A
indústria de saúde está no radar dos ataques hackers. Prova disso é que 78% das
instituições foram alvo de, ao menos, um incidente de cibersegurança em 2022,
de acordo com uma pesquisa global encomendada à Pollfish pela Claroty.
Essa
vulnerabilidade é consequência dos desafios que o setor enfrenta: sistemas
legados desatualizados em função da escassez orçamentária ou da falta de
visibilidade, e maior uso de tecnologias dada a adesão à Transformação Digital,
especialmente no pós-pandemia.
São
inúmeros os equipamentos em um hospital: tomógrafos, respiradores,
computadores, dispositivos de CTI (Centro de Terapia Intensiva), raio-X e
robôs-cirurgiões, entre outros que promovem automação e inteligência para
garantir menos esforço humano possível e melhores tratamentos.
Ao
passo que tudo está on-line e conectado, há muito com o que se preocupar quando
se trata de ameaças cibernéticas. Hackers podem invadir sistemas de CTI, por
exemplo, e alterar as informações, levando à letalidade do paciente. Por outro
lado, os registros médicos, em mãos erradas, podem levar a fraudes relacionadas
a prescrições de receitas, divulgações de informações confidenciais e pedidos
de resgate.
Além
disso, uma vez que os dados de pacientes e/ou funcionários sejam vazados, as empresas
estarão sujeitas às multas da LGPD (Lei Geral de Proteção de Dados Pessoais),
que podem chegar a R＄
50 milhões. Vale ressaltar que a Lei garante o direito aos detentores dos dados
de saber quem os acessou. Dessa forma, as instituições precisam rastrear e
disponibilizar essas informações quando solicitadas pelos proprietários dos
dados.
Diante
desse cenário crítico é preciso que o setor assegure que os dispositivos
médicos e os dados sejam protegidos contra as ameaças visando garantir a
segurança dos pacientes e funcionários. A realização de uma análise de
vulnerabilidade de superfície de ataque em dispositivos que estão voltados para
a internet e o discovery dos dados são um bom começo nessa jornada, provendo
visibilidade, controle e apontando os riscos e as soluções para prevenção de
problemas.
Nesse
sentido, no campo de proteção de dados e controle de acesso é fundamental o uso
de ferramentas de cibersegurança, como criptografia, anonimização
(embaralhamento) e mascaramento dos dados; controle de acesso com autenticação
multifatorial (senha combinada com SMS, biometria, e-mail etc) e controle do
acesso privilegiado e auditada, ou seja, dar acesso a informações do paciente
de acordo com o nível profissional e de forma rastreável, garantindo o registro
de logs no momento do acesso, alteração ou eliminação dos dados.
Outra
ação é ter uma segmentação dos equipamentos médicos de uma forma segregada da
arquitetura de TI convencional. Isso porque muitos equipamentos de TI e saúde
estão na mesma rede, e isso precisa ser ajustado para mitigar o risco de um
ataque cibernético que interrompa o negócio, impactando diretamente a vida de
pessoas que estão em situação de vulnerabilidade. Vale ressaltar também a
necessidade de realizar uma micro segmentação dos equipamentos médicos legados
que não possuem mais suporte dos fabricantes para coibir as vulnerabilidades.
Por fim, a conscientização de colaboradores por meio de campanhas contra phishing e sobre golpes de engenharia social são medidas extremamente necessárias para o funcionamento eficaz de um projeto de cibersegurança no setor de saúde. Essa capacitação permite que as pessoas possam utilizar melhor e de uma forma mais segura os recursos de tecnologia das empresas, reduzindo drasticamente o perímetro de ataques.
E,
independentemente do nível de maturidade de Segurança da instituição de saúde,
é importante que tudo isso seja conectado a um SOC – Security Operations Center
(Centro de Operação de Segurança) que, por meio de ferramentas de IA, fará o
tratamento de vulnerabilidades, coleta e correlacionamento de eventos de
segurança e responderá aos incidentes de segurança com o objetivo de recuperar
o mais rápido possível o ambiente operacional.
O mercado de saúde foi um dos mais impactados pela Transformação Digital, um aspecto positivo, mas que também gerou impactos negativos na segurança da informação. E, por lidar com informações críticas de pacientes, a necessidade de proteção dos dados passou a ser imperativo do setor para assegurar que, cada vez mais, a sua missão, de salvar vidas, esteja garantida.
Wladimir Bortoletto Nunes - especialista em soluções de saúde
Paulo Sergio da Silva - especialista em cibersegurança. Ambos atuam na SONDA Brasil, líder regional em serviços de Transformação Digital.
Nenhum comentário:
Postar um comentário