Un'organizzazione di ricerca su commissione (CRO) è un'azienda che fornisce servizi di ricerca e sviluppo per altre organizzazioni. Le CRO possono supportare la scoperta di farmaci, le sperimentazioni cliniche, i test di laboratorio, l'analisi ingegneristica o altri lavori specializzati di R&S svolti su contratto. Poiché gestiscono proprietà intellettuale dei clienti, risultati sperimentali, registri normativi e altri dati sensibili, le CRO sono obiettivi interessanti per i criminali informatici.
Negli attacchi, gli attori della minaccia possono cercare di rubare file di ricerca, interrompere i flussi di lavoro di laboratorio o di progetto, oppure bloccare i sistemi con ransomware per fare pressione sulla vittima affinché paghi. Anche un accesso limitato può essere dannoso se riguarda studi sensibili al fattore tempo o formule riservate. Le difese in genere si concentrano su controlli solidi delle identità, segmentazione della rete, crittografia, accesso con privilegi minimi, registrazione degli eventi e backup testati. Per una CRO, proteggere il percorso dei dati è importante quanto proteggere i server, perché una compromissione può esporre sia i segreti aziendali sia il lavoro di più clienti.