Segurança
digital é um dos pilares para qualquer modelo de negócio no mundo atual. É
inimaginável que uma companhia, seja do segmento que for, se aventure nos
negócios sem as devidas preocupações com cibersegurança, uma vez que esta
pauta, mais do que nunca pode ser a diferença entre o sucesso e o fracasso de
uma corporação. No entanto, os empresários ainda erram muito ao eleger
prioridades no que tange a proteção cibernética. No setor da saúde não é
diferente.
Os ambientes
médicos, apesar de contarem com informações sensíveis e estarem vivendo a
transição para IoMT (Internet of Medical Things), padecem de baixos níveis de
cibersegurança. Devido às grandes quantidades de informação pessoal que
armazenam e transferem, as organizações de saúde já se tornaram um alvo
preferencial dos cibercriminosos.
Os baixos níveis
de segurança que os hospitais apresentam facilitam o acesso a um enorme volume
de informações sensíveis, o que por sua vez permite a obtenção de elevados
proveitos financeiros por parte dos atacantes.
Atualmente há
cinco grandes desafios que o setor de saúde enfrenta no que diz respeito à
cibersegurança:
- Ransomware: A natureza crítica dos ambientes médicos implica que o acesso à informação dos pacientes deva ser imediato, através de qualquer dispositivo e aplicação. Ou seja, é preciso viabilizar o fluxo de informação minimizando os riscos de os atacantes, por meio deste tipo de ameaças, sequestrarem os dispositivos e suas informações, o que é um risco tremendo às instituições de saúde.
- Fuga de dados: Por outro lado, a filtragem de dados confidenciais ou sensíveis a pessoas não autorizadas é outro dos principais riscos na saúde. Este tipo de situação acontece, geralmente, quando se trabalha com redes sem fio desprotegidas, aplicações não controladas pela empresa, ao compartilhar informações através do correio eletrônico ou através da perda de dispositivos que contenham essa informação e que estejam desprotegidos.
- Roubo de Identidade: Seja devido à perda de informação ou como consequência da subtração dela por meio de ciberataques, o roubo de identidade surge como um dos grandes riscos de segurança. Desta forma, um atacante que possua informação sensível como senhas, utilizadores ou credenciais do pessoal médico, pode ter acesso à informação ainda mais confidencial e sensível, enganar os pacientes, modificar expedientes, entre outras ações mal-intencionadas.
- Dispositivos sem atualização: As instituições de saúde têm um grande volume de pontos de acesso nas suas redes, sendo possível que qualquer um tenha vulnerabilidades que coloquem as mesmas em risco. Neste sentido, é fundamental saber se existem dispositivos desatualizados, colocando assim toda a rede em risco. Daí ser imprescindível manter todos os dispositivos atualizados com as mais recentes atualizações de segurança.
- Plano de cibersegurança: a falta de consciencialização sobre os riscos de cibersegurança é provavelmente o maior risco. Muitas instituições de saúde não têm um plano de cibersegurança em que especifiquem as medidas de segurança, as responsabilidades bem como um protocolo de atuação, sendo que perante um eventual ataque estas encontram-se totalmente desprotegidas e sem capacidade de reação pela ausência de um plano.
Boa parte destes
problemas poderia ser evitada com uma política de conscientização dos usuários,
sobretudo os médicos, que com a rotina acelerada e troca de turnos e hospitais,
querem acessar seus dispositivos pessoais de maneira rápida, o que normalmente
significa abrir muitas portas de entrada para um leque de brechas às ações dos
atacantes.
IoMT
O setor da saúde
é um dos mercados que se move particularmente rápido no que diz respeito à
adoção do Internet of Medical Things (IoMT). A tecnologia ultrassom é um
exemplo dos avanços tecnológicos e do que estes têm conseguido fornecer, tanto
a pacientes como a médicos - informação muito mais detalhada e passível de
salvar vidas. No entanto, e infelizmente, este avanço tecnológico não se
estendeu ao ambiente de segurança da TI, no qual este tipo de máquinas se
encontra conectado para transmissão de imagens e informação.
Motivação
financeira
Devido à grande
quantidade de informações pessoais que os hospitais e outras organizações de
saúde armazenam e transferem eletronicamente, as instituições de saúde são
alvos atraentes para o atacante. Esses dados valiosos podem ser usados para obter serviços médicos caros
e medicamentos prescritos, bem como para obter fraudulentamente benefícios de
saúde do governo. Não é de admirar que essa informação possa chegar a um custo
US$ 60 por registro na Dark Web.
O Melbourne
Heart Group, da Austrália, sofreu um ataque de ransomware que viu os dados do
hospital serem embaralhados por hackers e mantidos como resgate.
Embora existam
muitos artigos descrevendo o perigo pessoal de ataques cibernéticos aos
pacientes, o dano financeiro é muito mais realista e é o que está no cerne dos
ataques cibernéticos ao setor de saúde.
A solução segura
As
vulnerabilidades de segurança mencionadas acima destacam a importância que as
organizações de saúde devem colocar em sua postura de segurança de TI. Apesar de
ainda existirem problemas e indefinições quando se trata de padronização de
protocolos de segurança em dispositivos de Internet das Coisas Médicas (IoMT),
ainda há muito que organizações de assistência à saúde podem fazer para
proteger os dados de seus pacientes.
As organizações
de assistência médica devem permanecer alertas aos vários pontos de entrada que
existem em sua rede. Geralmente, pode haver centenas, se não milhares, de
dispositivos conectados à rede de TI, sendo que qualquer um deles contém vulnerabilidades
de segurança no hardware e no software usado por esses dispositivos. Não é
possível detectar todas essas vulnerabilidades, por isso, é essencial que as
organizações do setor de saúde tenham uma solução avançada de segurança de
prevenção para detectar os ataques inevitáveis que tentarão explorar essas vulnerabilidades.
Claudio Bannwart - country manager da
Check Point no Brasil
Check Point Software Technologies Ltd.
Nenhum comentário:
Postar um comentário