Poprosiliśmy ekspertów ds. cyberbezpieczeństwa o ich najlepsze prognozy na rok 2025

Pod koniec 2024 r. branża cyberbezpieczeństwa stoi przed wieloma wyzwaniami . Po pierwsze, według jednego raportu straty spowodowane cyberprzestępczością wzrosły czterokrotnie i osiągnęły 2,5 miliarda dolarów od 2017 roku .

Największe firmy tracą miliony na oprogramowaniu ransomware lub, w przypadku T-Mobile, na ugodzie w wysokości 30 milionów dolarów za ujawnienie danych klientów. Jedna z amerykańskich firm zajmujących się cyberbezpieczeństwem nawet przypadkowo zatrudniła północnokoreańskiego hakera.

W miarę upływu ćwierćwiecza nowego tysiąclecia krajobraz bezpieczeństwa w Internecie będzie nadal ulegał zmianom pod naszymi wspólnymi stopami. Jak możesz mieć pewność, że będziesz na bieżąco z najnowszymi trendami? Przeglądając poniższy przewodnik — przejrzeliśmy dziesiątki przewidywań, przestróg i prognoz ekspertów ds. cyberbezpieczeństwa, aby zebrać najlepsze plony.

Oto, czego można się spodziewać po świecie cyberbezpieczeństwa w nowym roku.

Największe prognozy dotyczące cyberbezpieczeństwa na rok 2025:

• Zwiększone bezpieczeństwo Internetu rzeczy
• Architektura Zero Trust wykracza poza urządzenia
• Kwantyfikacja ryzyka staje się podstawowym narzędziem bezpieczeństwa
• Skoncentrowanie się na brakach w umiejętnościach cybernetycznych średniego szczebla
• Narzędzia AI zostaną w większym stopniu zintegrowane z protokołem bezpieczeństwa firm
• Uważaj na niedostatecznie zarządzane aktywa

Zwiększone bezpieczeństwo Internetu rzeczy

„Internet rzeczy” (IoT) odnosi się do wszelkich urządzeń technologicznych podłączonych do Internetu i polegających na aktualizacjach oprogramowania, od inteligentnych lodówek po termostaty, dzwonki do drzwi, a nawet rozruszniki serca. Dziś radzą sobie lepiej niż kiedykolwiek, co budzi strach w sercach wielu ekspertów ds. cyberbezpieczeństwa, ponieważ wszystkie te urządzenia są teraz świeżo podatne na cyberataki.

Daniel Pearson, dyrektor generalny KnownHost, zauważa, że ​​IoT nie jest przeznaczony tylko dla inteligentnych domów. Firmy mają na swoich obiektach wiele urządzeń IoT: czujniki, sprzęt monitorujący, systemy zarządzania energią i przedmioty biurowe codziennego użytku, w tym żarówki, zamki do drzwi i systemy CCTV.

Aby stawić czoła dużej liczbie potencjalnych luk w zabezpieczeniach, w 2025 r. firmy muszą „zapewnić, że ich inteligentne urządzenia są odpowiednio zabezpieczone za pomocą uwierzytelniania wieloskładnikowego, regularnych szyfrowań i aktualizacji oprogramowania sprzętowego” – mówi Pearson.

Architektura Zero Trust wykracza poza urządzenia

Architektury Zero Trust wymagają ciągłej weryfikacji, aby ograniczyć ryzyko ataków bocznych poprzez minimalizację ukrytego zaufania. W 2025 r. te taktyki wykroczą poza bezpieczeństwo urządzeń i zaczną obejmować wszystkich użytkowników, urządzenia, aplikacje i interakcje.

Ofer Regev, dyrektor ds. technicznych w Faddom, przewiduje, że Zero Trust wykracza poza urządzenia.

„Zero Trust rozszerzy się poza urządzenia i sieci, obejmując ramy weryfikacji tożsamości we wszystkich interakcjach cyfrowych. Wraz z rozwojem pracy zdalnej i zdecentralizowanych systemów tradycyjne modele tożsamości przestaną wystarczać. Będzie to wymagało narzędzi zdolnych do śledzenia i sprawdzania zachowań użytkowników i systemów w dynamicznych środowiskach IT. -Regew

Ekspansja Zero Trust nastąpi, ponieważ specjaliści ds. cyberbezpieczeństwa będą w dalszym ciągu sięgać po dodatkowe środki zapewniające bezpieczeństwo w swoich firmach.

Kwantyfikacja ryzyka staje się podstawowym narzędziem bezpieczeństwa

Z raportu Bitsight and Diligent wynika, że ​​mimo że firmy zapewniające bezpieczeństwo cybernetyczne osiągają czterokrotnie wyższe wyniki finansowe niż ich konkurenci, zaledwie 5% firm ma w swoich zarządach ekspertów ds. cyberbezpieczeństwa.

W jaki sposób specjaliści IT mogą komunikować się ze swoimi zarządami? Kwantyfikacja ryzyka – twierdzi Monica Landen, CISO firmy Diligent, która twierdzi, że w 2025 r. stanie się ona „najsilniejszym i najbardziej niezawodnym narzędziem do informowania zarządu o ryzyku cybernetycznym”. Landen porównuje kwantyfikację ryzyka w sektorze bezpieczeństwa z oceną ryzyka w branży ubezpieczeniowej: Ciągłe doskonalenie.

„Rok 2025 może być rokiem większej aktywności międzyorganizacyjnej, aby właściwie informować zarząd o zagrożeniach cybernetycznych. Zespoły ds. bezpieczeństwa były w przeszłości izolowane, ale jeśli uda im się powiązać swoje wyzwania i sukcesy z wpływem na klientów, rurociągiem sprzedaży lub rozwojem produktu, bariery te ulegną zniszczeniu, a pozytywny lub negatywny wpływ złego bezpieczeństwa będzie odpowiednio odbił się na zarządzie”. -Landen

Firmy będą potrzebować solidnych ram GRC, aby mieć pewność, że cyberbezpieczeństwo pozostanie kamieniem węgielnym ich ogólnej strategii zarządzania ryzykiem na nowy rok. W 2025 roku cyberbezpieczeństwo musi być priorytetem na wszystkich poziomach organizacji.

Skoncentrowanie się na brakach w umiejętnościach cybernetycznych średniego szczebla

Podnoszenie i przekwalifikowanie to stały problem pracowników umysłowych zajmujących się cyberbezpieczeństwem. Aktualizacje oprogramowania są stale udostępniane, więc pracownicy muszą stale zdobywać nowe stopnie naukowe i certyfikaty, aby nadążyć.

Keatron Evans, wiceprezes ds. strategii sztucznej inteligencji w Infosec Institute, przewiduje, że braki w kwalifikacjach – i wiedza niezbędna do ich uzupełnienia – będą w 2025 r. ważniejsze niż kiedykolwiek. I nie tylko początkujący pracownicy będą musieli nadrobić zaległości.

„Kiedy mówimy o brakach w umiejętnościach w zakresie cyberbezpieczeństwa, jednym z błędnych stwierdzeń, które ludzie często popełniają, jest przypisywanie tej luki wszystkim rolom na poziomie podstawowym. Jednak w całej branży zdaliśmy sobie sprawę, że niektóre z największych luk wynikają z zapotrzebowania na doświadczonych talentów z kilkuletnim doświadczeniem na koncie […]” –Evans

W branży prawdopodobnie nastąpi wzrost liczby umiejętności praktycznych lub możliwych do sprawdzenia, a także wciągającego uczenia się potrzebnego do ich nauczania, mówi Evans, który dodaje, że „częścią wyzwania jest poziom stopni naukowych i certyfikatów wymaganych w branży”. Pracownicy będą musieli zrównoważyć ryzyko wypalenia zawodowego z koniecznością zdobywania nowych certyfikatów.

Ofer Regev idzie o krok dalej w dyskusji na temat luk w umiejętnościach, przewidując, że przyspieszy to wykorzystanie lekkich narzędzi automatyzacji: „W 2025 r. globalny niedobór wykwalifikowanych specjalistów IT pogłębi się” – mówi Regev – „zmuszając przedsiębiorstwa do stosowania lżejszych, zautomatyzowanych narzędzi. Złożone rozwiązania wymagające rozległej wiedzy specjalistycznej utracą popularność na rzecz technologii bezagentowych, które szybko upraszczają wdrażanie i zapewniają wartość”.

Nie jest to oczywiście jedyna prognoza związana z wykorzystaniem technologii AI.

Narzędzia AI będą w większym stopniu integrowane z protokołami bezpieczeństwa firm

Eksperci ds. cyberbezpieczeństwa, z którymi konsultowaliśmy się na potrzeby tego artykułu, mieli wiele różnych przewidywań związanych ze sztuczną inteligencją, ale ogólny trend można podsumować w następujący sposób: sztuczna inteligencja będzie nadal znajdować miejsce w całej branży. Sztuczna inteligencja od dawna jest rozwiązaniem w poszukiwaniu problemów, a w 2025 r. może zacząć je znajdować.

Jak twierdzi Keatron Evans, może to wyglądać na rosnące, oddolne zrozumienie technologii:

„Osoby, które poważnie myślą o utrzymaniu przewagi w cyberprzestrzeni, muszą zbliżyć się do technologii, a nie tylko do jej wykorzystania przez konsumentów. Przyszły rok będzie rokiem prawdziwego propagowania zrozumienia leżącej u podstaw technologii i jej działania – dzięki temu pracownicy będą wykładniczo bardziej wartościowi”. -Evansa

Według raportu firmy Kiteworks zajmującej się ochroną danych na rok 2025, może to wyglądać na wzmocnienie zagrożeń dla bezpieczeństwa danych, jakie spowoduje poleganie sztucznej inteligencji na szkoleniu w zakresie danych.

„W 2025 r. bardziej rygorystyczne przepisy globalne będą wymagać przejrzystości i odpowiedzialności za przetwarzanie danych AI, a organizacjom grożą kary za niewłaściwe obchodzenie się z wrażliwymi treściami. Aby walczyć z tymi zagrożeniami, firmy muszą wdrożyć solidne ramy zarządzania sztuczną inteligencją, nadać priorytet technologiom chroniącym prywatność i przyjąć praktyki opracowywania bezpiecznych modeli, aby zapewnić zgodność i chronić zaufanie”. -Kiteworks

Sztuczna inteligencja będzie także zasilać automatyzację tworzenia kopii zapasowych, mówi Sebastian Straub, główny architekt rozwiązań w N2W.

„W 2025 r. zapoczątkowane zostaną systemy tworzenia kopii zapasowych przy niemal zerowej interwencji administracyjnej. Sztuczna inteligencja nauczy się skomplikowanych wzorców wykorzystania danych, wymagań dotyczących zgodności i potrzeb organizacyjnych, stając się proaktywnym ekspertem w zakresie zarządzania danymi, samodzielnie określającym, czego i kiedy należy utworzyć kopię zapasową, w tym zgodności ze standardami zgodności, takimi jak RODO, HIPAA czy PCI DSS. -Straub

Jednak adaptacja AI to żmudna walka. Staub ostrzega również, że sztuczna inteligencja „nie jest złotym środkiem” i nadal będziemy świadkami wielu „niefortunnych naruszeń zaufania i zgodności”, gdy firmy będą miały trudności z włączeniem sztucznej inteligencji do swoich systemów w roku 2025 i później.

Uważaj na niedostatecznie zarządzane aktywa

Tim Matthews, dyrektor ds. marketingu w CyCognito, argumentuje, że odnotujemy wzrost liczby naruszeń danych spowodowanych „nieznanymi, źle zarządzanymi zasobami”. Matthews przewiduje, że 70% naruszeń w 2025 r. będzie miało związek z tymi aktywami, co oznacza wzrost w porównaniu z 60%, które obecnie szacuje wielu analityków.

„Będzie to napędzane przez rozszerzające się i coraz bardziej złożone powierzchnie ataków, migracje do chmury, zależności od stron trzecich i infrastrukturę do pracy zdalnej. Organizacje będą zmuszone przejść od reaktywnych zabezpieczeń ukierunkowanych na konkretne zasoby na podejście oparte na wykrywaniu, które koncentruje się na elementach spoza znanych zasobów”. -Matthews

Pokrywa się to z szerszymi przewidywaniami dotyczącymi trendów technologicznych, które zebraliśmy od specjalistów z branży technologicznej z wielu innych branż: w 2025 r. potrzebne będą bardziej proaktywne, a nie tylko reaktywne środki.

Ostatecznie historia pozostaje taka sama w przypadku branży bezpieczeństwa online. Niezależnie od tego, czy narzędzia i protokoły to funkcje sztucznej inteligencji, architektura zerowego ryzyka czy kwantyfikacja ryzyka, wszystko to oznacza ciągły wyścig zbrojeń w zakresie podnoszenia kwalifikacji pomiędzy złymi aktorami a profesjonalistami w dziedzinie cyberbezpieczeństwa, bez prawdziwego końca.