מהם איומי הסייבר המרכזיים המאיימים על תעשיית התרופות?

מאת: טרוי אמנט, מנהל אבטחת מידע בפורטינט

עם האימוץ הגובר של הטרנספורמציה הדיגיטלית בקרב חברות התרופות, המידע הרגיש ובעל הערך שברשותם נמצא בסיכון רב יותר להוות יעד אטרקטיבי למתקפות סייבר. לפושעי הסייבר יש כיום משאבים טובים יותר והם מסוגלים להשיג את מטרותיהם הזדוניות בקלות רבה יותר מבעבר. בנוסף להאקרים אשר מחפשים רווח כלכלי, חברות התרופות מתמודדות גם עם היכולות המלאות של מדינות או חברות תרופות אחרות המקבלות מימון מהמדינה כדי להוציא לפועל את המתקפות.

יותר מכך, המרוץ האינטנסיבי לאספקת החיסון לוירוס הקורונה לשוק מגביר אף יותר את האיומים הקיימים. בחודש יולי האחרון, סוכנויות אבטחת סייבר בבריטניה ובקנדה פרסמו אזהרה משותפת בנוגע למתקפות המתמקדות במוסדות מחקר ופיתוח חיסון לוירוס הקורונה. הדאגה היא כי מתקפות כאלה עלולות לגרום לעיכובים באספקת החיסונים, מה שיכול לסכן מיליוני בני אדם.

סיכון זה גרם למספר סוכנויות ממשלתיות בארה"ב לאחד כוחות בשלב מוקדם כדי להגן על חברות התרופות אשר מפתחות חיסון או עובדות על הייצור וההפצה שלו. הדבר נעשה מתוך ההבנה הברורה כי ההשלכות של פרצה מוצלחת עלולות להיות חמורות ולכלול דברים כמו זיהום של תרופות, גניבת קניין רוחני, צורך לחזור על ניסויים קליניים, פגיעה במוניטין, זמן השבתה, התדיינות בבית משפט ואובדן הכנסות. כדי להתמודד בהצלחה עם מתקפות המתמקדות בתעשיית התרופות, חשוב להבין מהם האיומים המרכזיים אשר ניצבים בפני תעשייה זו.

צילום: שאטרסטוק

7 אתגרים מרכזיים לאבטחת תעשיית התרופות

באופן מסורתי, דרישות תאימות כמו HIPAA הניעו את אסטרטגיות אבטחת הסייבר בתעשיית התרופות. יחד עם זאת, בשנת 2020, מקבלי ההחלטות בתעשייה הבינו כי גישה זו לבדה אינה מספיקה. בנוסף לכך, ניתן לראות כי פרצות הנתונים בתעשיית התרופות מתרחשות באופן קבוע ולכן, יש צורך לנקוט בפעולה. כדי להגן על עצמה בצורה יעילה, ישנם מספר אתגרים אשר תעשיית התרופות צריכה להתגבר עליהם:

1. נוף איומים הולך וגדל: הודות לשילוב התקני האינטרנט של הדברים (IoT) והאינטרנט התעשייתי של הדברים (IIoT) באמצעות התכנסות בין OT/IT, שטח התקיפה התרחב בצורה משמעותית. מספר חידושים דיגיטליים נוספים כמו המעבר לענן, רפואה מחוברת ורפואה מרחוק, שגשוג של נקודות קצה וזינוק עצום בעבודה מרחוק תורמים גם הם למספר הגדול של יעדי התקיפה הזמינים ברשתות של חברות התרופות.

2. מורכבת גוברת של הרשת: במשך שנים, ארגונים השתמשו בנחישות במוצרי אבטחה נקודתיים אשר היו דרושים כדי לענות על צרכי אבטחה או תאימות מסוימים. כתוצאה מכך, מרבית חברות התרופות ניצבות בפני האתגר של תחזוקת מערכות אבטחה מורכבות מאוד. קיימות מספר בעיות עיקריות בגישה זו מעבר לפערי האבטחה והן:

• צוות ה-IT צריך להיות בעל המיומנויות הדרושות כדי להשתמש בכל מערכות הניהול והדיווח השונות.

• חוסר יכולת איתור והבנה של אירועי אבטחה עקב המחסור בנראות קצה-לקצה.

• לא ניתן לספק תגובה אוטומטית, מהירה ויעילה לאירועים עקב חוסר היכולת של המוצרים לתקשר ביניהם.

• צוותי האבטחה זקוקים ליותר פתרונות משולבים השזורים לתשתית הרשת המאפשרים לארגון להיות גמיש בעת הצמיחה הארגונית והטרנספורמציה הדיגיטלית.

• יש צורך באיסור של משאבים רבים כדי להדגים תאימות.

• חברות מבזבזות משאבי IT על מטלות של ניהול נפרד של כל בקרות האבטחה אשר גוזלות זמן יקר ערך.

3. רשתות ורכישות מבוזרות: אסטרטגיית הצמיחה-לפי-רכישה יכולה ליצור אתגרי אבטחה היות ולפעמים אין לרכישות תשתית אבטחה מתאימה או בעלת אינטגרציה פשוטה. בעת ביצוע רכישות מסוג זה יש לקחת בחשבון את שיטות אבטחת הסייבר הטובות ביותר כחלק מהחיבור לרשת דיגיטלית מורכבת ממילא.

קניין רוחני, מידע אלקטרוני בריאותי מוגן (ePHI) ונתונים תפעוליים רגישים אחרים הם בעלי גישה קבועה ומועברים בקביעות. בשל המערכות המנותקות שלהם, ארגוני התרופות נאבקים עם אתגרים של נראות, בקרת נתונים, ביקורת גישה ודיווח תאימות ברחבי הרשתות שלהם.

4. מחסור במומחי סייבר: המחסור העולמי במומחי אבטחת סייבר עומד כיום על למעלה מ-4 מיליון וכוח העבודה העולמי בתחום אבטחת סייבר צריך לגדול ב-145% באופן שנתי כדי לענות על הדרישה למומחי אבטחת סייבר מיומנים. בעוד כי חברות התרופות יכולות להיות אסטרטגיות בנוגע למשיכה ושימור טאלנטים בתחום אבטחת הסייבר, יהיה קשה למצוא בעתיד הנראה לעין אנשים בעלי המיומנויות הללו, מה שיהפוך את איוש המשרות החדשות לעניין מסובך ויקר.

5. איומים פנימיים: חברות התרופות ניצבות בפני סיכונים המגיעים גם מאיומים פנימיים. נזק ממקורות פנימיים יכול להיות קשה לאיתור היות ואיומים אלו מקיפים טווח רחב של התנהגויות ומניעים. זה יכול להיות עובד ממורמר אשר מנסה לשבש פעולות, חבר צוות שמנסה להרוויח מהצד על ידי מכירה של נתוני לקוחות או קולגה לעבודה ללא כוונות זדון אשר רק עוקף את מדיניות החברה כדי לחסוך זמן.

6. דרישות תאימות: ככל שדרישות הרגולציה מתפתחות והופכות למורכבות יותר, כך גם גובר הקושי של השגת נראות רשת רחבה באופן ידני ואכיפת בקרות האבטחה הדרושות. בנוסף לכך, הדגמת תאימות יכולה לגזול זמן רב, במיוחד כאשר מדובר ברשתות אשר מורכבות ממוצרים נקודתיים שונים שלא חולקים יכולות דיווח.

חברות התרופות מיקדו את מאמצי האבטחה שלהם בעמידה בדרישות התאימות, אך המציאות היא כי רוב הארגונים נאבקים להדגים תאימות מקיפה – כאשר אמינות הנתונים זוהי דרישה חדשה וחשובה שיש להתייחס אליה עם התקדמות הדיגיטליזציה.

7. התכנסות בין IT/OT וסביבות OT ישנות: תוכנות וחומרות ישנות משמשות לרוב בתעשיית ייצור התרופות. כמעט תמיד, מערכות והתקני טכנולוגיה תפעולית (OT) אלו לא נוצרו עם מחשבה על אבטחה והיו תלויות ב-air gap לצורך הפרדה. כאשר חדשנות דיגיטלית ורווחים של מודיעין עסקי מחייבים את רשתות ה-OT להתכנס עם רשתות IT, רשתות ה-OT חשופות לפתע לכל נוף האיומים הרחב. התקדמויות טכנולוגיות אלה מציעות לפושעי הסייבר את ההזדמנות לנצל את נקודות התורפה המגיעות עימן.

תחייה אדריכלית

חברות התרופות מתמודדות עם איומי סייבר רבים אשר מתפתחים ללא הרף וכוללים דרישות תאימות, תוקפים במימון של מדינות ומורכבות רשת גוברת. במקום לנסות ולפתור כל נושא בנפרד, תוכנית טובה יותר היא לנקוט בגישה אדריכלית מקיפה לאבטחת רשת, אשר מספקת את האוטומציה, הנראות והתגובה המהירה לאיומים הדרושות, מציגה בקלות תאימות ומביסה את התוקפים.

למדו עוד אודות החידושים האחרונים לשמירה על חברות התרופות תוך הגנה מפני מתקפות סייבר באמצעות פתרונות אבטחת הסייבר של פורטינט לתחום הבריאות.