Abbott investiga accessos no autoritzats en sistemes de diagnòstic oncològic

Què va passar

Segons Reuters, Abbott va informar d'una investigació per accessos no autoritzats a un nombre limitat de sistemes interns del seu negoci de diagnòstic oncològic, així com per una possible bretxa en un portal especialitzat.

La companyia no va fer públic el mètode d'accés ni el volum d'informació que es va poder veure afectat. El cas combina dos vectors habituals: sistemes interns concrets i un portal extern que dona servei a usuaris de fora de l'organització.

Què ensenya a una empresa mitjana

Els portals per a clients, pacients, distribuïdors o col·laboradors són còmodes i necessaris, però estan exposats a internet per definició. Quan es dissenyen pensant només en la facilitat d'ús, acaben amb contrasenyes simples, sessions que no caduquen i connexions directes a bases de dades internes.

Per a una empresa de Catalunya que ofereix una àrea privada a clients o proveïdors, la lliçó és tractar aquest portal com una porta d'entrada més: amb autenticació forta, separat dels sistemes interns i vigilat. Que l'incident afecti un nombre limitat de sistemes sol dependre de decisions d'arquitectura preses molt abans.

Què convé revisar

Quatre punts concrets per a qualsevol portal extern:

• Autenticació multifactor per als usuaris amb accés a informació sensible i per als comptes d'administració.
• Separació entre el portal i els sistemes interns, amb accés només a les dades imprescindibles.
• Caducitat de sessions i revisió periòdica d'usuaris externs inactius o que ja no haurien de tenir accés.
• Registres d'accés conservats i revisats per detectar descàrregues o consultes anòmales.

Preguntes freqüents

Per què els portals externs són un objectiu freqüent?

Perquè són accessibles des d'internet, els fan servir persones alienes a l'organització i sovint connecten amb dades internes, cosa que els converteix en una via d'entrada atractiva.

N'hi ha prou amb una contrasenya robusta en un portal de clients?

Per a informació sensible no n'hi ha prou. L'autenticació multifactor redueix molt el risc que una credencial robada permeti l'accés.

Com es limita l'abast d'un accés no autoritzat?

Amb segmentació, permisos mínims per usuari i registres que permetin detectar i tallar l'accés ràpidament, de manera que un compromís no doni pas a la resta de sistemes.