Come il phishing non rilevato crea un rischio di violazione dei dati
Prime Valley Healthcare, Inc. è un sistema sanitario di medie dimensioni, senza scopo di lucro, nato dall'integrazione di due sistemi sanitari nel 2013.
Oggi Prime Valley comprende 36 ospedali, 550 siti di cura per i pazienti, 4500 posti letto, più di 5.300 medici attivi e 30.000 dipendenti. Negli ultimi due anni, il fatturato annuale è aumentato di 700 milioni di dollari e l'utile operativo è più che raddoppiato, raggiungendo i 500 milioni di dollari.
Negli ultimi anni, la riforma sanitaria negli Stati Uniti si è concentrata sul controllo del rapido aumento dei costi sanitari e sull'aumento dell'accesso finanziario all'assistenza sanitaria.
L'erogazione dell'assistenza sanitaria non è stata toccata nella stessa misura dalla rivoluzione che ha trasformato digitalmente quasi tutti gli altri aspetti della società, anche se di recente si è registrato un aumento delle pratiche di teleassistenza durante la pandemia di Covid-19.
Un ostacolo a un maggiore utilizzo delle tecnologie di comunicazione e informazione è l'assenza di standard nazionali per l'acquisizione, l'archiviazione, la comunicazione, l'elaborazione e la presentazione delle informazioni sanitarie. Un altro ostacolo è la preoccupazione per la privacy e la riservatezza delle cartelle cliniche dei pazienti (informazioni sulla salute dei pazienti) e per i problemi di sicurezza dei dati.
Meghan Compton, CISO della Prime Valley Healthcare, Inc. stava esaminando i rapporti di valutazione dei rischi dell'infrastruttura IT del mattino quando è arrivata una chiamata da Alex, un membro del suo team di sicurezza. Alex stava tenendo d'occhio l'account online del dottor Froth. Si tratta di un nuovo medico che si è appena unito alla rete di medici della Prime Valley. Il punteggio di rischio del dottor Froth è aumentato nell'ultimo mese, con accessi multipli al suo account da uffici diversi e attività dall'Europa a orari strani.
Mentre il team di sicurezza monitora il punteggio di rischio del Dr. Thomas Froth, scopre che un altro punteggio di rischio è in aumento, questa volta per il responsabile di Mergers&Acquisitions, Roy Smith. Lo stesso indirizzo IP collegato al Dr. Froth è collegato anche all'account di Roy Smith.
Sembra che Prime Valley si sia unita alla sfortunata tendenza delle violazioni causate da un attacco di phishing non rilevato.
A causa della crescente valutazione del rischio, Prime Valley ha dovuto informare il presidente e l'amministratore delegato e avviare un'indagine sulle minacce. Il team di Meghan è sempre più sotto pressione per identificare esattamente cosa è successo e garantire che i dati dei pazienti non siano stati violati.
Una settimana dopo Alex ha trovato qualcosa. Alex presenta a Meghan alcuni risultati chiave della sua analisi utilizzando IBM QRadar Advisor con Watson. Ha rintracciato l'attacco nel software legacy utilizzato dalla rete di medici. Gli aggressori sono entrati nella rete di medici 3 mesi prima che Prime Valley Healthcare, Inc. concludesse l'acquisizione. Gli aggressori sono entrati nella rete di medici attraverso un messaggio su Facebook.
Il team M&A deve aver avuto una tale fretta da trascurare di assicurarsi che la rete fosse sicura prima di collegare gli account alla rete aziendale di Prime Valley. Utilizzando IBM X-Force Exchange per eseguire un'indagine di intelligence sulle minacce, il cacciatore di minacce del team di Meghan ha identificato uno schema proveniente dai Balcani, responsabile di altri attacchi al sistema sanitario statunitense.
Che cos'è la sicurezza informatica?
Troppi eventi. Troppi falsi allarmi. Troppi sistemi per tracciare le minacce dalla radice al danno. E non c'è abbastanza esperienza per gestire tutti questi dati e mantenere un team in vantaggio sul nemico. La realtà è che gli analisti hanno bisogno dell'aiuto dell'intelligenza artificiale (AI).
L'intelligenza artificiale e l'apprendimento automatico rendono più facile e veloce l'individuazione della causa principale e della catena di eventi che comprende le minacce persistenti avanzate e le attività insidiose degli insider.
Gli attacchi informatici continuano a crescere in scala e complessità. Allo stesso tempo, i budget IT sono ridotti e i talenti della sicurezza sono semplicemente superiori alla domanda. Il moderno centro operativo di sicurezza (SOC), sia esso in loco o virtuale, deve impiegare una combinazione di tecnologie e persone per colmare il divario tra gli attacchi e la bonifica.
Con il giusto processo è possibile ottenere una chiara visibilità sulle attività dell'infrastruttura aziendale, unita alla capacità di rispondere in modo dinamico per contribuire alla protezione contro le minacce avanzate, persistenti e opportunistiche, sia che provengano dall'esterno che dall'interno dell'organizzazione.
