Abbott investiga acessos não autorizados em sistemas de diagnóstico oncológico

O que aconteceu

Segundo a Reuters, a Abbott comunicou uma investigação sobre acessos não autorizados a um número limitado de sistemas internos da sua área de diagnóstico oncológico, bem como sobre uma possível falha de segurança num portal especializado.

A empresa não tornou público o método de acesso nem o volume de informação que poderá ter sido afetado. O caso combina dois vetores habituais: sistemas internos específicos e um portal externo que serve utilizadores fora da organização.

O que ensina a uma empresa de média dimensão

Os portais para clientes, pacientes, distribuidores ou parceiros são práticos e necessários, mas estão expostos à internet por definição. Quando são concebidos a pensar apenas na facilidade de utilização, acabam por ter palavras-passe simples, sessões que não expiram e ligações diretas a bases de dados internas.

Para uma empresa da Catalunha que disponibiliza uma área privada a clientes ou fornecedores, a lição é tratar esse portal como mais uma porta de entrada: com autenticação forte, separado dos sistemas internos e monitorizado. O facto de o incidente afetar um número limitado de sistemas costuma depender de decisões de arquitetura tomadas muito antes.

O que convém rever

Quatro pontos concretos para qualquer portal externo:

• Autenticação multifator para utilizadores com acesso a informação sensível e para as contas de administração.
• Separação entre o portal e os sistemas internos, com acesso apenas aos dados indispensáveis.
• Expiração de sessões e revisão periódica de utilizadores externos inativos ou que já não deveriam ter acesso.
• Registos de acesso conservados e revistos para detetar transferências ou consultas anómalas.

Perguntas frequentes

¿Porque é que os portais externos são um alvo frequente?

Porque estão acessíveis a partir da internet, são utilizados por pessoas externas à organização e ligam-se frequentemente a dados internos, o que os torna uma via de entrada atrativa.

¿Basta uma palavra-passe robusta num portal de clientes?

Para informação sensível não é suficiente. A autenticação multifator reduz significativamente o risco de uma credencial roubada permitir o acesso.

¿Como se limita o alcance de um acesso não autorizado?

Com segmentação, permissões mínimas por utilizador e registos que permitam detetar e bloquear rapidamente o acesso, de modo que um comprometimento não abra caminho para os restantes sistemas.