Novo Nordisk detecta còpia no autoritzada d'informació des de sistemes interns

Què va passar

Novo Nordisk va informar que actors no autoritzats van copiar informació de sistemes interns, inclosa una quantitat limitada de dades vinculades amb assaigs clínics. Durant la investigació, la companyia va apagar temporalment alguns sistemes com a mesura de contenció, segons el que va recollir Reuters en el seu repàs d'incidents recents.

L'incident s'emmarca en una sèrie d'atacs contra empreses nord-americanes en què l'objectiu va ser extreure informació abans que interrompre l'operativa, un patró habitual quan el valor de les dades supera el del dany causat per una aturada.

Què ensenya a empreses amb dades sensibles o regulades

Quan una organització maneja informació especialment delicada, com la d'assaigs clínics, no tots els sistemes tenen el mateix valor per a un atacant ni exigeixen el mateix nivell de protecció. Saber on resideix cada tipus de dada és el primer pas per decidir on reforçar els controls.

Apagar sistemes de manera preventiva mentre s'investiga, com va fer Novo Nordisk, és una decisió que només es pot prendre amb rapidesa si existeix un procediment previ que indiqui què es pot desconnectar sense aturar tota l'operativa.

Què convé revisar

Mesures que ajuden a limitar i a respondre a una còpia no autoritzada de dades:

• Classificació dels sistemes segons la sensibilitat de la informació que contenen.
• Controls de monitorització que detectin volums anòmals de descàrrega o còpia de dades.
• Pla de contenció que permeti aïllar sistemes concrets sense paralitzar tota l'activitat.
• Procediment de notificació a les persones o entitats afectades per tipus de dada exposada.

Preguntes freqüents

Quin tipus de dades es va veure afectat?

Informació de sistemes interns, inclosa una quantitat limitada relacionada amb assaigs clínics, segons va comunicar la mateixa companyia.

Per què es van apagar sistemes durant la investigació?

Com a mesura de contenció mentre es determinava l'abast de l'accés no autoritzat.

Com s'aplica aquesta lliçó a una empresa més petita?

Classificant quina informació pròpia és més sensible i decidint per endavant quins sistemes es poden aïllar sense aturar tota l'activitat.