Несмотря на усиленное внимание к проблемам безопасности на предприятиях такого уровня, итоги оказались неутешительными.
В среднем только одна из четырех ИТ-систем смогла противостоять попыткам вторжения во внутреннюю сеть. Другими словами, потенциальный злоумышленник имеет очень высокие шансы получить доступ к ресурсам среднестатистической корпорации. Более того, в 15% протестированных систем были обнаружены следы реального взлома.
Для преодоления защиты периметра злоумышленнику, как правило, достаточно осуществить эксплуатацию трех различных уязвимостей, причем 37% атак могут быть реализованы усилиями взломщиков низкой квалификации.
Почти в половине случаев проникновение во внутреннюю сеть основывается на использовании недостатков парольной защиты — на подборе словарных паролей, в том числе для привилегированных учетных записей. В каждой третьей системе доступ во внутреннюю сеть был получен через уязвимости веб-приложений. Многие атаки оказываются возможными из-за доступности интерфейсов управления серверами и сетевым оборудованием из внешних сетей.
Другой существенной проблемой стал низкий уровень осведомленности пользователей в вопросах информационной безопасности. В каждой третьей компании он был оценен как крайне низкий. Более 30% пользователей переходили фишинг-ссылкам и вводили конфиденциальные учетные данные. Социальная инженерия также может быть опасным оружием в руках злоумышленника.