サイバーセキュリティ:バイオテクノロジーおよび製薬業界のための3つのステップ

この記事はもともと bio-itworld.com.

サイバーセキュリティのニーズとポリシーに関しては、バイオテクノロジー業界と製薬業界は、他の業界と同様に、最も貴重な資産を保護する必要があります。ただし、それらをユニークなものにしているのは、企業のデータを保護することはどの業界にとっても重要ですが、この情報 (つまり、研究)は、問題のバイオテクノロジー企業や製薬会社であり、彼らの生命線であり、彼らのすべての活動の基盤です。

金融サービスなど、高度にデジタル化され、規制が厳しい他の業界と比較すると、バイオテクノロジーや製薬は歴史的にサイバーセキュリティ対策やポリシーへの支出がはるかに少なかった。しかし、それはなぜでしょうか?バイオテクノロジーと製薬会社は、目的の達成や規制の遵守などに役立つ研究やプロジェクト分野にリソースを割り当てることに関しては、すべて同じ状況にあります。本当の課題は、これにはビジネスの他の分野との犠牲やトレードオフが必要であることです。サイバーセキュリティは、常にではありませんが、効果を発揮するために必要な注目やリソースが得られないことが多いものです。

現在のサイバーセキュリティポリシーと対策は、主にファイアウォールなどの境界防御の確保に重点を置いており、ネットワークの「外部」のみを保護する。しかし、テクノロジーの進歩と、悪意のある攻撃者が新しい侵入方法を見つけようと粘り強く努力しているため、境界を保護するだけではもはや十分ではありません。そのためには、「侵害を想定する」という考え方に変える必要があり、これは単に、これらの攻撃者がネットワークにハッキングするのは「もし」ではなく「いつ」であることを意味します。したがって、本当の問題は、「彼らがあなたのネットワーク内に入ったら何をしますか?」になります。

ここでマイクロセグメンテーション技術が活躍します。マイクロセグメンテーションは、サイバーセキュリティについて考える新しい方法となっています。ネットワークとデータセンターを潜水艦のようなものと考えてください:潜水艦の船体が損傷すると、セクションの両側の水密ドアが密閉されるため、水の流れが制限されます。これにより、潜水艦は沈没する代わりに機能し続けることができます。マイクロセグメンテーションにより、組織のネットワークでも同じ効果が得られます。ネットワーク内の価値の高い資産 (至宝) と価値の低い領域 (侵入者になる可能性のある領域) を分離します。マイクロセグメンテーションは、侵害の拡大を防ぎ、侵入者が境界防御をすり抜けた場合にサイバーレジリエンスの基盤を提供します。

最大の課題の 1 つは、「侵害を想定する」という考え方が認識されたらどこから始めればよいかを知ることなので、最初の 3 つのステップを共有したいと思います。

ステップ 1: 協力して「王冠の宝石」を特定する

一見当たり前のことのように見えますが、高価値資産の分類は、組織内の利害関係者によって異なる場合があります。組織がこの取り組みを行っていない場合、最初のステップは主要な利害関係者 (つまり、CISO、リスクとガバナンス、主要なビジネス利害関係者、法務、財務)を組織し、会社のインフラストラクチャ内の資産とアプリケーションのリスクをマッピングすることを目的としています。これを行う良い方法は、リスク評価を実行できるように NIST サイバーセキュリティ フレームワーク (CSF) を調べることです。

ステップ 2: 保護または制御するための最適な方法を特定する

クラウンジュエルアプリケーションを保護するには、多くの層があります。これらには、ID およびアクセス管理 (IAM)、脆弱性管理、セグメンテーションが含まれます。組織に 2 要素認証を使用する優れた IAM プログラムがあることを確認することは、良いスタートです。王冠の宝石の脆弱性を積極的に管理することは、もう一つの勝利です。ただし、王冠の宝石はさまざまな理由でパッチを適用できない可能性があるため、脆弱性のパッチ適用は特に困難になる可能性があります (例:本番環境が凍結された場合、利用可能なパッチがない、またはパッチによってアプリケーションが中断されます)。セグメンテーションは、多くの組織がNIST CSFに適合する別のコントロールに目を向けています。これにより、Crown Jewels は許可されたデバイスからのみアクセスでき、それらのデバイスは重要なアプリケーションの特定のビジネス プロセスにのみアクセスできるようになります。

ステップ 3: 組織に適した潜在的なソリューションを評価する

セグメンテーションの問題に対処するための一連のソリューションを決定するには、ジャーニーのさまざまな時点で呼び出される可能性のある主要な利害関係者を特定することから始まります (例:セキュリティエンジニアリング、ネットワークエンジニアリング、アプリケーションチームなど)。チームは集まって、市場で利用可能なソリューションを検討する必要があります。チームは、さまざまなベンダーのさまざまなアプローチを検討することを強くお勧めします。セグメンテーションは新興市場であることを覚えておくことも重要です。従来、組織はファイアウォール、サブネット、ゾーンを使用してアプリケーションを保護していましたが、脅威の状況が変化し、コンピューティングが進化したため、既存のデータセンターやパブリッククラウドにあるアプリケーションをセグメント化する問題を解決するための新しいソリューションが進化しました。

バイオテクノロジー企業や製薬企業は、将来の脅威にどのように対応するかについて、事前に計画を立て、今すぐ考える必要があります。組織や個人がサイバースペースで侵害されるかどうかではなく、いつ侵害されるかが問題です。それを信じるなら、あなたは最も重要な認知的ステップを踏み出したことになります。「侵害を想定」し、サイバー攻撃に耐えるためのレジリエンスを構築する準備ができています。