Кібербезпека бізнесу: діємо на випередження

Проблема кібербезпеки бізнесу набула актуальності після того, як атака хакерів практично зупинила роботу компанії «АНЦ» в онлайні. Щоб обговорити основні питання кібербезпеки, зокрема, щодо атак на платформи ритейлеров, thepharma.media організував інтервʼю з IT-консультантом Олегом Радкевичем.

Кібербезпека бізнесу очима «айтішніка»

Кібербезпеку визначають як заходи, що їх вживають для захисту компʼютера або компʼютерної системи/мережі від несанкціонованого доступу або атак. Як і іншим учасникам бізнесу, «фармі» необхідно освоювати різні аспекти кібербезпеки. Наш співрозмовник пояснив, що сьогодні аптеки та інші учасники фармбізнесу так само піддаються ризику атак програм-вимагачів, як і інші суб’єкти бізнесу.

Олег Радкевич також пояснив, як аптеки зможуть захищати свої організації від атак вимагачів – найкраще діяти проактивно. Тобто працювати на випередження: ефективний захист починається із запобігання, що означає впровадження ефективніших методів кібербезпеки.

Кібербезпека і зниження ризиків швидко стали одними з головних пріоритетів для компаній, що прагнуть до цифрової трансформації. Ці компанії збирають великі обсяги даних і зазвичай мають доступ до конфіденційної інформації, включаючи медичні дані, патенти на ліки та відомості, повʼязані з фармацевтичними технологіями. Це означає, що «дірки» в мережі організацій можуть мати серйозні наслідки, такі як крадіжка інтелектуальної власності та даних клінічних випробувань, шкода репутації, втрата доходу і навіть судові розгляди.

Чому кіберзлочинці переключилися на фармгалузь?

Як і в багатьох інших галузях, фармкомпанії переживають стрімку цифрову трансформацію, і в їхніх мережах збирається й обробляється більше даних, ніж будь-коли раніше, що робить ці організації помітнішими цілями для кібератак.

Дані, вкрадені у медичних та фармацевтичних компаній, надзвичайно цінні, оскільки хакери можуть продавати (і не тільки в демонізованому даркнеті) особисту інформацію про пацієнтів (клієнтів), включаючи історію покупок, адреси та телефони, їхню фінансову інформацію, які згодом можуть бути використані для крадіжки особистих даних.

В якості альтернативи певні «незасвічені» дані можна запропонувати викупити назад, наприклад, такі як фінансова звітність або результати випробувань, чи клінічні дані та ін.

Знову винен COVID-19

При цьому, за словами експерта, хакерські атаки почастішали під час локдаунів, і це повʼязано з тим, що багато людей працюють з дому на незахищених пристроях або зʼєднаннях.

Через швидкість переходу на нову схему роботи деякі компанії не змогли вчасно видати своїм співробітникам безпечні/налаштовані пристрої для безпечної роботи з дому, і замість цього співробітники використовували свої персональні компʼютери для доступу до робочих файлів і програмного забезпечення. Таким чином, перемикання на віддалену роботу розширило зону потенційних векторів атак і створило більше можливостей для хакерів.

Сектор роздрібної торгівлі робитиметься все привабливішим для кіберзлочинців, які прагнуть вкрасти гроші, товари і великі обсяги ідентифікованої особистої інформації. Для великих організацій це не так катастрофічно, а ось для малих підприємств, що працюють із нижчою маржою, злом може бути особливо руйнівним. Хоча і перші, і другі можуть і повинні вжити всіх можливих превентивних заходів.

Причому кіберзлочинці стають усе кмітливішими: за даними другої половини 2020 року, 76% атак на роздрібні мережі були кваліфіковані як витончені, що означає, що їх було важче виявити, і вони збільшували ймовірність великого злому. А це зростання на 35% порівняно з попереднім роком. Для порівняння: у 2015 році 43% кібератак були спрямовані на малий бізнес. При цьому у 78% власників малого бізнесу немає плану реагування на злом.

Взагалі, одна з проблем кібербезпеки в малому бізнесі – брак часу і ресурсів для вирішення цього питання. Власники малого бізнесу, на жаль, зайняті питаннями продажів, оренди, взаємодій з держорганами… У них немає вільного часу, щоб зосередитися на цій темі.

Втім, проблем вистачає і великим компаніям. В контексті кібербезпеки фармацевтична промисловість змушена долати безліч нових проблем і перешкод, які раніше ігнорувалися сектором як такі, що не стосуються галузі.

Тож фармацевтична галузь, без сумніву, відчуває гостру потребу в ефективних програмах для управління кібербезпекою, оскільки неймовірними темпами освоює використання таких ресурсів, як

• незалежні постачальники,
• інструменти автоматизації
• і аутсорсинг,

які, безперечно, підвищують операційну ефективність. Однак ці зміни ніби спонукають нову хвилю кіберзагроз, про які в бізнесі раніше не підозрювали або ж ігнорували їх. Тому компанії, задіяні в фармбізнесі, потребують швидкого створення надійних систем і програм кібербезпеки для захисту конфіденційних даних (своїх і клієнтів) й інтелектуальної власності.

Втім, сучасне і налагоджене «залізо» і «софт» – не єдина зброя, що захищає від кіберзлочинців. Як і в усіх інших аспектах бізнесу, головне – це організація. Тобто порядок. А, отже, і персонал.

«Дірки» в безпеці

Розглянемо найпоширеніші проломи в аптечних мережах і загрози кібербезпеки, які найчастіше стосуються фармацевтичних організацій.

Незалежні постачальники. Для виконання повсякденних операцій і підвищення ефективності багато компаній покладаються на послуги сторонніх постачальників. Якщо який-небудь сторонній постачальник, який працює в загальній екосистемі, зіткнеться з витоком даних, швидше за все, постраждає в операційній діяльності та, ймовірно, зазнає частину репутаційного та фінансового збитку вся організація. Ось чому так важливо забезпечити повну видимість всієї мережі, що дасть змогу постійно відслідковувати надійність кібербезпеки сторонніх постачальників.

Помилка або недбалість персоналу. Людський фактор, тобто співробітники – на будь-яких посадах! – є основною причиною витоку даних практично в усіх галузях. Атаки з використанням методів соціальної інженерії вважають другою за значущістю причиною витоку даних.

До поширених типів кіберзлочинів, у яких використовують людську поведінку для отримання конфіденційної інформації, відносять шантаж/булінг/цькування, пропозиції типу «послуга за послугу». Ось чому навчання співробітників та підвищення обізнаності щодо поширених методів атак мають вирішальне значення для захисту бізнесу від хакерів.

Інтернет речей. Останніми роками в будь-яку галузь активно впроваджується «інтернет речей» (IoT – система контролю обладнання через інтернет), що належить до системи взаємоповʼязаних обчислювальних пристроїв і цифрових машин, які можуть обмінюватися даними і передавати дані по мережі. Це допомагає спростити доступ до важливих документів, бізнес- й особистої інформації, а також використовувати великі дані для відстеження галузевих тенденцій і успішності випробувань. Тобто, з одного боку, це дуже зручно, з іншого – створює унікальні проблеми конфіденційності для галузі. «Інтернет речей» розширює можливості для хакерів отримати доступ до мережі і може збільшити кіберризик організації через додаткові вразливості в системі.

Сценарії зломів

Більшість кібератак на підприємства здійснюють за допомогою фішингу, який визначається як «спроба незаконного збору особистої і фінансової інформації шляхом відправлення повідомлення, яке за всіма ознаками походить від відомої компанії, що користується довірою». Останніми роками частота фішингових атак – шахрайських спроб отримати доступ до важливої інформації, видаючи себе за надійне джерело або обʼєкт, – зростає.

Найпоширенішим типом фішингу, використовуваним зловмисниками, є цільовою фішинг, коли електронний лист націлений на конкретну компанію або окрему людину. Хакери використовують заміну «персонажів», щоб експлуатувати людську неуважність і змусити людей натискати на заражені електронні листи.

І коли системи стають жертвою цільового фішингу, туди запускається програма-вимагач – різновид шкідливого програмного забезпечення, призначеного для блокування доступу до компʼютерної системи доти, поки не буде виплачено бажану суму грошей.

Програми-вимагачі – шкідливий софт, що блокує роботу мережі, компʼютера або окремих файлів і вимагає викуп за відновлення доступу до них. Варто зазначити, що програми-вимагачі навряд чи стануть шукати дані про пацієнтів, натомість вони хочуть перервати операції в системі компанії, щоб отримати викуп від організацій в обмін на вкрадені дані й інтелектуальну власність.

У деяких випадках атаки програм-вимагачів призводили до остаточного закриття організацій. І, як очікується, частота фішингових атак лише зростатиме через збільшення кількості співробітників, що працюють віддалено.

Втім, програми-вимагачі можуть заразити мережу підприємства і без експлуатації «людських слабкостей». У звіті SecurityScorecard зазначено, що коли справа доходить до ефективної кібербезпеки, галузь охорони здоровʼя посідає 13-те місце з 18 зі здоровʼя DNS порівняно з іншими великими галузями промисловості.

Методи захисту

Захистити дані можна і потрібно, підвищивши кібербезпеку компʼютерів. Щоб мінімізувати ризики кіберзагроз, слід зашифрувати свої дані, захистити своє обладнання і використовувати – й оновлювати – антивірусне програмне забезпечення і програмне забезпечення для захисту від шкідливих програм. Будь-якому – навіть найменшому підприємству – потрібен фахівець із кібербезпеки, який регулярно перевіряє бізнес на уразливість в онлайні.

Зважаючи на аналіз випадків зломів, рекомендується вжити посилених заходів безпеки, таких як багатофакторна аутентифікація і обмежений доступ співробітників до непотрібних їм операцій в мережі/системі. Хороший кіберзахист – це не просто купа складного обладнання та софта, це навчена команда, яка зберігає пильність і готова до наступної загрози.

Великі компанії можуть дозволити собі найняти директора з інформаційної безпеки (CISO), хоча це не єдина людина в команді, якій слід зробити своїм пріоритетом кібербезпеку. Кожен співробітник повинен розуміти важливість захисту даних клієнтів і кроки, необхідні для забезпечення надійної безпеки підприємства.

Компанія не може покладатися винятково на свій IT-відділ, безпека – це командні зусилля. Рекомендується проводити освітню роботу зі співробітниками, впровадити надійну програму навчання кібербезпеки. Персонал – одна з найважливіших складових системи безпеки компанії. Це своєрідний брандмауер, що захищає проти низки поширених типів зломів і проникнень, включаючи фішинг і соціальну інженерію.