Szyfrowanie nie powstrzymałoby naruszenia danych Anthem

W wyniku niedawnego naruszenia danych w firmie ubezpieczeniowej Anthem przestępcy uzyskali dostęp do danych osobowych i numerów ubezpieczenia społecznego ponad 80 milionów osób — to największa jak dotąd kradzież danych dotyczących opieki zdrowotnej. Dane medyczne i dotyczące płatności nie zostały naruszone, ale nazwiska, adresy, daty urodzin i numery ubezpieczenia społecznego, do których uzyskano dostęp, mogą być wykorzystywane przez przestępców do popełniania różnego rodzaju oszustw.

Wiele osób było zaskoczonych, słysząc, że te wrażliwe dane nie zostały zaszyfrowane i że federalny mandat do zabezpieczania danych związanych ze zdrowiem, HIPAA, tego nie wymaga. W rzeczywistości HIPAA tylko mocno zachęca do szyfrowania. Organizacje, które zdecydują się nie używać szyfrowania, powinny udokumentować powody, dlaczego nie i wdrożyć równoważny alternatywny środek, jeśli jest to uzasadnione i właściwe. Niejasność tego wymogu jest sednem pozwów zbiorowych i innych pozwów wnoszonych przeciwko Anthem.

Ale nawet gdyby Anthem używał szyfrowania, dane nadal mogły zostać naruszone. Szyfrowanie to tylko jeden z elementów arsenału, który organizacje muszą wdrożyć, aby zabezpieczyć poufne dane. Szyfrowanie doskonale nadaje się do zabezpieczania danych w trakcie przesyłania i w spoczynku, ale jeśli poświadczenia i klucze zostaną naruszone, w niewielkim stopniu chroni dane.

Większym problemem w przypadku wielu naruszeń jest to, że organizacje nie wdrożyły odpowiednio kontroli bezpieczeństwa dostępu do danych. Muszą mieć zabezpieczenia na wypadek, gdyby atakujący mogli ominąć zabezpieczenia obwodowe i złamać poświadczenia na poziomie administratora.

To właśnie stało się z Anthem, która twierdzi, że atakujący uzyskali dostęp do co najmniej pięć kompletów poświadczeń pracowników .

Cyberprzestępcom niezwykle łatwo jest znaleźć informacje, których potrzebują, aby narazić na szwank niemal każdą organizację. Szybkie spojrzenie na oferty pracy Anthem i profile na LinkedIn wystarczyło, aby zidentyfikować oprogramowanie, którego Anthem używa do swojej hurtowni danych.

Stamtąd mogłem łatwo zidentyfikować ponad 100 osób, takich jak architekci systemów i administratorzy baz danych, którzy mieliby uprzywilejowany dostęp do hurtowni danych zawierającej dziesiątki milionów poufnych danych osobowych. Była to prawdopodobnie pierwsza rzecz, którą osoby atakujące Anthem zbadały przed przeprowadzeniem kampanii phishingowej w celu rozpowszechniania złośliwego oprogramowania wykorzystywanego do przechwytywania danych uwierzytelniających pracowników.

Atakujący, który może włamać się do systemu za pomocą poświadczeń użytkownika z dostępem do hurtowni danych na poziomie administratora, może z łatwością ukraść więcej poświadczeń, znaleźć informacje przynoszące zyski i wyprowadzić niezaszyfrowane dane.

Co zatem powinny zrobić organizacje, aby zabezpieczyć wrażliwe dane klientów? Wyrafinowani napastnicy z wystarczającą ilością czasu i zasobów mogą dostać się do każdy w końcu organizacja. Cyberprzestępcy są w pełni świadomi ciągłych kompromisów, jakie organizacje dokonują, aby zrównoważyć bezpieczeństwo z wydajnością operacyjną, i wielokrotnie udowadniali, że są w stanie wykorzystać nawet drobne słabości bezpieczeństwa.

Anthem nie będzie ostatnią organizacją opieki zdrowotnej, która dozna poważnego naruszenia. Podobnie jak w przypadku sprzedaży detalicznej, celem ataków będzie wiele organizacji, ponieważ słabości zabezpieczeń są często wspólne dla całej branży. Organizacje opieki zdrowotnej muszą ponownie ocenić swoje praktyki bezpieczeństwa w świetle naruszenia Anthem, aby upewnić się, że mają odpowiednie zabezpieczenia w celu ochrony swoich sieci.

Ken Westin jest starszym analitykiem bezpieczeństwa specjalizującym się w cyberprzestępczości i analizie zagrożeń dla firmy zajmującej się bezpieczeństwem komputerowym Tripwire Inc .

ukryć