此篇文章发布距今已超过135天，您需要注意文章的内容或图片是否可用！
联合健康集团首席执行官接受美国参议院质询，揭示了收购网络安全实践落伍公司的风险。
安全内参5月7日消息，美国联合健康集团旗下Change Healthcare网络攻击事件带来了许多教训，其中一条教训在近期变得格外明确：在并购过程中忽视网络安全问题，就等于是自寻烦恼。这不仅危及自身，还危害了其他所有人。今年2月，联合健康集团旗下的处方处理商Change Healthcare遭到勒索软件攻击，给美国医疗保健系统带来了巨大的混乱，并可能泄露了数百万美国人的数据。上周三，美国参议院委员会对联合健康集团首席执行官Andrew Witty 进行了长时间的质询。在听证会期间，Witty频频表示Change Healthcare的网络安全实践过于差劲，反复赘述该公司“最近”才被纳入联合健康集团旗下，并且“正在进行升级”，以达到这家保险巨头（据称）更高的安全标准。问题的关键是Change Healthcare服务器缺乏多因素身份验证。根据联合健康集团的说法，这正是造成攻击成功的原因。多年来，多因素身份验证一直被视为基本安全措施。在听证会期间，美国民主党参议员、参议院财政委员会主席Ron Wyden多次提及这一失误。例如，他和Witty有如下交锋：Wyden：“我们仍然需要了解，您是否知道您（在这个服务器上）没有启用多因素身份验证。您知情吗？”Witty：“因为这家公司最近才纳入集团，并没过多久，正在进行升级。”Wyden：“为什么你没有将它（启用多因素身份验证）作为首要事项？”Witty：“我的理解是，Change Healthcare并入集团后，需要进行大量的现代化改造。不幸的是，这个服务器在遭受攻击之前还没来得及部署多因素身份验证。”Wyden这样提问并没有错。如此重要的医疗健康平台，在2024年都没有一台服务器启用多因素身份验证，确实相当差劲。其实，联合健康集团子公司Optum在2022年10月就完成了对Change Healthcare的收购，足足有一年多的时间帮助其达到安全标准。退一步说，既然Change Healthcare的安全实践如此差劲，用Witty的话说，需要进行“大量”的升级，那么联合健康集团为什么不将其视作警示信号呢？既然安全风险如此之高，他们为什么还要进行收购呢？ 这其实是非常容易回答的问题：这类业务层面的谈判很少，甚至从来就不认真考虑网络安全问题。在并购过程中，Change Healthcare的安全实践似乎并没有受到任何认真的审查。即便有审查，联合健康集团的收购者可能满眼只有金钱，却看不到风险。正如听证会上多位参议员指出的那样，由于联合健康集团错误地计算风险、在Change Healthcare的安全升级上行动迟缓，这家保险巨头付出了代价。更为不幸的是，此举还累及了美国各地大量医疗健康提供者商患者。因此，对于任何关注Change Healthcare事件的人来说，与网络安全相关的教训是显而易见的（无论如何，一定要启用多因素身份验证！）。但也有一些并不那么明显却很重要的教训。比如，当涉及并购时，无论是审查潜在的交易还是整合收购的公司，现在必须比以往更加强调安全。如果为公司和民众们做正确的事情还不足以激励他们，那些在并购中忽视安全的人还应该意识到，一两年后他们很可能会受到美国参议员的严厉指责。推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com-宙飒天下网
还没有评论，来说两句吧...