IT Aduit & Assessment - Case 3

A hospital providing holistic healthcare to patients in Hong Kong
 
Size200 staffs

Service
IT Audit and Assessment with Follow-up Services

Challenge
With a number of 100+ hospitals and clinics in diverse locations, the company has been struggling for many years to centrally manage the information security and to standardize the operation procedures. Due to the lack of resource, hardly can the company spot out the potential vulnerability without regular review mechanism. Therefore, Ringus engaged to perform an one-off and in-depth assessment, and pinpoint improvement areas within the information system.

After the on-site assessment, Ringus identified large amount of security vulnerabilities and operational deficiencies, in which IT Team might not have sufficient resource to fix the problem in the short run.
 

Solution

  • Identified network security vulnerabilities and provided technical recommendations
  • Evaluated and commenced internal and external security controls
  • Provided one-year implementation plan: Document Management System and Workflow System enhancement 
  • Provided project management consultation, including project progress, budget, and timeframe.

Result
Through a series of on-site interviews, our security experts have tailor-made a one-year step-by-step implementation plan for the company to perform remediation actions, along with continuous advisory from Ringus. High-priority risk items have been addressed with appropriate corrective actions to prevent the company from security risk exposure in the short run.

In the long run, to reduce the workload of the IT Team, Ringus not only provided suggestions and alternatives for the companies to consider, but also helped integrate the Information Security Management System into the operational workflow in diverse locations.
 
Follow-up
After the assessment, Ringus has consistently updated the remediation process with the company and continually provide implementation advisory mentioned in the assessment report.
An introduction of the standardized policies and procedures has been brought to ensure appropriate security level of information handling in the daily operation.

Benefit 
The one-year implementation roadmap is embedded in the assessment report in a manner that our client can easily follow the remediation plan according to the severity level assigned.

Our team continues to work closely with our client, providing the best managerial and technical implementations advisory that are in line with client’s missions and visions.
 

More Updates

Further reading

2024資訊安全趨勢

科技的快速進步和演化為社會帶來了許多好處,但同時也帶來了更複雜的網路威脅。除了2023年人工智慧(AI)技術的迅速崛起及其帶來的風險外,許多權威組織、專家和學者也對2024年的資安趨勢進行了其他預測。首先,生成式AI仍然會因駭客的惡意使用而帶來更多的資安風險。隨著生成式AI的應用擴大,駭客可能通過讓機器學習錯誤的資料,入侵模型的資料儲存或流程架構,從而導致自然語言模型洩漏機密資料或使系統受到汙染而無法正常運作。這種情況被稱為「資料下毒」。此外,生成式AI還提高了詐騙能力,例如變種詐騙和網絡釣魚。未來,駭客有可能結合不同的AI工具,以更逼真的方式進行勒索活動。其次,預計供應鏈攻擊也會增加,其中一種名為供應鏈連鎖攻擊的攻擊方式成為駭客的主要手段之一。該攻擊方式是駭客首先獲取其中一個系統的存取權,然後利用該權限侵入與之相連接的其他系統。這種攻擊方式可以有效地避開堅固的防禦,利用互相連接、受信任但相對脆弱的目標中的漏洞,從而滲透到安全性更高的系統中。此外,生成式AI的普及還將導致雲端網路成為新的攻擊目標。由於運行這些模型的成本急劇上升,甚至達到數千萬美元。因此,駭客開始將目標轉向雲端,他們在雲端建立算力農場,以籌集資金來支持他們的行動。與數年前以加密挖礦為主要目標不同,未來雲端算力農場可能成為攻擊的焦點。此外,根據預測,雲端原生蠕蟲攻擊也可能大規模出現,駭客可以通過感染的雲端技術作為跳板,將感染擴散到其他地方。蠕蟲可以一次感染多個容器並進行大規模攻擊漏洞,實現偵查、攻擊和常駐等全部自動化。最後,私有區塊鏈也將成為駭客的攻擊目標。與公有區塊鏈不同,私有區塊鏈採用集中化的設計,並且不會經常在攻擊中不斷強化。未來,駭客可能針對這類區塊鏈開發基於勒索的全新商業模式。在這些勒索行動中,駭客可能使用竊取的金鑰故意在區塊鏈上插入惡意資料或篡改現有的交易記錄,然後向受害者勒索贖金作為封口費用。總結來說,2024年的資訊安全環境持續面臨著各種威脅與挑戰。我們需要關注人工智慧技術的應用與相應的風險,加強對雲端環境的保護並普及多重驗證機制。教育用戶建立防範意識以應對釣魚和勒索軟體攻擊。同時,區塊鏈技術的應用可以提供更安全的驗證方式。企業需要投資人才培訓並建立良好的資訊安全文化。我們也應該提高資訊安全意識,持續關注技術發展與相應風險,以確保我們的數字生活安全。 尹展軒Senior IT Consultant

Deepfake - AI的兩面效應

在2017年,Reddit這個知名的娛樂、社交及新聞網站中的一位名為"deepfakes"的會員發佈了一個由AI合成的名人偽造視頻,從此開始這種AI合成技術被稱為Deepfake。Deepfake一詞由"Deep Learning"和"Fake"組合而成,它是一種利用人工智能深度學習模型的技術。其原理是通過兩個神經網絡相互對抗,經過交替優化訓練後,生成的內容可以與真實人物難以區分。 最初,Deepfake技術主要用於宣傳和創意用途,並且在大多數影片中,作者都會聲明其影片是假的。此外,Deepfake甚至被用於彌補原本無法實現的事情,其中最著名的應用是在好萊塢電影《玩命關頭7》和《星際大戰》中的主角保羅·沃克。沃克在拍攝期間意外身亡,他的角色由他的弟弟代替完成,然後使用Deepfake技術連接電影中的場景,最終使電影完成並上映。 然而,儘管這種技術表面上看起來無害且有著良好的意圖,但它卻帶來了許多法律問題和信息風險。隨著技術的發展,任何人都可以輕易製作假影片或假聲音,其中可能包含不良意圖。由於Deepfake可以模仿任何人的外貌和聲音,這意味著任何人,尤其是知名人士,都可能被放置在虛假的情境中,從而造成名譽損害。此外,Deepfake技術可能被濫用於政治操作、偽造新聞和商業領域,這些都可能成為其負面影響的例子。而最接近普通人的可能就是由Deepfake技術產生的詐騙。 由Deepfake產生的詐騙主要可以分為三種。首先是電話詐騙,主要是模仿親朋好友的聲音,以此來騙取金錢和個人信息。詐騙者不僅模仿聲音,還能模仿說話的語調、斷句和口音。其次是視訊詐騙,由於Deepfake技術可以合成影片和語音,這意味著你可能會接到看似是你認識的人打來的視訊通話。第三種是恐嚇詐騙,主要是通過合成不雅照片或影片來恐嚇並勒索當事人。 在接下來難辦真相的網絡世界中,Deepfake只是當今科技社會所面臨的一個問題,法律和社會規範應該如何跟上這一步?如何解決其中涉及的著作權和倫理問題?這些都是需要進行深入討論和驗證的重要課題。 尹展軒 Senior IT Consultant