דו״ח חדש: ארגונים מנהלים בממוצע 421 ממשקי API שונים

חברת F5 פרסמה את דו”ח אסטרטגיית היישומים שלה לשנת 2024, המצביע על פערים מדאיגים באבטחת ממשקי תכנות יישומים (API) ברחבי התעשייה. הדו”ח מדגיש כי הגנה לקויה על API מותירה אותם חשופים לאיומים חמורים, שעלולים לסכן את אבטחת הארגונים והפעילות העסקית שלהם, במיוחד כאשר API הופכים לעמוד השדרה של הטרנספורמציה הדיגיטלית המודרנית.

מהדו”ח עולה כי פחות מ-70% מה-API הפונים ללקוחות מאובטחים באמצעות פרוטוקול HTTPS (Hypertext Transfer Protocol Secure), מה שאומר שכשליש מהם נותרים ללא הגנה כלל. לשם השוואה, כיום מעל 90% מאתרי האינטרנט מאובטחים באמצעות HTTPS, כתוצאה ממעבר נרחב לתקשורת מאובטחת בעשור האחרון. הפער באבטחת ה-API מדאיג במיוחד, לאור העובדה ש-API הפכו קריטיים לקישור בין יישומים ושירותים ברחבי הארגונים.

לורי מקוויטי, מהנדסת בכירה ב-F5, הדגישה את חשיבות הנושא ואמרה: “API הם עמוד השדרה של מאמצי הטרנספורמציה הדיגיטלית ומחברים בין שירותים ויישומים קריטיים. עם זאת, כפי שמצביע הדו”ח, ארגונים רבים אינם עומדים בקצב עם הדרישות לאבטחת נכסים חשובים אלה, במיוחד מול איומים חדשים שמחמירה בינה מלאכותית.”

הדו”ח מצביע גם על כך שארגונים מנהלים בממוצע 421 API שונים, כאשר רובם פועלים בסביבות ענן ציבורי. למרות הצמיחה המהירה, חלק גדול מה-API, במיוחד אלו הפונים ללקוחות, נשארים ללא הגנה מספקת. כמו כן, מתברר שרוב ארגוני האבטחה מתמקדים בעיקר בהגנה על תנועת API נכנסת, ומזניחים את ההגנה על תנועה יוצאת – נקודה פגיעה משמעותית כאשר ה-API מחוברים לשירותי בינה מלאכותית כמו OpenAI.

הדו”ח חושף גם חלוקת אחריות פנימית לא אחידה בנוגע לאבטחת API. כ-53% מהארגונים מנהלים את האבטחה במסגרת אבטחת היישומים הכללית, בעוד 31% עושים זאת דרך פלטפורמות ניהול ואינטגרציה של API. חלוקה זו עלולה להוביל לפערים בכיסוי ולהתנהלות אבטחתית לא עקבית.

פתרונות אבטחה ניתנים לתכנות נחשבים למבוקשים במיוחד, כאשר משיבים דירגו את אופציה זו כבעלת הערך הגבוה ביותר לאבטחת API. צורך זה מדגיש את החשיבות של בדיקה ותגובה בזמן אמת לאיומים על תנועת ה-API.

הדו”ח ממליץ לארגונים לאמץ פתרונות אבטחה מקיפים שמכסים את מחזור החיים המלא של API, החל מהעיצוב ועד הפריסה. שילוב של אבטחת API בשלבי הפיתוח והתפעול יאפשר לארגונים להגן בצורה טובה יותר על הנכסים הדיגיטליים שלהם ולהתמודד עם מגוון האיומים ההולך וגדל.

“API הם חלק בלתי נפרד מהעידן הדיגיטלי המתקדם ומהשימוש הגובר בבינה מלאכותית, אך יש לאבטח אותם על מנת להבטיח שהשירותים הדיגיטליים יוכלו לפעול בבטחה וביעילות,” סיכמה מקוויטי. “הדו”ח שלנו הוא קריאת השכמה לארגונים לבחון מחדש את אסטרטגיות האבטחה שלהם ולנקוט בצעדים הדרושים לשמירה על נתונים ושירותים קריטיים.”

הדו”ח המלא זמין להורדה, ומבוסס על סקר שנתי של F5 ומחקר מעמיק עם מקבלי החלטות בכירים מארגונים גלובליים, בכל הגדלים ובמגוון תעשיות, כולל טכנולוגיה, פיננסים, קמעונאות ובריאות.