Ciberseguridad: 3 pasos para las industrias biotecnológica y farmacéutica

Este artículo fue publicado originalmente el bio-itworld.com.

Cuando se trata de necesidades y políticas de ciberseguridad, las industrias biotecnológica y farmacéutica deben cerciorar y proteger sus activos más valiosos como cualquier otra industria. Sin embargo, lo que los hace únicos es que, si bien la protección de los datos de una compañía es importante para cualquier industria, esta información (es decir, investigación) es la compañía biotecnológica o farmacéutica en cuestión: es su alma y es la base de todo lo que hacen.

En comparación con otras industrias altamente digitalizadas y estrictamente reguladas, como los servicios financieros, la biotecnología y la industria farmacéutica históricamente gastaron mucho menos en medidas y políticas de ciberseguridad. Pero, ¿por qué es eso? La biotecnología y la industria farmacéutica están en el mismo barco cuando se trata de asignar recursos a áreas de investigación y proyectos que los ayudarán a cumplir sus objetivos, cumplir con las regulaciones, etc. El verdadero desafío es que esto requiere algunos sacrificios o compensaciones con otras áreas del negocio. La ciberseguridad es a menudo, pero no todo el tiempo, una de esas cosas que no recibe la atención o los recursos que necesita para ser efectiva.

Las políticas y medidas actuales de ciberseguridad se centraron principalmente en cerciorar las defensas perimetrales, como los firewalls, que solo protegen el "exterior" de su red. Pero con los avances en la tecnología y la perseverancia de los actores maliciosos para encontrar nuevas formas de entrar, proteger el perímetro ya no es suficiente. Esto requiere un cambio de mentalidad a una de "asumir la infracción", lo que simplemente significa que no es un "si" sino un "cuándo" que estos actores piratearán una red. Entonces, la verdadera pregunta es "¿Qué haces una vez que están dentro de tu red?"

Aquí es donde entra en juego la tecnología de microsegmentación. La microsegmentación se convirtió en una nueva forma de pensar en la ciberseguridad. Piense en su red y centro de datos como un submarino: cuando el casco de un submarino está dañado, las puertas herméticas a ambos lados de la sección están selladas y, por lo tanto, el flujo de agua es limitado. Esto permite que el submarino continúe funcionando en lugar de hundir. A través de la microsegmentación, se logra el mismo efecto para la red de una organización. Separa los activos de alto valor en su red (las joyas de la corona) de las áreas de bajo valor (desde las cuales comenzarán los posibles intrusos). La microsegmentación evita que las infracciones se propaguen y proporciona una base para la resiliencia cibernética si un intruso se desliza más allá de esas defensas perimetrales.

Uno de los mayores desafíos es saber por dónde empezar una vez que se realiza una mentalidad de "asumir incumplimiento", por lo que quería compartir los primeros tres pasos para que siga su camino:

Paso 1: Colabora para identificar tus "joyas de la corona"

Si bien parece obvio, la clasificación de sus activos de alto valor puede ser diferente según las partes interesadas dentro de una organización. Si una organización no emprendió este esfuerzo, el primer paso es reunir a las partes interesadas clave (p. ej. CISO, Riesgo y Gobernanza, partes interesadas clave del negocio, Legal y Finanzas) con el objetivo de mapear el riesgo de los activos y aplicaciones dentro de la infraestructura de la compañía. Una buena manera de hacerlo es mirar el Marco de Ciberseguridad (CSF) del NIST para que se pueda realizar una evaluación de riesgos.

Paso 2: Identifique la mejor manera de protegerlos o controlarlos

Hay muchas capas para proteger una aplicación de joya de la corona. Estos incluyen la gestión de identidades y accesos (IAM), la gestión de vulnerabilidades y la segmentación. Cerciorar de que su organización tenga un buen programa de IAM que emplee la autenticación de dos factores es un buen comienzo. Garantizar que las vulnerabilidades en las joyas de la corona se gestionen agresivamente es otra victoria. Sin embargo, parchear vulnerabilidades puede ser especialmente difícil porque es posible que las joyas de la corona no se puedan parchear por varias razones (p. ej. congelación de la producción, no hay parche disponible o el parche rompería las aplicaciones). La segmentación es otro control al que muchas organizaciones están recurriendo y que encaja en el CSF del NIST; Garantiza que solo se pueda acceder a Crown Jewels desde dispositivos autorizados y que esos dispositivos solo tengan acceso a procesos comerciales específicos en las aplicaciones críticas.

Paso 3: Evaluar las posibles soluciones adecuadas para la organización

La determinación de un conjunto de soluciones para abordar el problema de la segmentación comienza con la identificación de las partes interesadas clave a las que se puede recurrir en diferentes puntos del viaje (p. ej. Ingeniería de seguridad, ingeniería de redes, equipos de aplicaciones, etc.). El equipo debe reunir para analizar las soluciones disponibles en el mercado. Se recomienda encarecidamente que el equipo busque diferentes enfoques de diferentes proveedores. También es importante recordar que la segmentación es un mercado emergente. Tradicionalmente, las organizaciones solo usaban firewalls, subredes y zonas para proteger las aplicaciones, pero debido a que el panorama de amenazas cambió y la computación evolucionó, las nuevas soluciones evolucionaron para resolver el problema de segmentar las aplicaciones que se encuentran en los centros de datos y nubes públicas existentes.

Las compañías biotecnológicas y farmacéuticas deben planear con anticipación y pensar ahora en cómo responder a futuras amenazas. No es una cuestión de si, sino de cuándo , una organización o un individuo será violado en el ciberespacio. Si crees eso, diste el paso cognitivo más importante. Está preparado para "asumir la infracción" y desarrollar resiliencia para resistir un ataque cibernético.