Imaginez ce scénario: les chercheurs d'une entreprise de biotechnologie travaillent sans relâche sur un vaccin potentiel contre le coronavirus et prévoient de commencer prochainement un essai clinique de phase trois. Ces travaux se traduisent par une plus grande visibilité de l'entreprise et un afflux d'investissements en capital. Mais cette visibilité et cet investissement accrus s'accompagnent de risques supplémentaires, en particulier sous la forme de menaces de cybersécurité de la part de concurrents et d'États-nations cherchant à voler une propriété intellectuelle et des recherches de valeur.
Alors que la pandémie se poursuit, ce scénario n'est pas hypothétique pour les entreprises qui mènent ce travail. Alors que les entreprises des sciences de la vie ont longtemps été la cible des acteurs de la menace et ont toujours dû se prémunir contre les cyberattaques, l'attention des pirates sur ces entreprises s'est accrue pendant la pandémie mondiale alors que les biotechnologies, les sociétés pharmaceutiques et d'autres organisations se précipitent pour développer des vaccins et des traitements contre le COVID. 19. Faire des progrès dans cette recherche cruciale et entreprendre des essais cliniques pour des médicaments prometteurs attire une attention positive, bien sûr, mais cela devrait également inciter les chefs d'entreprise des sciences de la vie à réévaluer et à traiter les données et les vulnérabilités de cybersécurité que leurs entreprises pourraient avoir.
Les origines de ces menaces de cybersécurité sont variées. Des pirates informatiques ayant des liens avec un service de renseignement russe «essayaient de voler des informations à des chercheurs travaillant à produire des vaccins contre les coronavirus aux États-Unis, en Grande-Bretagne et au Canada», a rapporté le Washington Post le 16 juillet. Un article de Politico de quelques jours auparavant disait que « Les établissements canadiens qui poursuivent des recherches sur le COVID-19 ont été piratés. En avril, des pirates informatiques liés à l'Iran ont ciblé le personnel de Gilead Sciences, selon Reuters. En mai, le FBI a lancé un avertissement aux organisations effectuant des recherches sur le COVID-19 de «ciblage probable et de compromission du réseau» par la Chine.
Les données de la plate-forme de renseignement sur les menaces Recorded Future montrent une augmentation spectaculaire des références aux cyberattaques contre les sociétés biotechnologiques et pharmaceutiques au cours des derniers mois. Alors que le nombre de menaces pour la sécurité a augmenté, les techniques utilisées dans ces tentatives pour accéder aux sociétés de biotechnologie restent peu sophistiquées; la plupart commencent par des e-mails de phishing ciblés sur le thème du COVID-19. Gilead, par exemple, a été ciblé par un groupe d'acteurs de menaces avancés basé en Iran, connu sous le nom d'APT35 (c'est-à-dire Charming Kitten), utilisant une campagne ciblée de harponnage. Bien que les types d'e-mails de phishing varient, ils semblent généralement provenir d'un groupe légitime tel que l'Organisation mondiale de la santé ou les Centers for Disease Control and Prevention des États-Unis.
Une fois qu'un attaquant obtient les informations d'identification de l'utilisateur, accéder aux actifs ou aux données réseau sensibles est souvent une tâche insignifiante, car 1) les utilisateurs ont tendance à réutiliser les informations d'identification dans plusieurs applications et 2) de nombreuses applications ne disposent pas d'une authentification multifactorielle. RSM a pu démontrer cette même technique d’hameçonnage lors d’un récent test de pénétration d’une grande entreprise de biotechnologie, ce qui lui a permis d’accéder à un système de gestion des informations de laboratoire basé sur le cloud et à la propriété intellectuelle de l’entreprise. Outre le phishing, les ransomwares restent également l'un des types de menaces logicielles les plus populaires utilisés par les acteurs de la menace logicielle pour cibler les entreprises de l'espace biotechnologique. 10X Genomics, une société de biotechnologie basée en Californie qui étudie les traitements COVID-19, a été frappée par une attaque de ransomware en avril, entraînant la compromission des informations des employés.
Le vol de propriété intellectuelle a des implications considérables. Une violation de la propriété intellectuelle lors d'une fusion ou d'une acquisition, par exemple, peut soit tuer complètement ces transactions, soit réduire les évaluations des transactions. Les perturbations résultant d'une violation de propriété intellectuelle ou de données d'essais cliniques ralentiront presque certainement le processus d'essais cliniques.
Malheureusement, les entreprises du domaine des sciences de la vie ne font pas assez pour se défendre contre ces menaces, principalement parce que la propriété intellectuelle n’est pas fortement réglementée et que l’investissement dans les contrôles de sécurité de l’information n’est pas une activité génératrice de revenus. Bien qu'il n'y ait pas de solution miracle, les organisations doivent établir et mettre en œuvre les meilleures pratiques de base de gouvernance de la sécurité de l'information et des procédures de test, et auditer périodiquement ces procédures. En outre, les organisations devraient envisager des contrôles de protection des données tels que le cryptage et la classification. Plus précisément, RSM recommande aux entreprises d'envisager de faire ce qui suit:
- Effectuer une évaluation des risques de sécurité de l'information pour identifier et hiérarchiser les zones à haut risque
- Effectuer des tests de sécurité tels que des tests de pénétration externes et internes pour compléter et valider les résultats identifiés lors de l'évaluation des risques susmentionnée
- Développer une feuille de route de sécurité qui prend en compte les meilleures pratiques de contrôle de sécurité sur la base des résultats des deux phases précédentes
L'espace des sciences de la vie a une occasion unique de générer des avantages sanitaires et économiques considérables pendant cette crise et dans le futur, car la technologie permet davantage d'innovations. Cependant, cela n'est possible que si les données utilisées pour atteindre ces résultats restent entre les mains des professionnels qui les utilisent aux fins prévues et, à ce titre, doivent être protégées en conséquence. Pour en savoir plus sur la façon dont RSM peut vous aider, visitez les liens ci-dessous:
Cybersécurité et confidentialité des données pour les entreprises du marché intermédiaire
Exploiter la technologie et les données: considérations pour les entreprises des sciences de la vie
