Гимн – да, которая Anthem – снова взломан. Примерно через месяц после того, как осажденная медицинская страховая компания согласилась раскошелиться на рекордные 115 миллионов долларов Чтобы урегулировать коллективный иск, связанный с масштабным взломом в 2015 году, он снова был взломан, точнее, один из его сторонних поставщиков. Взлом Anthem в 2017 году был связан с… около 18,000 XNUMX участников Medicare чья личная информация была украдена злонамеренным инсайдером, работающим в LaunchPoint Ventures, фирме по координации услуг страхования Medicare. Новости здравоохранения отчеты:
LaunchPoint обнаружил 12 апреля, что сотрудник, вероятно, воровал и злоупотреблял данными Anthem и не-Anthem. Сотрудник отправил файл, содержащий информацию об участниках Anthem, на свой личный адрес 8 июля 2016 года.
Файл содержал номера Medicare ID, включая номера социального страхования, номера Health Plan ID, имена и даты регистрации. Чиновники заявили, что были включены ограниченные фамилии и даты рождения.
Выводы из последнего нарушения Anthem
Взлом Anthem — последний случай, подчеркивающий необходимость управления киберрисками для всей экосистемы предприятия. Собственные системы Anthem не были взломаны; взломан был их сторонний поставщик. Другое недавние жертвы нарушений со стороны третьих лиц К ним относятся Netflix, Национальный комитет Республиканской партии, Trump Hotels, Verizon и Google (которая пострадала от взлома у стороннего поставщика одного из своих сторонних поставщиков).
Поскольку организации передают на аутсорсинг все больше и больше ИТ-услуг, от расчета заработной платы до выставления счетов и веб-разработки, хакеры все чаще нацеливаются на этих поставщиков услуг. По оценкам, 63% всех корпоративных нарушений Можно отследить связь с сторонним поставщиком. Хакеры могут атаковать именно этих поставщиков услуг, поскольку многие из них — небольшие компании, чья кибербезопасность может быть не столь надежной, как у национальных или транснациональных корпораций, чьи данные им действительно нужны.
Знай своих поставщиков
Опасность утечки данных третьих лиц является одной из причин, по которой Министерство обороны США требует, чтобы не только его основные подрядчики, но и все фирмы, с которыми они заключают субподрядные контракты на выполнение работ для Министерства обороны, были соответствует стандарту безопасности DFARS к концу 2017.
Частным организациям следует брать пример с DoD и вести бизнес только с теми поставщиками ИТ-услуг, которые выпустили отчеты AICPA SOC / SSAE16 и/или имеют важные сертификаты по ИТ-безопасности, такие как NIST, ISO или FedRAMP. Эти организации доказали свою приверженность высочайшим уровням безопасности данных, пройдя строгие аудиты безопасности, которые требуют от них соблюдения определенных процедур и мер контроля и изложения их в письменном виде.
Аналогичным образом, поставщики ИТ-услуг должны получить соответствующие сертификаты безопасности данных и продемонстрировать своим клиентам наличие у них надежных средств контроля безопасности. Континуум GRC IT Audit Machine (ITAM) позволяет организациям легко добиваться и поддерживать соответствие требованиям с помощью модулей самостоятельной помощи, охватывающих многочисленные стандарты соответствия, включая FedRAMP, SSAE 16, COBIT, ISO 27001, ISO 27002, ISO 27005, SOX, FFIEC, PCI, GLBA, HIPAA, CMS, NERC CIP, DFARS и другие федеральные и государственные предписания.
Не рассчитывайте переложить ответственность на других
Тот факт, что нарушение произошло по вине вашего поставщика, не означает, что ваша организация будет защищена от ответственности. 300 миллионов долларов Целевое нарушение, в результате которого и генеральный директор, и директор по информационной безопасности потеряли свои должности, был задействован сторонний поставщик точек продаж.
Масштаб потенциальной ответственности только что расширился: вскоре после того, как появились новости о нарушении Anthem, Апелляционный суд США вынес решение против медицинской страховой компании CareFirst, что позволило продолжить рассмотрение коллективного иска, поданного клиентами, пострадавшими от утечки данных в 2014 году. Ожидается, что это решение будет иметь широкие последствия, позволяя клиентам не только медицинских страховых компаний, но и любых других компаний подавать в суд в случае кражи их персональных данных.
Обеспечение надлежащего управления, управления рисками, соответствия требованиям и кибербезопасности во всей экосистеме вашего предприятия занимает гораздо меньше времени и стоит гораздо меньше денег, чем устранение последствий после нарушения.
Эксперты по кибербезопасности Lazarus Alliance обладают глубокими знаниями в этой области, постоянно отслеживают новейшие угрозы информационной безопасности и стремятся защитить организации любого размера от нарушений безопасности. Наши комплексные услуги по оценке рисков и программное обеспечение Continuum GRC RegTech помогут защитить вашу организацию от утечек данных, атак программ-вымогателей и других киберугроз.
Lazarus Alliance — это проактивная кибербезопасность®. Позвоните по номеру 1-888-896-7580, чтобы обсудить потребности вашей организации в области кибербезопасности и узнать, как мы можем помочь ей соблюдать правила кибербезопасности, обеспечивать соответствие требованиям и защищать ваши системы.
