В това интервю за Help Net Security Дрю Маккомбс, главен технологичен директор (CTO) и главен директор по информационна сигурност (CISO) в Cylerity, обяснява как балансира между двете роли. Работата по сигурността се планира във всеки спринт, а проблеми, засягащи данни на пациенти или отпускане на средства, са с най-висок приоритет.
Той разглежда как Cylerity пази защитената здравна информация (PHI) далеч от своя банков партньор, защо моделите с изкуствен интелект отправят препоръки, но никога не предприемат самостоятелни действия, и защо активирането на многофакторна автентификация (MFA) за електронна поща е най-евтиното решение за малки практики. Той също така изброява три въпроса, които болничният CISO трябва да зададе на финтех доставчик, както и отговора, който трябва незабавно да прекрати разговора.
Често намирам, че тези две пътни карти се съчетават добре и не ги третирам как самостоятелни списъци със задачи. Сигурността е основна функционалност, която никога не е напълно завършена, и се планира във всеки спринт, за да продължим да отбелязваме напредък по ключови проекти. Освен това тя се обсъжда от целия инженерен екип, което я държи на преден план по време на целия процес на разработка, вместо да бъде нещо, което се добавя накрая.
В допълнение, нашият жизнен цикъл за разработка на софтуер (SDLC) изисква пълно сканиране за сигурност на цялата разработка и ние продължаваме да инвестираме в нашата основа, за да можем да предоставяме решения бързо, без да поемаме нов риск. Този подход означава, че повечето конфликти се разрешават преди планирането и имаме пълна видимост върху плана си за всеки спринт.
Но когато трябва да избираме, изборът е ясен: ако даден проблем засяга данни на пациенти или отпускане на средства, той печели. Без изключение. Извън това балансираме предоставянето на нови функционалности със стабилния напредък по основните ни инициативи за сигурност.
Съвместяването на двете длъжности изисква прозрачност и отговорност за напредъка по основните проекти за сигурност. Ето защо те се проследяват и преглеждат редовно с ръководството, така че да е ясно какво се случва и кога. По този начин аз не съм единственият, който взема решения, и към сигурността се подхожда с необходимата спешност.
Важно е да започнем с това какво е и какво не е Cylerity. Cylerity не е банка и не извършва факторинг на вземания. Ние финансираме здравни организации чрез банкова кредитна линия и обслужваме само бизнеса, а не крайни потребители. Това означава, че много от основните банкови регулации не се прилагат пряко към нас. Вместо това изискванията на банката стигат до нас чрез нашите кредитни споразумения и проверките на нашата банка партньор, които включват преглед на това кои са нашите клиенти, как се движат средствата, какво докладваме и какво могат да одитират.
Това съответства на HIPAA, но областта, която се усложнява, е обезпечението. Ние отпускаме заеми срещу здравни претенции, а претенциите съдържат информация за пациентите (PHI). Когато банката иска да обсъди кредитна база на клиент, често е полезно да се стигне до ниво отделна позиция и точно тук прилагаме специфичен план, за да сме сигурни, че не разкриваме PHI пред банката.
Ето го нашия подход. Първо, винаги работим с минималните данни, необходими за поддръжка на нашите клиенти. Това обикновено означава предоставяне на обобщена информация на ниво платец или клиент, с премахнати подробности на ниво претенция. Второ, ако трябва да стигнем до ниво отделна позиция, не разкриваме идентификаторите на претенциите. Създаваме наши собствени уникални идентификатори, когато имаме нужда от това ниво на детайлност, така че PHI остава защитена. И накрая, в цялата платформа поддържаме PHI отделно от данните, необходими за финансиране. Така отговаряме на всяка заявка за данни, включително от нашите партньори за кредитиране.
За мен е просто: моделът не предприема действия. Изкуственият интелект може да препоръчва, обобщава или сигнализира, но човек винаги участва в процеса между неговия резултат и всичко, което освобождава средства или разкрива данни за пациенти. Внедряваме тези анализи в нашата оценка на риска и мониторинг, така че нашият екип да разполага с повече информация за вземане на информирани решения, но крайното решение остава на нашия екип.
Възможността за обяснение е това, което прави този контрол работещ, но тя не е самият контрол. Проверяващият не може съществено да одобри нещо, което не разбира. Затова, когато даден модел изведе препоръка, той показва изходните данни, на които се е доверил, и нашият екип проверява спрямо този източник, а не спрямо собственото обяснение на модела. Модел, който описва собствените си мотиви, не е доказателство.
Рискът, който следя най-внимателно, не е драматична атака. Това е постепенното отклонение, при което проверяващият одобрява внимателно първите сто препоръки и след това започва да одобрява формално без преглед. Справяме се с това, като включваме множество хора във вземането на решения и редовно преглеждаме решенията, след като са били взети.
Най-често срещаната слабост не е специфична за малките практики. Тя не е специфична за нито един конкретен бизнес. Многофакторната автентификация (MFA) продължава да бъде един от най-важните контроли и все още се използва недостатъчно. Тя е от изключително значение за организациите, с които работим. Те са създадени да предоставят грижи и услуги, а не да управляват ИТ инфраструктура, и много от тях обработват пациентски данни и здравни плащания за първи път.
Ето защо най-евтиното решение е и най-въздействащо: включете MFA, започвайки с електронната поща. Обикновено тя вече е включена в услугата за е-поща, за която плащат. Това е от първостепенна важност и затварянето на тази една пролука пресича най-често срещания път към прехващане на акаунти и измами с плащания.
Нашата роля надхвърля простото ѝ препоръчване. Тъй като поддържаме ежедневния приходен цикъл на нашите клиенти, виждаме техните претенции и финансиращи дейности в реално време. Това ни дава възможност да забележим необичайна активност по-бързо, отколкото малък екип би могъл самостоятелно. Освен това, когато постъпи искане за промяна на депозитна сметка, ние го потвърждаваме по телефона, използвайки вече наличен в досието номер, а никога такъв, предоставен в самата заявка.
Първо, „Можете ли да изброите всяка страна, която има достъп до нашите данни, включително подизпълнители, услуги с изкуствен интелект и всички партньори за финансиране или техните одитори?“ Ако доставчикът не може да предостави този списък бързо, той не знае къде отиват вашите данни. Важно е да запомните, че кредиторите на дадена финтех компания може да имат права за одит върху записи, съдържащи информация за вашите пациенти, и трябва да знаете това, преди да подпишете.
Второ, „Как потвърждавате промяна в дестинацията за изпращане на средства?“ За финтех доставчик пренасочването на плащания е атаката, която струва реални пари. Трябва да чуете за стъпка за потвърждение през външен канал (out-of-band), която никой не може да прескочи, а не „преглеждаме заявките внимателно“.
Накрая, „Преведете ме през първите 24 часа, след като откриете пробив, засягащ наши данни. Кой на кого се обажда?“ Търсите имена, роли и времеви рамки, а не документ с политика. Отговорът, който трябва да прекрати разговора, е „Ние сме HIPAA сертифицирани“. Няма официално сертифициране по HIPAA, така че този отговор ви показва, че доставчикът или не разбира правилото, или разчита на това вие да не го знаете.