Branża farmaceutyczna wciąż przechodzi cyfrową transformację. Nadal jednak zostało wiele do zrobienia w kwestii bezpieczeństwa, bo niezwykle wrażliwe dane posiadane przez firmy farmaceutyczne są szczególnie narażone na kradzież podczas cyberataków. Zagrożenie czyha nie tylko ze strony hakerów szukających okazji na zarobek, ale również obcych agencji państwowych, a także sponsorowanej przez nie konkurencji.
W lipcu prywatne i rządowe agencje zajmujące się cyberbezpieczeństwem w Wielkiej Brytanii i Kanadzie opublikowały wspólne ostrzeżenie o atakach na ośrodki badawcze, które pracują nad szczepionką przeciwko SARS-CoV-2. Istnieje obawa, że takie ataki mogą spowodować opóźnienia w dostarczaniu szczepionek, co narazi kolejne miliony osób na zakażenie się wirusem.
W Stanach Zjednoczonych kilka agencji rządowych połączyło siły, aby zapewnić ochronę firmom pracującym nad szczepionką lub odpowiadającym za jej produkcję i dystrybucję. Działania te podjęto, ponieważ jest jasne, jak poważne konsekwencje może nieść naruszenie bezpieczeństwa w branży farmaceutycznej – skażone leki, wykradziona własność intelektualna, konieczność powtarzania badań klinicznych, utrata zaufania, przestoje, procesy sądowe czy utracone dochody.
Siedem wyzwań w ochronie firm farmaceutycznych
Aby skutecznie odpierać ataki na sektor farmaceutyczny, trzeba zrozumieć największe zagrożenia, z którymi się on zmaga. W przeszłości to wymogi i regulacje prawne (np. amerykańska ustawa HIPAA) wyznaczały kierunek rozwoju strategii cyberbezpieczeństwa w branży farmaceutycznej. Jednak w 2020 roku liderzy firm z tego sektora zdają sobie sprawę, że takie podejście nie jest wystarczające. Wciąż dochodzi do naruszeń danych, więc potrzeba podjęcia dodatkowych działań jest oczywista. Eksperci Fortinet wskazują najważniejsze wyzwania, którym obecnie trzeba stawić czoła.
- Wiele możliwych sposobów ataku: Integracja urządzeń internetu rzeczy (IoT) oraz przemysłowego internetu rzeczy (IIOT), która w efekcie doprowadziła do konwergencji technik informatycznych (IT) i operacyjnych (OT), wpłynęła też na znaczne zwiększenie liczby potencjalnych źródeł i celów ataku. Przyczyniają się do tego również inne wdrożenia w sieciach firm farmaceutycznych: migracja do chmury, rozwój telemedycyny, coraz większa liczba urządzeń końcowych oraz masowe przechodzenie na pracę zdalną.
- Coraz bardziej złożona sieć: Przez lata, aby spełniać konkretne wymagania dotyczące bezpieczeństwa, firmy farmaceutyczne dobierały kolejne produkty ochronne. Dzisiaj większość z nich musi przez to zarządzać bardzo złożonymi systemami, co powoduje m.in. naturalne powstawanie luk w strategii zabezpieczeń.
- Rozproszone sieci i przejęcia: Strategia rozwoju zakładająca przejmowanie innych firm może generować wyzwania w zakresie bezpieczeństwa. Przejmowane firmy nie zawsze posiadają odpowiednią lub łatwą do zintegrowania infrastrukturę zabezpieczeń. Działania obejmujące łączenie się z rozwiniętą już siecią cyfrową muszą więc uwzględniać najlepsze praktyki w zakresie cyberbezpieczeństwa. W trakcie pracy placówki medycznej rutynowo przeglądane są i przesyłane informacje stanowiące własność intelektualną, a także wrażliwe cyfrowe dane o zdrowiu pacjentów (np. biorących udział w testach nowych leków) i operacyjne. Ze względu na stosowane rozproszone systemy, przedsiębiorstwa farmaceutyczne mają trudności z zapewnieniem kontroli nad danymi i pełnego wglądu w stan ich bezpieczeństwa, audytem praw dostępu i raportowaniem zgodności w swoich sieciach.
- Ograniczony dostęp do ekspertów: Globalny niedobór specjalistów ds. cyberbezpieczeństwa przekracza obecnie 4 miliony. Aby zaspokoić to zapotrzebowanie, ich liczba powinna rosnąć o 145% rocznie. Obecnie firmy farmaceutyczne mogą podejmować strategiczne działania w kwestii przyciągania i zatrzymywania najlepszych specjalistów w dziedzinie cyberbezpieczeństwa. Jednak w przewidywalnej przyszłości może zabraknąć osób posiadających takie umiejętności, co utrudni i zwiększy koszty obsadzania nowych stanowisk.
- Zagrożenia wewnętrzne: Firmy farmaceutyczne są też narażone na ryzyko związane z wewnętrznymi zagrożeniami. Spowodowane przez nie szkody mogą być trudne do wykrycia, ponieważ obejmują szeroki zakres zachowań i motywów działania. Zagrożenie może stanowić niezadowolony pracownik usiłujący zakłócić działalność firmy, członek personelu, który chce zarobić dodatkowe pieniądze na sprzedaży danych klientów lub współpracownik o dobrych intencjach, który po prostu omija reguły polityki firmy, aby zaoszczędzić czas.
- Wymagania dotyczące zgodności z prawem: Firmy farmaceutyczne tradycyjnie koncentrowały swoje wysiłki w zakresie bezpieczeństwa na zapewnieniu zgodności z wymaganiami prawnymi, jednak większość ma problemy z wykazaniem jej w pełni. Integralność danych jest ważnym nowym wymogiem, na który trzeba zwrócić uwagę w miarę postępującej cyfryzacji.
- Konwergencja IT/OT oraz starzejące się środowiska OT: Nietrudno trafić na starsze oprogramowanie i sprzęt w firmach zajmujących się produkcją farmaceutyczną. Prawie nigdy ich urządzenia i systemy tworzące środowisko technik operacyjnych (OT) nie były tworzone z myślą o bezpieczeństwie i wymagały izolacji od internetu.
Potrzeba kompleksowego podejścia
Firmy farmaceutyczne stoją przed wieloma, stale ewoluującymi wyzwaniami w zakresie cyberbezpieczeństwa. Zamiast próbować rozwiązywać każdy problem oddzielnie, lepszą strategią jest przyjęcie kompleksowego podejścia do bezpieczeństwa sieci. Zapewnia ono automatyzację procesów ochronnych, wgląd w stan pracy sieci oraz szybką reakcję na występujące w niej zagrożenia.