Sveikatos priežiūros pramonė lenkia savo laiką nustatydama programinės įrangos saugumo pažeidžiamumo lygį

„Veracode“, pirmaujanti pasaulinė taikomųjų programų saugumo testavimo sprendimų tiekėja, šiandien atskleidžia, kad sveikatos priežiūros pramonė užima pirmąją vietą pagal programinės įrangos saugumo spragų proporcijas, kurios tikslas – 27%. Šis sektorius aplenkė finansines paslaugas pagal geriausius rezultatus, o tai rodo, kad sveikatos priežiūros paslaugų teikėjai per pastaruosius metus padarė didelę pažangą didindami savo programinės įrangos saugumą.

Duomenys buvo paskelbti bendrovės kasmetinėje programinės įrangos saugos būklės (SoSS) ataskaitoje v12, kuri yra 20 milijonų nuskaitymų analizės rezultatas iš pusės milijono programų sveikatos priežiūros, finansų, technologijų, gamybos, platinimo ir vyriausybės srityse.

„Veracode“ tyrimų vadovas Chrisas Engas sakė: „Sveikatos priežiūra yra vienas iš labiausiai reguliuojamų sektorių ir vyriausybės laikosi svarbia infrastruktūra. Todėl teikia vilčių, kad šis gana teigiamas elgesys, kalbant apie bendrus pažeidžiamumo pataisymus. Tikimės, kad sveikatos priežiūros pramonės kūrėjai ir IT darbuotojai tai vertina kaip sveikintiną teigiamą poveikį programinės įrangos saugos pasaulyje, o tai pernelyg dažnai nėra labai džiuginanti. Dar yra ką nuveikti, todėl tikimės tolesnių patobulinimų ateinančiais metais “.

Nepaisant pirmosios vietos, pasiektos dėl nustatyto pažeidžiamumo procento, 77 % prašymų sveikatos priežiūros sektoriuje susiduria su šiomis problemomis, o 21 % atvejų tai yra rimta. Sektoriuje taip pat yra daug galimybių tobulėti, kalbant apie laiką, praleistą taisant pažeidžiamumą po jų aptikimo, o pataisymo vidurį pasiekti per 447 dienas.

Su sveikatos sektoriaus pažeidimais susijusios išlaidos yra didžiausios

Kadangi sveikatos priežiūros įmonėms tenka didžiausia vidutinė kaina už pažeidimą, kuri pasiekė naują rekordą – 10,1 mln. USD*, todėl labai svarbu imtis aktyvių veiksmų, kad būtų sumažinta kibernetinių atakų rizika. Kadangi duomenų pažeidimai griežtai reguliuojamose pramonės šakose dažniausiai yra siejami su didesnėmis ilgalaikėmis išlaidomis, kurios kaupiasi bėgant metams, šis segmentas galėtų gauti dar daugiau naudos iš dar didesnių integruotų pastangų saugumui spręsti nuo pat pradžios.

Iš 6 analizuotų sektorių sveikatos sektorius yra paskutinis pagal programų, turinčių bet kokio tipo pažeidžiamumą, proporciją, o pagal pažeidžiamumų, kurių pažeidžiamumo laipsnis yra didelis, procentą, yra antroje paskutinėje vietoje, vertinant pagal rimta rizika programai ir organizacijai realių pažeidimų atveju. Kalbant apie pažeidimus, aptiktus atliekant dinaminę taikomųjų programų analizę pramonėje, sveikatos priežiūros paslaugų teikėjai gerai įvertina autentifikavimo problemas ir nesaugias priklausomybes, palyginti su kitais segmentais, tačiau jiems dažniau kyla autentifikavimo problemų. šifravimas ir diegimo konfigūracija.

Chrisas Engas pakomentavo:

„Žinome, kad jokia programa nebus 100% apsaugota nuo saugumo spragų, todėl svarbu, kad įmonės imtųsi visų būtinų veiksmų, kad kiek įmanoma sumažintų riziką; tai apima greitą ir reguliarų nuskaitymo veiklą, atliekant įvairių tipų testus, testavimo įrankių integravimą į kūrimo aplinkas ir praktinius mokymus, padedančius kūrėjams suprasti pažeidžiamumų šaltinį ir juos pašalinti arba visiškai jų išvengti. Sveikatos sektorius taip pat turėtų skirti ypatingą dėmesį tam, kad pirmenybė būtų teikiama kritinėms pažeidžiamoms vietoms, kurios gali turėti katastrofiškų pasekmių, jei jos nebus sprendžiamos per ilgai.

Andrew McCall, Azalea Health Innovations inžinerijos viceprezidentas, sakė: „Didžiausia kliūtis kuriant mūsų darbo eigos saugumą yra ta, kad kūrėjai tai traktuoja kaip paprastą komponentą, kaip ir bet kurį kitą, o tai yra nuolatinis procesas. , kuris visada turi būti prioritetas per visą programinės įrangos kūrimo gyvavimo ciklą. Pasirinkome Veracode, nes tai yra paprasčiausias ir optimaliausias sprendimas integruoti į esamus procesus“.

Trečiųjų šalių bibliotekų saugos lygis

Atsižvelgiant į tai, kad praėjusiais metais smarkiai išaugo taisyklės, apsaugančios programinės įrangos tiekimo grandinę, ataskaitoje buvo analizuojamos trečiųjų šalių bibliotekos, siekiant nustatyti pažeidžiamumų, aptiktų atliekant programinės įrangos sudėties analizę (SCA), elgseną. Iš viso apie 30 % pažeidžiamų bibliotekų išlieka pažeidžiamos po dvejų metų, tačiau sveikatos sektoriuje statistika sumažėja iki 25 %. Tiesą sakant, nors pasaulinis bibliotekų, kuriose yra SCA nustatytų pažeidžiamumų, procentas laikui bėgant nuolat mažėja, sveikatos priežiūros sektorius patyrė trumpą šuolį prieš drastišką šio procento sumažinimą, maždaug per pastaruosius metus.

Apie programinės įrangos saugos būklės ataskaitą

Veracode State of Software Security (SoSS) v12 ataskaitoje buvo analizuojami išsamūs istoriniai Veracode paslaugų ir klientų duomenys. Iš viso tai yra daugiau nei pusė milijono programų (592.720 10.34.855), kurioms buvo naudojami visų tipų nuskaitymai, daugiau nei vienas milijonas dinaminių analitinių nuskaitymų (5.137.882 18 18.473.203), daugiau nei penki milijonai statinių analitinių nuskaitymų (42 3,5 6) ir daugiau nei XNUMX milijonų analitinių nuskaitymų programinės įrangos sudėtis (XNUMX XNUMX XNUMX). Visi šie nuskaitymai sukūrė XNUMX mln. neapdorotų statinių rezultatų, XNUMX mln. neapdorotų dinaminių rezultatų ir XNUMX mln. neapdorotų SCA rezultatų.

Duomenys atspindi dideles ir mažas įmones, komercinės programinės įrangos tiekėjus, išorinius programinės įrangos tiekėjus ir atvirojo kodo projektus. Daugumoje analizių paraiška buvo skaičiuojama tik vieną kartą, nors ji buvo kelis kartus pateikta siekiant ištaisyti jos spragas ir buvo įkeltos naujos versijos.

Informacija apie Veracode

„Veracode“ yra pirmaujantis „AppSec“ partneris, kuris kuria saugią programinę įrangą, sumažina saugos pažeidimų riziką ir daro saugos bei kūrimo komandas produktyvesnes. Todėl įmonės, kurios remiasi „Veracode“, gali reklamuoti savo verslą ir judėti į priekį. Derindama procesų automatizavimą, integravimą, greitį ir reagavimą, „Veracode“ padeda organizacijoms gauti tikslius ir patikimus rezultatus, kad jos galėtų sutelkti pastangas į galimų pažeidžiamumų taisymą, o ne tik jų radimą.

Autoriaus teisės © 2022 Veracode, Inc. Visos teisės saugomos. „Veracode“ yra registruotasis „Veracode, Inc.“ prekės ženklas Jungtinėse Valstijose ir gali būti pateiktas kitose jurisdikcijose. Visi kiti produktų pavadinimai, prekių ženklai ar akronimai priklauso atitinkamiems jų savininkams. Visi kiti šiame pranešime spaudai paminėti prekių ženklai yra atitinkamų jų savininkų nuosavybė.