podle výsledků výrazně vyšší šanci udržet situaci pod kontrolou i v období, kdy počet nově objevených chyb prudce roste.

Fenomén „Vulnpocalypse“ se v odborných kruzích skloňuje již delší dobu jako varování před tím, že objem softwarových zranitelností může v určitém okamžiku převýšit reálné kapacity bezpečnostních oddělení. S rostoucím počtem aplikací, cloudových služeb a propojených systémů totiž narůstá i množství potenciálních bezpečnostních děr, které je nutné identifikovat, vyhodnotit a odstranit. Právě obava z tohoto kumulativního efektu vedla mnohé experty k předpokladu, že firmy budou v blízké budoucnosti čelit neúnosnému množství úkolů souvisejících se správou zranitelností.

Nová data ale naznačují, že situace nemusí být tak vážná, pokud organizace přistoupí k problému systematicky. Namísto snahy opravit veškeré nalezené zranitelnosti bez rozdílu se jako efektivnější ukazuje model, kdy týmy soustředí své úsilí na ty chyby, které představují reálné riziko zneužití a mohou mít nejzávažnější dopad na provoz či bezpečnost dat. Tento přístup, často označovaný jako risk-based vulnerability management, umožňuje lépe rozložit omezené lidské i technické zdroje.

Podle výzkumu hraje významnou roli také automatizace procesů souvisejících s identifikací a hodnocením zranitelností. Nasazení nástrojů, které dokážou rychle klasifikovat nově objevené chyby podle jejich závažnosti a pravděpodobnosti zneužití, pomáhá bezpečnostním týmům reagovat rychleji a efektivněji, aniž by musely reagovat na každé jednotlivé upozornění stejnou měrou.

Dalším faktorem, který podle zjištění ovlivňuje schopnost firem zvládnout rostoucí počet zranitelností, je úroveň spolupráce mezi bezpečnostními a IT odděleními. Tam, kde je komunikace mezi těmito týmy efektivní a procesy záplatování jsou dobře nastavené, dochází k rychlejšímu odstraňování kritických chyb a snižuje se riziko, že zranitelnost zůstane dlouhodobě neošetřená.

Výzkum tak celkově vyvrací představu, že by nadcházející období mělo být pro bezpečnostní týmy nezvládnutelné jen kvůli rostoucímu počtu hlášených zranitelností. Rozhodující je, jak organizace k problému přistupují – zda mají jasně definované priority, funkční procesy a dostatečnou míru automatizace, nebo zda se snaží řešit každou zranitelnost izolovaně a bez systému.

Experti v této souvislosti doporučují firmám, aby průběžně vyhodnocovaly své interní procesy správy zranitelností a investovaly do nástrojů, které jim pomohou lépe pochopit skutečnou úroveň rizika spojeného s jednotlivými chybami. Stejně důležité je podle nich i pravidelné školení bezpečnostních týmů, aby dokázaly pracovat s novými technologiemi a metodami hodnocení rizik.

Závěry studie tak přinášejí mírně optimističtější pohled na budoucí vývoj v oblasti kybernetické bezpečnosti. Ačkoli počet objevovaných zranitelností pravděpodobně nadále poroste, firmy, které zavedou promyšlené strategie řízení rizik a budou spoléhat na automatizaci a spolupráci napříč odděleními, by podle výzkumu měly být schopny čelit i výrazně vyššímu objemu bezpečnostních incidentů, aniž by to znamenalo destabilizaci jejich provozu.