2024网络安全成熟度报告

2024版 我们CEO的一句话 今天，在为我们的国防工业基地（DIB）和美国关键基础设施（CI）服务的中小型企业（SMB）中，有很多创新。他们的发明，想法和技术支持了先进的国防系统，这些系统使我们的国家在国内和世界各地保持安全。 实现网络安全成熟度模型认证(CMMC)合规性的公司无疑将成为更困难的目标-但这仅仅是开始。 防范这些网络攻击的方法是与CMMC建立合理的安全基线，然后以强化检测响应的思维和不懈的操作来缩小攻击面，不断监控威胁，并随时准备调查和响应。 But are SMBs today actively taking these steps? To better understand how SMBs protect themselves, we investigated 581 ITpractors at companies with 101 to 250 employees, and for who a significan portion of their business comes from defensecontrac 他们目前的网络安全状态，他们最大的安全挑战，他们与外包服务提供商合作的经验，以及他们目前对CMMC合规性的立场。为了帮助确保可操作的结果，我们忽略了受访者对他们的答案表示信心不足的所有数据，在我们的结果中留下了423个总的回复。 我们希望这些信息将帮助您了解行业目前在安全性方面的立场，并帮助您与同行进行基准测试。 克里斯·彼得森 RADICL联合创始人兼首席执行官 关键发现 以下是关于中小企业网络安全状况的九项重要发现。 1-61%的受访者表示，网络安全是一个非常高或非常高的优先事项。75％的人有三个或更多的人致力于安全，67％的人认为他们的安全技能水平很高或很高。 2-61%的人报告说，在威胁调查中，有低到中的效能。此外，56%的人报告在威胁监控方面的低至中等效能，54%的人报告在威胁搜寻方面的低至中等效能。 3-59%的人需要一周或更长时间才能检测到环境中的威胁。此外，64%的人表示需要两天或更长时间才能对勒索软件或漏洞做出回应，39%的人对遭遇勒索软件攻击并不感到惊讶。 4-46%的受访者表示，与网络安全相关的事件使他们的公司损失了100, 001。其中，12%的人报告费用超过500, 001美元。 5-60%的人在过去一年有四个或更多的用户帐户或电子邮件被泄露。此外，59%的人在过去一年中有四个或更多的终点受损。 6-最大的安全挑战是实施和维护对法规的遵守，包括CMMC。他们还面临着保护敏感数据免受泄露和泄露以及管理有限的预算和资源以实现全面的网络安全措施的挑战。 7-外包提供商面临的最大挑战是对安全问题和事件的响应时间不足。其他挑战包括对合规性管理的支持有限，尤其是CMMC，以及交付的整体价值感觉太昂贵。 8-他们在新的服务提供商中寻找的顶级功能包括对DIB要求有深刻理解的人。他们还在寻找具有高质量和全面服务的提供商。 9-81%已经启动了CMMC合规流程。然而，只有13%符合1级，11%符合2级。 CONTENTS 第W1部分:当前网络安全计划06 第W2部分:外包服务提供商19 W3部分:网络安全成熟度模型认证(CMMC)准备30 W4部分:未来战略和优先事项34 第W5部分:DIB中SMB领导者的可操作Takeaway39 我们调查的人简介： 方法学和参与人口学 为了提供围绕这些fidigs的更大背景，这里有更多关于我们调查的人和使用的方法的细节。从11月开始2023年1月1日，我们调查了581名公司的IT从业人员，这些公司的业务中有很大一部分来自与政府机构的国防合同。其中有158人表示，根据他们对IT环境和当今安全能力的了解，他们对调查的回答“不确定”或“不确定”。这些受访者被删除，剩下423名受访者。 您的业务中大约有多少百分比与国防合同直接相关？ 第W1部分 当前网络安全计划 在本节中,我们的受访者向我们介绍了网络安全计划的现状和面临的最大挑战。 61％的人说网络安全是非常高或高优先级 明年加强网络安全措施是一个主要优先事项，25%的人说这是一个非常高的优先事项，36%的人说这是一个高优先事项。23%的人说这是一个中等优先事项，只有9%的人说这是低的，7%的人说这是非常低的。 44%的人说他们的领导团队每月开会讨论安全问题，35%的人每季度开会讨论网络安全问题。7%的人每年开会，5%的人从未开会。9%的人不确定频率。 75％的人有三个或更多的时间来确保安全 38%的人有四个或更多的人在安全上花费至少四分之一的时间，而37%的人有三个人这样做。12%的人有两个人在安全上花费至少四分之一的时间，6%的人有一个人，只有7%的人没有任何人。 67%的比率他们的安全技能水平非常高或很高 在对内部安全团队的技能水平进行评级时，有28％的人对他们的技能水平评价很高，而39％的人对他们的技能水平评价很高。18％的人对他们的安全团队的技能水平评价为中等，8％的人对他们的技能水平评价为低，只有6％的人对他们的技能水平评价为很低。 59％的人愿意花一周或更长时间来检测他们环境中的威胁 受访者能够多快地检测到绕过防御系统并在其IT环境中运行的威胁？14%的受访者会在一小时内检测到，22%的受访者会在一天内检测到。对于32%，需要一周时间，对于13%，需要一个月时间。5%的人会在一年内检测到它，9%的人会在一年多的时间内检测到它。最后，5%的人不确定需要多少时间。 64％的人表示会花两天或更长的时间来回应随机MWARE或BREACH 如果受访者发生勒索软件或数据泄露事件，他们能够多快进行全面调查并制定全面的事件响应计划？对于15％，需要一个小时，对于另外15％，需要一天。29%的人说需要两到三天，21%的人说需要四到六天。对于14％，需要一周或更长时间。最后，5%的人不确定需要多长时间。 59％的人在过去的一年中有四个或更多的终点 只有5%的人说他们的端点在过去12个月中没有发生过病毒或恶意软件泄露。6%的人有一个端点被泄露，26%的人有2到3个端点，27%的人有4到10个端点。23%的人说他们有11到19个端点，9%的人有20个或更多。最后，4%的人不确定他们有多少个泄露。 60％的人在过去一年中有四个或更多的用户帐户或电子邮件 只有7%的人说他们的用户帐户或电子邮件地址在过去12个月中没有被入侵。5%的人有一个帐户被入侵，24%的人有两到三个帐户，26%的人有四个到十个帐户。23%的人说他们有11到19个帐户，11%的人有20个或更多帐户。最后，4%的人不确定他们有多少妥协。 39％的人不会感到惊讶地经历了随机的攻击 我们的受访者说，他们会惊讶地遇到以下情况-换句话说，他们知道它们可能存在安全漏洞或安全漏洞，从而导致： 直接相关，他们会惊讶地体验到以下情况——换句话说，他们认为他们的安全能力在这些领域是安全的，所以妥协的可能性被认为是低的： 总体而言，受访者表示，他们缺乏抵御勒索软件、密码泄露和数据盗窃的能力，而他们有能力抵御端点病毒或恶意软件、运营中断和业务电子邮件泄露。 几乎有一半说与网络安全相关的事故已经造成了损失公司100K或更多 从经济角度来看，与网络安全相关的事件在损失时间，生产力或现金方面的成本是多少？对于6％来说，这没什么。但是，8％的人说不到10, 000美元；19％的人说$10, 001至$50, 000；21％的人说50,001美元至100,000美元；17%的人说100,001美元至250,000美元；17%的人说250,001美元至500,000美元；12%的人说超过500,001美元。 总体而言，46%的受访者在网络安全相关事件中经历了100, 001美元或更多的成本。 从经济角度来看，您估计与网络安全相关的事件在损失时间、生产力或现金方面给您的公司造成了多少损失？ 网络安全的六大挑战 当谈到管理和执行有效的网络安全计划时，他们面临的最大挑战今天是（他们选择了所有适用的）： 他们管理内部、外部或合并的主要功能 在内部管理安全功能，外包，同时执行或不执行两者时，以下是受访者今天正在做的事情： 他们也没有执行威胁搜寻(9%)、威胁监控(8%并列)、漏洞管理(8%并列)和安全意识培训(8%并列)。 安全程序功能有效性 当谈到他们在执行各种安全程序功能方面的有效性时，受访者表示Thefollowing: 其他高效率领域包括安全意识培训(31%并列)、威胁调查(31%并列)、和日志分析(25%)。 中等效能的其他领域包括事件响应（35％），威胁监控（33％并列）和漏洞管理（33％并列）。 其他低效率领域包括事件响应（20%并列）、威胁调查（20%并列）、安全意识培训（20%并列）和威胁搜寻（18%）。 大多数受访者表示，他们的公司将时间，精力和资源集中在网络安全上。许多人在内部管理安全功能，将其外包或两者兼而有之： SUMMARY 61%的受访者表示，网络安全是一个非常高或非常高的优先事项。 75％的人有三个或更多的时间致力于安全。 67%的人认为他们的安全技能水平很高或很高。 44％的人表示，领导层每月开会讨论网络安全问题。 检测、事件响应和补偿中的速度问题。 在加快检测和事件响应以及减少妥协方面仍有进展。每周需要59%或更长时间才能检测到他们环境中的威胁，64%的人需要两天或更长时间才能对勒索软件或漏洞做出回应。在过去的一年中，有59％的人在四个或更多的端点中进行了妥协，而在过去的一年中，有60％的人在四个或更多的用户帐户或电子邮件中进行了妥协。 网络安全是困难的。中小企业需要帮助。当他们独自在家里管理网络安全时，他们正在苦苦挣扎，只有在与外传合作伙伴分享工作时，他们才报告高度自信。 他们在管理威胁搜寻，事件响应，漏洞管理和威胁监控方面提出了“高效能”。报告高效能的受访者也主要使用内部和外包功能的组合进行报告，而报告低效能的受访者主要在内部管理功能。 面临包括CMMC、突破、预算和损失在内的延期挑战 他们今天面临的最大挑战包括实施和保持对包括CMMC在内的法规的遵守；保护敏感数据免受泄露和泄露；以及管理有限的预算和资源以进行全面的网络安全措施。近一半（46％）的人表示，与网络安全相关的事件使他们的公司损失了100, 001美元或更多。 网络安全卫生优先级与网络安全有效性之间的相关性很小 在分析有关响应的四个问题-检测时间，对数据泄露的事件响应，端点泄露和用户帐户泄露- “做或有X ”的组织与看到更快的响应和更少的妥协之间没有直接关联。例如： IT预算 2.1 M + IT预算：在一个月内进行检测；在1天内进行事件响应；4 - 10个端点受损；20 +个帐户受损（计算的最大部分） < 100k IT预算：一周内检测；1天内事件响应；2 - 3个端点受到攻击，0个端点受到攻击；11 - 19个帐户受到攻击（最大的细分） 网络安全的优先级 非常高：一天内检测；一小时内的事件响应；2 - 3个端点受损；2 - 3个帐户受损（计数最大的段） 非常低：一小时内检测；一小时内的事件响应；1个端点受损；11 - 19个帐户受损（计数最大段） 人们致力于安全的时间： 4或更多人：一天内检测；2 - 3天内的事件响应；11 - 19个端点受损；11 - 19个帐户受损（计数最大的分段） 没有人或一个人：在一年以上的时间内检测到；事件响应在4 - 6天内；2 - 3个端点受损；11 - 19个帐户受损（最大的部分计数） 室内团队的技巧： 低技能：一小时内检测；一小时内的事件响应；4 - 10个端点受损；没有帐户受损（计数最大的段） 高技能：一天内检测；一小时内事件响应；2 - 3个端点受损；2 - 3个帐户受损（计数最大段） 领导会议时： 每月：在一天内检测；在2 - 3天内响应事件；2