Cómo el phishing no detectado crea un riesgo de violación de datos
Prime Valley Healthcare, Inc. es un sistema sanitario de tamaño medio y sin ánimo de lucro, resultado de la integración en 2013 de dos sistemas sanitarios.
En la actualidad, Prime Valley cuenta con 36 hospitales, 550 centros de atención al paciente, 4.500 camas, más de 5.300 médicos en activo y 30.000 empleados. En los dos últimos años, los ingresos anuales aumentaron en 700 millones de dólares y los ingresos de explotación se duplicaron con creces hasta alcanzar los 500 millones.
En los últimos años, la reforma sanitaria en Estados Unidos se ha centrado en controlar el rápido aumento de los costes sanitarios y aumentar el acceso financiero a la asistencia sanitaria.
La prestación de asistencia sanitaria no se ha visto afectada en la misma medida por la revolución que ha transformado digitalmente casi todos los demás aspectos de la sociedad, aunque se ha producido un aumento reciente de las prácticas de telesalud durante la pandemia de Covid-19.
Uno de los impedimentos para un mayor uso de las tecnologías de la comunicación y la información es la ausencia de normas nacionales para la captura, almacenamiento, comunicación, procesamiento y presentación de la información sanitaria. Otro es la preocupación por la privacidad y confidencialidad de los historiales médicos de los pacientes (información sanitaria de los pacientes), y los problemas de seguridad de los datos.
Meghan Compton, CISO de Prime Valley Healthcare, Inc., estaba revisando los informes de evaluación de riesgos de la infraestructura informática de la mañana cuando recibió una llamada de Alex, un miembro de su equipo de seguridad. Alex ha estado vigilando la cuenta en línea del Dr. Froth. Es un médico nuevo que acaba de incorporarse a la red de médicos de Prime Valley. La puntuación de riesgo del Dr. Froth ha ido aumentando durante el último mes, incluyendo múltiples inicios de sesión en su cuenta desde diferentes oficinas y ha habido actividad desde Europa a horas extrañas del día.
Mientras el equipo de seguridad ha estado vigilando la puntuación de riesgo del Dr. Thomas Froth, encuentran otra puntuación de riesgo en aumento, esta vez para el Jefe de Fusiones y Adquisiciones, Roy Smith. Es la misma dirección IP que estaba vinculada al Dr. Froth la que también está vinculada a la cuenta de Roy Smith.
Parece que Prime Valley se ha unido a la desafortunada tendencia de las brechas causadas por un ataque de phishing no detectado.
Debido a la creciente evaluación de riesgos, Prime Valley ha tenido que notificarlo al Presidente y Director General y poner en marcha una investigación de amenazas. Aumenta la presión sobre el equipo de Meghan para que identifique exactamente qué ha ocurrido y garantice que no se han vulnerado los datos de los pacientes.
Una semana después Alex encontró algo. Alex presenta a Meghan algunos hallazgos clave de su análisis utilizando IBM QRadar Advisor con Watson. Rastreó el ataque hasta el software heredado que utilizaba la red de médicos. Los atacantes estaban en la red de médicos 3 meses antes de que Prime Valley Healthcare, Inc. finalizara la adquisición. Los atacantes entraron en la red de médicos a través de un mensaje de Facebook.
El equipo de fusiones y adquisiciones debía de tener tanta prisa que pasó por alto asegurarse de que la red era segura antes de conectar las cuentas a la red corporativa de Prime Valley. Utilizando IBM X-Force Exchange para realizar una investigación de inteligencia de amenazas, el cazador de amenazas del equipo de Meghan identificó un patrón procedente de los Balcanes con responsabilidad en otros ataques al sistema sanitario estadounidense.
¿Qué es la ciberseguridad?
Demasiados eventos. Demasiadas falsas alarmas. Demasiados sistemas para rastrear las amenazas desde la raíz hasta el daño. Y no hay conocimientos suficientes para gestionar todos estos datos y mantener a un equipo por delante del enemigo. La realidad es que los analistas necesitan la ayuda de la inteligencia artificial (IA).
La IA y el aprendizaje automático facilitan y agilizan la búsqueda de la causa raíz y la cadena de acontecimientos que componen las amenazas persistentes avanzadas y las actividades internas insidiosas.
Los ciberataques siguen avanzando en escala y complejidad. Al mismo tiempo, los presupuestos de TI son escasos y la demanda de profesionales de la seguridad es simplemente superior. El centro de operaciones de seguridad (SOC) moderno, ya sea in situ o virtual, necesita desplegar una combinación de tecnologías y personas para cerrar la brecha entre los ataques y la reparación.
Con el proceso adecuado puede obtener una visibilidad clara de las actividades de infraestructura de toda la empresa, junto con la capacidad de responder dinámicamente para ayudar a protegerse contra las amenazas avanzadas, persistentes y oportunistas, tanto si proceden del exterior como del interior de la organización.
