Farmacja pod cyberostrzałem. Nowe prawo każe branży się bronić

Jak pogodzić szybkie tempo rozwoju z wysokim poziomem bezpieczeństwa to dziś jedno z najważniejszych wyzwań firm z branży farmaceutycznej. Dotyczy tak producentów produktów leczniczych, wyrobów medycznych, hurtowni, jak i aptek. Eksperci wskazują technologie i procedury, które znacząco zwiększają odporność biznesu na cyberataki, a mimo to wciąż nie są branżowym standardem.

Branża farmaceutyczna na celowniku

Rynek farmaceutyczny puchnie od wrażliwych danych, a skala zjawiska rośnie wraz z coraz większym ucyfrowieniem jej podmiotów. W farmacji innowacje spotykają się z informacjami o pacjentach, co stawia ją wysoko w rankingu obiektów pożądania cyberprzestępców. IBM informuje, że wirtualne włamania kosztują biznes farmaceutyczny średnio 4,82 mln dolarów.

– Firmy farmaceutyczne każdego roku inwestują miliardy dolarów w badania i rozwój, tworząc niezwykle cenną własność intelektualną – od formuł leków, przez wyniki badań, po nowatorskie procesy produkcji. Przestępcy doskonale zdają sobie sprawę, że jedno skuteczne wirtualne włamanie może dać im dostęp do danych wartych miliardy – tłumaczy Marcin Kraska, COO-Quality w Transition Technologies MS. Jako wieloletni praktyk w branży farmaceutycznej, Kraska wdraża dziś technologie zwiększające cyberbezpieczeństwo podmiotów z tego rynku.

Zwiększone ryzyko pojawia się przede wszystkim na połączeniach w łańcuchu wartości. Zgodnie z danymi OpenText ponad 6 na 10 cyberataków pochodzi z łańcucha dostaw, co uwypukla znaczenie relacji tworzonych z biznesowymi partnerami.

Generatorem problemów związanych z bezpieczeństwem są też fuzje i przejęcia. Integracja środowisk różnych podmiotów – ich systemów, protokołów bezpieczeństwa, ale też kultur organizacyjnych – bywa momentem osłabienia systemów bezpieczeństwa powiększonego biznesu.

Wreszcie jednym z największych wyzwań w zakresie bezpieczeństwa w farmacji pozostaje... człowiek. – Niestety nadal nie brakuje przykładów poważnych naruszeń bezpieczeństwa wynikających z błędów pracowników – mówi Marcin Kraska z TTMS. Według danych IBM, średnio co trzeci incydent bezpieczeństwa wynika z niefrasobliwych działań ludzkich.

Nowe przepisy na ratunek bezpieczeństwu danych

Cyberochrona to dziś ogromny kawałek farmaceutycznego biznesu. Z amerykańskich szacunków wynika, że w 2023 roku globalny rynek cyberbezpieczeństwa w sektorze ochrony zdrowia był warty 17,3 mld dolarów, a do roku 2030 ma rosnąć w średnim tempie blisko 20 proc. rocznie, osiągając poziom 35,3 mld dolarów.

Ze względu na wysoką wrażliwość posiadanych danych, motorem poprawy bezpieczeństwa po europejskiej stronie oceanu mają być unijne regulacje. Dyrektywa NIS-2, która niebawem znajdzie swój wyraz w polskim prawodawstwie, obliguje do zmian między innymi szeroko pojętą branżę farmaceutyczną. Choć już dziś wiadomo, że zmiany są nieuniknione, wiele podmiotów nadal wykazuje brak znajomości istotnych dla siebie skutków nowej legislacji.

– Świadomość nieuchronności przepisów wynikających z dyrektywy NIS-2 jest widoczna w dużych podmiotach z branży, w Polsce zwłaszcza tych, które prowadzą sprzedaż na zagranicznych rynkach. Inny stan wiedzy i przekonań panuje w mniejszych organizacjach, a pamiętajmy, że regulacje obejmą także podmioty relatywnie niewielkie, zatrudniające co najmniej 50 pracowników – mówi Marcin Kraska.

Dyrektywa NIS-2 dotyczy firm, które zajmują się produkcją i dystrybucją substancji czynnych oraz produktów leczniczych (leków), uznanych za podsektor ochrony zdrowia. Ten z kolei uznawany jest za jeden z kluczowych sektorów gospodarki w kontekście cyberbezpieczeństwa. W praktyce nadchodzące przepisy nałożą nowe obowiązki, m.in. na wytwórców i importerów farmaceutyków, hurtownie farmaceutyczne i niektóre apteki. To te podmioty będą musiały zapewnić rozwiązania wspierające wykrywanie, analizę i reagowanie na incydenty bezpieczeństwa. Dyrektywa nie wskazuje konkretnych rozwiązań do wdrożenia, mają być one adekwatne do problemów zidentyfikowanych w procesie analizy.

Przed każdą z organizacji objętych parasolem NIS-2 stoi konieczność przeprowadzenia analizy wpływu nowej legislacji na organizację, a w razie zidentyfikowania tego wpływu – analiza ryzyka biznesowego w zakresie cyberbezpieczeństwa, analiza incydentów i procedury ich eskalowania. Personalna i finansowa odpowiedzialność za cyberbezpieczeństwo dotyczyć będzie bezpośrednio członków zarządu.

W polskim prawodawstwie nowe obowiązki dla branży farmaceutycznej będą wynikały z nowelizacji ustawy o krajowym systemie bezpieczeństwa. Ta wciąż jest na etapie projektu, jego wejście w życie jest spodziewane jeszcze w tym roku.

PRZECZYTAJ TAKŻE: Szpitale prywatne proponują powołanie społecznej rady ds. cyfryzacji ochrony zdrowia