Jak niewykryty phishing stwarza ryzyko naruszenia danych
Prime Valley Healthcare, Inc. to średniej wielkości system opieki zdrowotnej non-profit, powstały w wyniku integracji dwóch systemów opieki zdrowotnej w 2013 roku.
Obecnie Prime Valley obejmuje 36 szpitali, 550 placówek opieki nad pacjentami, 4500 łóżek, ponad 5300 aktywnych lekarzy i 30 000 pracowników. W ciągu ostatnich dwóch lat roczny przychód wzrósł o 700 milionów dolarów, a dochód operacyjny wzrósł ponad dwukrotnie do 500 milionów dolarów.
W ostatnich latach reforma opieki zdrowotnej w Stanach Zjednoczonych koncentrowała się na kontrolowaniu szybko rosnących kosztów opieki zdrowotnej i zwiększaniu dostępu finansowego do opieki zdrowotnej.
Świadczenie opieki zdrowotnej nie zostało w takim samym stopniu dotknięte rewolucją, która cyfrowo przekształciła prawie każdy inny aspekt społeczeństwa, chociaż ostatnio nastąpił wzrost praktyk telezdrowia podczas pandemii Covid-19.
Jedną z przeszkód w szerszym wykorzystaniu technologii komunikacyjnych i informacyjnych jest brak krajowych standardów w zakresie przechwytywania, przechowywania, komunikacji, przetwarzania i prezentacji informacji zdrowotnych. Innym jest obawa o prywatność i poufność dokumentacji medycznej pacjentów (informacji o stanie zdrowia pacjentów) oraz kwestie bezpieczeństwa danych.
Meghan Compton, CISO w Prime Valley Healthcare, Inc. przeglądała poranne raporty z oceny ryzyka infrastruktury IT, gdy zadzwonił Alex, członek jej zespołu ds. bezpieczeństwa. Alex miał oko na konto online doktora Frotha. Jest on nowym lekarzem, który właśnie dołączył do sieci lekarzy w Prime Valley. Wynik ryzyka dr Frotha wzrastał w ciągu ostatniego miesiąca, w tym wielokrotne logowania na jego konto z różnych biur i aktywność z Europy o dziwnych porach dnia.
Podczas gdy zespół ds. bezpieczeństwa monitorował ocenę ryzyka dr Thomasa Frotha, odkrył, że rośnie kolejna ocena ryzyka, tym razem dla szefa działu fuzji i przejęć, Roya Smitha. Jest to ten sam adres IP, który był powiązany z Dr. Froth, który jest również powiązany z kontem Roya Smitha.
Wygląda na to, że Prime Valley dołączyło do niefortunnego trendu naruszeń spowodowanych niewykrytym atakiem phishingowym.
Ze względu na rosnącą ocenę ryzyka, Prime Valley musiała powiadomić prezesa i dyrektora generalnego oraz wdrożyć dochodzenie w sprawie zagrożenia. Zespół Meghan jest pod coraz większą presją, aby dokładnie określić, co się stało i upewnić się, że dane pacjentów nie zostały naruszone.
Tydzień później Alex coś znalazł. Alex przedstawia Meghan kilka kluczowych wniosków ze swojej analizy przy użyciu IBM QRadar Advisor z Watsonem. Wyśledził atak wstecz do starszego oprogramowania, które było używane przez sieć lekarzy. Atakujący byli w sieci lekarzy 3 miesiące przed sfinalizowaniem przejęcia przez Prime Valley Healthcare, Inc. Atakujący dostali się do sieci lekarzy za pośrednictwem wiadomości na Facebooku.
Zespół ds. fuzji i przejęć musiał się tak spieszyć, że przeoczył upewnienie się, że sieć jest bezpieczna przed podłączeniem kont do sieci korporacyjnej Prime Valley. Korzystając z IBM X-Force Exchange do przeprowadzenia analizy zagrożeń, łowca zagrożeń w zespole Meghan zidentyfikował wzorzec z Bałkanów odpowiedzialny za inne ataki na amerykański system opieki zdrowotnej.
Co to jest cyberbezpieczeństwo?
Zbyt wiele zdarzeń. Zbyt wiele fałszywych alarmów. Zbyt wiele systemów do śledzenia zagrożeń od źródła do szkody. I niewystarczająca wiedza specjalistyczna, aby zarządzać wszystkimi tymi danymi i utrzymać zespół przed wrogiem. W rzeczywistości analitycy potrzebują pomocy ze strony sztucznej inteligencji (AI).
Sztuczna inteligencja i uczenie maszynowe ułatwiają i przyspieszają znalezienie pierwotnej przyczyny i łańcucha zdarzeń obejmujących zaawansowane trwałe zagrożenia i podstępne działania wewnętrzne.
Skala i złożoność cyberataków stale rośnie. Jednocześnie budżety IT są ograniczone, a zapotrzebowanie na talenty w dziedzinie bezpieczeństwa po prostu przewyższa popyt. Nowoczesne centrum operacji bezpieczeństwa (SOC), czy to na miejscu, czy wirtualne, musi wdrożyć kombinację technologii i ludzi, aby wypełnić lukę między atakami a działaniami naprawczymi.
Dzięki odpowiedniemu procesowi można uzyskać wyraźny wgląd w działania związane z infrastrukturą w całym przedsiębiorstwie, w połączeniu z możliwością dynamicznego reagowania w celu ochrony przed zaawansowanymi, uporczywymi i oportunistycznymi zagrożeniami, niezależnie od tego, czy pochodzą one z zewnątrz, czy wewnątrz organizacji.
