Cybersécurité : 3 étapes pour les industries biotechnologiques et pharmaceutiques

Cet article a été publié à l'origine sur bio-itworld.com.

En ce qui concerne les besoins et les politiques en matière de cybersécurité, les industries biotechnologiques et pharmaceutiques doivent sécuriser et protéger leurs actifs les plus précieux, comme n'importe quelle autre industrie. Ce qui les rend uniques, cependant, c'est que si la protection des données d'une entreprise est importante pour tout secteur d'activité, ces informations (c.-à-d. les données de l'entreprise, les données de l'entreprise, les données de l'entreprise, etc. La recherche) est la société biotechnologique ou pharmaceutique en question - c'est sa raison d'être et la base de tout ce qu'elle fait.

Par rapport à d'autres secteurs très numérisés et étroitement réglementés comme les services financiers, les secteurs biotechnologique et pharmaceutique ont toujours consacré beaucoup moins d'argent aux mesures et aux politiques de cybersécurité. Mais pourquoi ? Les entreprises biotechnologiques et pharmaceutiques sont toutes dans le même bateau lorsqu'il s'agit d'allouer des ressources à la recherche et aux projets qui les aideront à atteindre leurs objectifs, à se conformer aux réglementations, etc. Le véritable défi réside dans le fait que cela nécessite des sacrifices ou des compromis avec d'autres domaines de l'entreprise. La cybersécurité est souvent - mais pas toujours - l'une de ces choses qui ne reçoivent pas l'attention ou les ressources dont elles ont besoin pour être efficaces.

Les politiques et mesures actuelles en matière de cybersécurité sont principalement axées sur la sécurisation des défenses périmétriques telles que les pare-feu, qui ne protègent que l'"extérieur" de votre réseau. Mais avec les progrès technologiques et la persévérance des acteurs malveillants à trouver de nouvelles voies d'accès, la protection du périmètre n'est plus suffisante. Il faut donc changer d'état d'esprit et passer à l'idée de "supposer l'existence d'une brèche", ce qui signifie simplement qu'il ne s'agit pas de savoir "si" mais "quand" ces acteurs s'introduiront dans un réseau. La vraie question est donc : "Que faites-vous une fois qu'ils sont à l'intérieur de votre réseau?".

C'est là que la technologie de micro-segmentation entre en jeu. La micro-segmentation est devenue une nouvelle façon d'envisager la cybersécurité. Imaginez votre réseau et votre centre de données comme un sous-marin : lorsque la coque d'un sous-marin est endommagée, les portes étanches situées de part et d'autre de la section sont scellées, ce qui limite l'écoulement de l'eau. Cela permet au sous-marin de continuer à fonctionner au lieu de couler. La micro-segmentation permet d'obtenir le même effet sur le réseau d'une organisation. Il sépare les actifs de grande valeur de votre réseau (les joyaux de la couronne) des zones de faible valeur (d'où partiront les intrus potentiels). La micro-segmentation empêche les brèches de se propager et fournit une base pour la cyber-résilience si et quand un intrus se faufile au-delà de ces défenses périmétriques.

L'un des plus grands défis est de savoir par où commencer une fois que l'on s'est rendu compte qu'il s'agissait d'une "violation présumée" :

Étape 1 : Collaborer pour identifier vos "joyaux de la couronne"

Bien que cela semble évident, la classification de vos actifs de grande valeur peut varier en fonction des parties prenantes au sein d'une organisation. Si une organisation n'a pas entrepris cet effort, la première étape consiste à réunir les principales parties prenantes (c'est-à-dire CISO, Risque et Gouvernance, principales parties prenantes, Juridique et Finance) dans le but de cartographier le risque des actifs et des applications au sein de l'infrastructure de l'entreprise. Une bonne façon de procéder est d'examiner le cadre de cybersécurité (CSF) du NIST afin de procéder à une évaluation des risques.

Étape 2 : Identifier la meilleure façon de les protéger ou de les contrôler

La protection d'une application qui est un joyau de la couronne se fait à plusieurs niveaux. Il s'agit notamment de la gestion des identités et des accès (IAM), de la gestion des vulnérabilités et de la segmentation. S'assurer que votre organisation dispose d'un bon programme IAM qui utilise l'authentification à deux facteurs est un bon début. Veiller à ce que les vulnérabilités des joyaux de la couronne soient gérées de manière agressive est une autre victoire. Cependant, il peut s'avérer particulièrement difficile de corriger les vulnérabilités, car les joyaux de la couronne peuvent ne pas pouvoir être corrigés pour un certain nombre de raisons (par ex. gel de la production, pas de correctif disponible, ou le correctif casserait les applications). La segmentation est un autre contrôle vers lequel se tournent de nombreuses organisations et qui s'inscrit dans le cadre du NIST CSF ; elle garantit que les joyaux de la couronne ne sont accessibles qu'à partir de dispositifs autorisés et que ces dispositifs n'ont accès qu'à des processus d'entreprise spécifiques sur les applications critiques.

Étape 3 : Évaluer les solutions potentielles qui conviennent à l'organisation

La détermination d'un ensemble de solutions pour résoudre le problème de la segmentation commence par l'identification des principales parties prenantes susceptibles d'être sollicitées à différents moments du parcours (par ex. Ingénierie de la sécurité, ingénierie des réseaux, équipes chargées des applications, etc.) L'équipe doit se réunir pour examiner les solutions disponibles sur le marché. Il est fortement recommandé à l'équipe d'examiner différentes approches de différents fournisseurs. Il est également important de se rappeler que la segmentation est un marché émergent. Traditionnellement, les organisations utilisaient des pare-feu, des sous-réseaux et des zones pour protéger les applications, mais comme le paysage des menaces a changé et que l'informatique a évolué, de nouvelles solutions ont vu le jour pour résoudre le problème de la segmentation des applications dans les centres de données existants et les nuages publics.

Les entreprises biotechnologiques et pharmaceutiques doivent planifier à l'avance et réfléchir dès maintenant à la manière de répondre aux menaces futures. La question n'est pas de savoir si, mais quand une organisation ou un individu sera victime d'une intrusion dans le cyberespace. Si vous en êtes convaincu, vous avez franchi l'étape cognitive la plus importante. Vous êtes prêt à "assumer la violation" et à renforcer votre résilience pour résister à une cyberattaque.