据估计，超过12%的制药业供应商可能会招致勒索软件攻击，制药公司的年度网络攻击损失平均为3,110万美元。
医疗药物有多重要，这在新冠疫情肆虐的当下根本无需赘言。从某种程度上说，医药技术和产业的发达程度就是整个人类文明进步的体现。
然而，如今医药行业在享受数字化所带来的便利的同时，也面临着技术漏洞造成的严重威胁。作为医药供应链中的重要一环，物流、货运代理和仓库合作伙伴的系统可以直接访问制药生产系统和数据，这是当今制药供应链中最危险的环节。
最近，非政府组织网络和平研究所（CyberPeace Institute）发起一项名为《玩弄生命：医疗保健的网络攻击》（Playing with Lives: cyberattack on Healthcare）的研究报告，深入探讨了网络物理攻击为何以及如何在制药、供应链和医疗保健领域发生。
▍网络攻击瞄准医药供应链
网络攻击对医药供应链的危害有多大？以最近比较严重的印度疫苗开发商雷迪实验室（Dr. Reddy’s Laboratories）为例，在COVID-19疫苗试验获得批准后不久，由于涉嫌数据泄露，勒索软件攻击迫使该开发商暂时关闭了其在美国、英国、巴西、印度和俄罗斯的主要工厂的运营。数百万印度人得不到COVID-19疫苗，这造成的生命损失不可估量。
前不久，美国环球医疗服务公司也表示，2020年9月的一次恶意软件攻击使该公司的连锁机构损失了6,700万美元，并迫使其医院暂停接收救护车和危重病人。
而发生在2017年的NotPetya攻击事件则是通过在乌克兰的一个分支机构的一个受感染的应用程序袭击了默克（Merck）公司，使这家制药巨头损失了4.1亿美元，并推迟了新疫苗的开发。
目前，世界各国的各种医药产品和活性药物成分（API）都依赖少数几个国家。以美国为例，其进口的原料药和普通药品的关键成分占美国国内处方量的90%。此外，87%的原料药生产设施位于海外，进一步增加了未受保护的终端数量和整个供应链被破坏的风险。
那么为什么网络犯罪组织会盯上医药供应链这样一个稍显“冷门”的行业呢？
原因有三：首先，窃取包括心血管药物在内的短缺药物，并在暗网上转售，价格最高；其次，将药品从第三世界国家的一个市场转移到另一个市场，并以高价溢价秘密出售给分销商，这是司空见惯的事情；最后，伪造药品和利用网络物理攻击通过医药供应链非法分销和销售药品的行为已经迅速升级。根据世界卫生组织（WHO）的数据，每年有价值830亿美元的假药出售，在发展中国家出售的医疗产品中，有十分之一是假药。
而在网络犯罪组织的惯用手段中，赎金软件是用来获取访问权的首选攻击策略。优化的攻击策略包括通过电子邮件钓鱼来获取特权访问凭证，确定端点缺口，以及攻击远程桌面协议（RDP）端口。
根据Black Kite发布的《2021年勒索软件风险脉搏：医药制造业》（2021 Ransomware Risk Pulse: Pharmaceutical Manufacturing），超过12%的制药业供应商可能会招致勒索软件攻击。
该报告还发现，制药公司的年度网络攻击损失平均为3,110万美元。中型制药公司对勒索软件的敏感度最高，因为许多公司缺乏端点保护和网络安全的预算。此外，根据Black Kite最新的勒索软件风险脉搏报告，凭证管理和补丁管理正在为制药公司创造最大的网络安全漏洞。
▍如何保护医药供应链
与其增加更多的终端代理商或者更多的检测套件，制药厂需要优先考虑使用零信任安全的核心概念来弥补现在运营和IT系统之间的差距。不幸的是，运营技术系统往往被忽视，在网络安全预算中的优先级较低。这就是为什么运营系统往往有最大数量的未受保护的端点。如果制药业供应链要更加安全，这种情况就需要改变。
以下是制药业供应链可以得到更好保护的七种方式：
1. 利用零信任安全框架统一运营、IT和网络安全技术堆栈
制药厂商在其组织内的网络安全技术堆栈方面表现出色，因为购买这些技术的商业案例也可以与合规性联系起来。但实现卓越的合规性并不能保证卓越的网络安全。对于网络安全投资而言，运营技术堆栈需要得到更高的优先级。
在2022年，制药厂商必须优先建立一个零信任的安全框架，为独特的业务需求量身定做，包括OT、IT和网络安全技术堆栈。目标是通过最小特权访问和身份与访问管理（IAM）缩小技术栈与端点之间的差距，利用微分段来进一步保护供应链访问。一个成功的零信任安全框架的基石是在第一次规划会议上就把IAM做好。
在零信任框架方面经验丰富的领先供应商包括Absolute Software（在其收购NetMotion之后）以及Akamai、Fortinet、Ericom、Ivanti和Palo Alto Networks。Ericom的ZTEdge平台是为中等规模的制药厂设计的，这些制药厂需要使用一个集成的零信任网络架构（ZTNA）平台，包括IAM、微分割和带有远程浏览器隔离（RBI）的安全网络网关（SWG）来启动和运行。
2. 加强零信任框架，实现供应链范围的可追溯性
网络犯罪组织往往会利用整个医药供应链缺乏可见性和控制。所以，断绝网络犯罪分子的收入来源，首先要在整个医药供应链中实现实时追踪，包括批量级的序列化。
美国总统拜登最近发布的第14017号行政命令要求医药供应链按设施追踪生产，追踪原料药的来源，并在所有在美国销售的药品的标签上注明原料药和成品制剂的来源。实现可追溯性对于获得医药供应链的端到端可视性和实施零信任来说是很重要的。
3. 根据安全准备情况和网络风险对供应商进行持续排名
一个特定的供应商会造成多大的网络风险？不幸的是，大多数制药厂今天无法回答这个问题。然而，可以说这是一个最重要的问题，而且需要不断地问。
通过依靠零信任框架来定义企业内部和云端的硬件、软件、通信和存储系统的终端级别的最小特权访问，制药商可以帮助缩小供应链中OT和IT系统之间的巨大差距。
按风险等级区分供应商，包括不断评估其安全实践和方法的一致性，对合同及其具体的合规要求有更大的可见性和控制力，并采用自动化的方法来识别任何潜在的异常情况或网络安全合规准则之外的因素。
4. 为全球制药业供应商推出统一的端点管理（UEM）标准
制药供应链之所以特别难以保护，是因为它们分布在全球。此外，美国的大部分活性药物成分都依赖外国供应商，进一步增加了发生漏洞的可能性。因此，制药商需要迈出第一步，为其供应商定义一个UEM标准，直到设备层面。
这样做的直接好处包括：无论连接情况如何，都能实现设备管理，简化多个移动平台的连续操作系统更新，并拥有一个能够支持各种设备和操作系统的架构。医药制造商及其供应商也将从基于互联网的补丁、策略和配置管理自动化中受益。
该领域的领先供应商包括Absolute Software的Resilience，它声称是业界第一个自我修复的零信任平台；根据G2 Crowds的众包评级，它在设备和应用控制、资产管理和端点智能、事件报告和合规性方面值得注意。其他被G2 Crowd高度评价的供应商包括CrowdStrike Falcon、Ivanti Neurons for UEM、VMWare Workspace ONE等。
5. 通过提供资产管理和实时网络风险评估，提高端点安全分析能力
由于没有端点安全的商业案例，使得中型制药公司很难获得资金支持。今年猖獗的勒索软件攻击突出表明，创造网络安全首先是一项商业决策。
根据美国战略与国际研究中心（CSIS）的一项调查，超过90%的企业高管最近承认，他们无法阅读网络安全报告，也没有准备好处理重大的网络安全攻击，该研究调查了来自美国、英国、德国、日本和北欧国家的1,530名非执行董事和高管。
此外，根据 Foley & Lardner LLP 的《指南：医药、生物技术和医疗设备行业的网络安全》中的研究，98%的最弱势群体对其公司监控系统中的设备/用户的能力信心不足，而这个负担落在了 IT 部门身上。
通常情况下，都是由信息安全技术领导来为高级管理层解释和翻译高级网络安全报告。因此，高级管理层和董事会成员亟需更加熟悉网络安全风险评估分析技术。它需要具有与学习如何定义商业案例同样的紧迫性。
提供实时端点安全数据到资产层面的领先供应商包括Akamai、Absolute的Resilience Platform、CrowdStrike Falcon、FireEye Endpoint Security、Ivanti Neurons for Patch Intelligence、SentinelOne的Singularity平台，以及其他一些厂商。
6. 为制药供应链中的每个端点实施多因素认证（MFA）
MFA是基于两个或更多的因素来鉴定你是谁，包括但不限于你知道的东西（密码、PIN、代码工程）、你拥有的东西（智能手机、产生引脚或预先定义的引脚的代币设备）或你的特征（生物识别、面部识别、指纹、虹膜和面部扫描）。例如，谷歌的 Chrome 浏览器允许任何人使用它来配置 MFA 访问控制和运行安全检查，看看他们有多少次使用相同的密码通过浏览器访问的帐户。
7. 要求所有的医药供应商采用统一的端点安全（UES），实现端点的自我修复
如果医药供应链想要变得更加安全，确定哪些端点可以自我修复是至关重要的。理想情况下，需要有一个源自终端设备固件的永久的、不可删除的数字纽带，可以使设备、其操作系统、终端代理和应用程序能够自我修复。这一领域的领先者包括Absolute软件公司的Resilience Platform、Ivanti Neurons和Microsoft Defender 365，后者依靠的是基于行为的检测。
▍结语
随着供应链中的端点越来越多地暴露在制药生产和分销的OT系统和IT堆栈中，网络物理攻击量也不可避免的增加。弥补这些差距需要从零信任安全框架开始，该框架旨在涵盖整个供应链。此外，制药厂也需要对评估供应商的网络风险水平提高警惕。
利用零信任安全策略，在制药供应链中制定一致的战略，将减少潜在的违规行为，并保护全球药品的运输、知识产权和质量。
