O volume de ataques cibernéticos contra instituições de saúde aumentou 78% em 2022, registrando uma média superior a 1.400 ocorrências por semana. Diante disso, não dá para postergar a busca por soluções de cibersegurança na área da saúde.
Há dois grandes motivos que fazem com que os criminosos considerem o setor atrativo: a possibilidade de obter dados confidenciais dos pacientes e a cobertura midiática. Esse combo aumenta a pressão sobre as instituições atacadas, ampliando as chances de que o resgate seja pago.
O problema é que nem sempre a instituição dispõe do dinheiro exigido e, pior, o pagamento não é garantia de que os dados não serão vazados ou vendidos. Assim, o melhor a se fazer é evitar se tornar uma vítima melhorando a postura de segurança cibernética.
Cibersegurança na Saúde
Como diversos outros setores, o da saúde tem apostado cada vez mais na digitalização, contando com softwares e outras soluções específicas para agendamento, prescrição, solicitação de exames e outros.
Além de otimizarem a rotina de quem trabalha em instituições de saúde, o que essas tecnologias têm em comum é a coleta de dados sensíveis e confidenciais, que precisam ser mantidos a salvo para garantir a privacidade dos pacientes.
Continue a leitura para conhecer os principais motivos de preocupação e os desafios enfrentados pela de TI nesse setor.
O e-mail é uma via de comunicação bastante comum na área da saúde. Médicos, administradores hospitalares, equipes de TI e outros agentes atuantes no setor trocam informações sensíveis regularmente.
Por isso, é fundamental adotar medidas que aumentem a segurança, como a autenticação multifator (MFA) e a criptografia de ponta a ponta, além da conscientização e treinamento dos usuários para que saibam como evitar ataques de phishing.
Segurança física
A segurança física também é uma preocupação relativa à cibersegurança da saúde. Isso porque é preciso proteger os data centers que armazenam registros médicos e outros sistemas críticos contra o acesso não autorizado.
Para tanto, entre as medidas necessárias, cabe fazer a instalação de sistemas de controle de acesso, monitoramento por vídeo e a implementação de outras estratégias de segurança robustas.
Sistemas legados
Além disso, deve-se considerar que muitas instituições de saúde ainda dependem de sistemas legados, que podem ser vulneráveis a ameaças cibernéticas se não contarem com as devidas atualizações e suporte. A manutenção desses sistemas é essencial para proteger dados e garantir a continuidade das operações.
Entre as estratégias recomendadas para mitigar os riscos estão a segmentação de rede, o monitoramento constante e a implementação de soluções de segurança baseadas em nuvem.
Ataques cibernéticos e problemas de segurança no setor de saúde
Aqui no Brasil, em março de 2023, o Hospital da USP sofreu um ataque hacker que levou à criptografia de sistemas e a um pedido de resgate, e precisou suspender consultas e exames de rotina.
A instituição sofreu um ataque de ransomware e optou por não pagar os valores exigidos pelos criminosos. Ao invés disso, voltou a executar processos em papel de forma temporária, enquanto medidas de recuperação de dados foram executadas.
Ransomware
O ransomware é o “malware sequestrador”, uma das maiores ameaças à cibersegurança na área da saúde. Com o ataque, os invasores bloqueiam o acesso aos sistemas e dados médicos e exigem resgates para liberá-los. Uma situação que pode interromper os atendimentos e até colocar vidas em risco.
A saber, a USP precisou se limitar a emergências, cancelando outros procedimentos que já estavam marcados.
Para se prevenir de ataques desse tipo, é preciso conscientizar a todos acerca de comportamentos de risco que abram brechas para as invasões e manter sistemas atualizados para eliminar vulnerabilidades.
Além disso, cabe manter backups regulares para que seja possível recuperar os dados sequestrados sem pagar aos criminosos. Algo que a USP já sabia e foi capaz de fazer.
Phishing
O phishing é uma estratégia usada para que malwares consigam entrar nos equipamentos, rede e sistema da instituição médica ― isso vale, inclusive, para os malwares do tipo ransomware.
Falamos de uma técnica eficaz que se baseia no uso de e-mails falsos muito similares aos verdadeiros, desenvolvidos justamente para enganar os destinatários e levá-los a revelar suas credenciais de acesso ao sistema do hospital ou a baixar algum malware.
Embora, na maioria das vezes, as tentativas sejam aleatórias, se os criminosos tiverem escolhido a instituição como alvo preferencial, serão capazes de criar comunicações muito convincentes para alcançar seus objetivos. É por essa razão que treinamentos devem ser feitos para que todos saibam como identificar esses e-mails nocivos.
Proteção da privacidade do paciente
A cibersegurança na saúde deve ter atenção especial à privacidade dos pacientes. Primeiro, pensando no seu bem-estar e proteção e, depois, sabendo que o vazamento de informações médicas pode gerar sérias consequências legais e éticas.
Assim, é crucial implementar medidas rigorosas de controle de acesso e criptografia, além de cumprir com regulamentações como as definidas pela Lei Geral de Proteção de Dados (LGPD).
Vulnerabilidades de sistemas legados na área da saúde
Como já mencionamos, sistemas legados que não contam com a devida manutenção se tornam vulneráveis a ataques hackers. É fundamental realizar atualizações de segurança para impedir que esses sistemas se tornem um atrativo extra para a atuação de pessoas mal intencionadas.
Quanto a isso, é interessante adotar uma abordagem proativa que envolva a segmentação desses sistemas, seu monitoramento constante e a busca por soluções alternativas, sobretudo quando os sistemas legados não possam ser atualizados.
Desafios da TI na área da saúde
Ainda, a cibersegurança no setor de saúde enfrenta desafios bastante específicos, relacionados à demanda pelo acesso rápido a informações médicas que, por sua vez, dificulta as ações de proteção desses dados contra ameaças.
Por isso, o reforço da segurança cibernética é uma prioridade, sendo o segundo foco principal das lideranças de TI que buscam minimizar violações de segurança, reduzir o roubo cibernético e garantir o máximo de privacidade aos pacientes.
Falhas de segurança na área da saúde
Em 2020, ano simbólico do movimento de digitalização de processos, algumas das maiores violações de dados que reforçam a importância da cibersegurança na área da saúde ocorreram a partir de esquemas de fraude, phishing e vulnerabilidades de sistemas usados pelas instituições.
Algo que aconteceu, por exemplo, em um sistema usado pela Dental Care Alliance. Segundo a HealthITSecurity, mais de um milhão de pacientes foram afetados, sendo que 10% tiveram suas informações bancárias violadas pelos cibercriminosos.
Controles de segurança para a área da saúde
A segurança da informação na área da saúde demanda controles eficazes para a mitigação de riscos cibernéticos. Entre as práticas mais recomendadas, estão:
- Atualizações regulares: manter sistemas e software atualizados com as últimas correções de segurança é crucial para contar com ajustes que corrigem brechas e vulnerabilidades, reduzindo a área a ser explorada pelos cibercriminosos;
- Políticas de acesso e controle de dados: definir políticas rigorosas de acesso e controle de dados ajuda a proteger a privacidade do paciente, uma vez que evita que pessoas não autorizadas tenham acesso a informações privadas;
- Autenticação Multifator (MFA): exigir MFA para o acesso a sistemas críticos (que contém informações sensíveis/privadas) adiciona uma camada extra de segurança;
- Firewalls e segurança de rede: o uso de firewalls de última geração (NGFW) e de um Web Application Firewall, além de sistemas de detecção de intrusões, ajuda a proteger a rede da instituição de saúde contra tráfego malicioso;
- Monitoramento constante: o monitoramento de ameaças em tempo real ajuda a identificar atividades suspeitas e permite que a equipe responsável responda rapidamente a quaisquer incidentes;
- Treinamento e conscientização: educar os funcionários sobre ameaças cibernéticas e práticas seguras é essencial para que todos evitem comportamentos de risco.
Como priorizar a prevenção de ameaças cibernéticas na área da saúde?
A essa altura da leitura, você já sabe que a cibersegurança na saúde precisa ser uma prioridade de qualquer organização que atue neste setor. Entender como fazer com que esse cuidado se torne, de fato, uma prioridade, é o ponto seguinte.
Isso envolve desde uma mudança de mentalidade à análise de uma série de medidas que podem ser tomadas para colocar a proteção contra ameaças cibernéticas entre os pilares do negócio.
Fazer isso leva à adoção de estratégias como:
- Investimento em segurança: é preciso que a instituição de saúde planeje seu orçamento de modo a disponibilizar recursos para a aquisição de soluções adequadas de cibersegurança ― algo que vai desde capacitação de pessoal, contratação de parcerias terceirizadas, à escolha de soluções e equipamentos;
- Avaliação de riscos: ainda, é fundamental entender qual o contexto cibernético da instituição para conhecer os riscos prováveis a partir de vulnerabilidades existentes e da análise de ameaças emergentes. Isso vai direcionar a tomada de decisões para a melhoria da postura de segurança;
- Parcerias com especialistas: buscar empresas especializadas, como a Prolinx, para orientar a adoção de soluções e cuidar de sua implementação é importante para garantir as práticas de cibersegurança mais modernas e mais adequadas ao perfil da instituição;
- Teste de intrusão: a realização de pentests regulares é uma das estratégias de segurança da informação no setor da saúde que identifica vulnerabilidades e permite que sejam corrigidas antes que um hacker tente explorá-las;
- Treinamento contínuo: por fim, é válido manter a equipe bem informada sobre como evitar comportamentos de risco, como identificar ameaças em potencial e a quem recorrer em caso de suspeita ou certeza de um ataque.
Cabe ressaltar que a contratação de uma parceria especializada permite que as medidas de cibersegurança na saúde vão além do teste de intrusão e que contem com abordagens cada vez mais eficientes.
Isso porque, da mesma forma que os criminosos trabalham para tornar suas ameaças mais perigosas, especialistas em segurança da informação desenvolvem soluções e técnicas mais robustas de proteção.
O que torna a segurança cibernética na área da saúde tão desafiadora?
Um dos principais motivos que faz com que a segurança cibernética na saúde seja um desafio é a ausência de medidas protetivas. Esse é, na verdade, um problema vivido por organizações de diversos setores no país.
Não é sem motivo que o Brasil é líder de ataques hackers na América Latina: em geral, nos protegemos pouco e os cibercriminosos sabem disso. E, instituições que não se preocupam e não investem o bastante em medidas de proteção tendem a lidar com a falta de conscientização dos funcionários que, por essa razão, acabam se engajando em comportamentos de risco.
Leia mais: 5 Ações fundamentais para evitar um ataque Hacker em sua empresa
Como se não bastasse, a realidade é que é mais fácil aderir ao uso de soluções digitais que otimizam rotinas do que gerenciar uma infraestrutura de TI complexa, como as que costumam existir em instituições de saúde. Com isso, aumenta-se o uso de soluções conectadas à internet e que podem oportunizar a violação de dados, sem que as estratégias de defesa se tornem mais presentes também.
Além disso, é comum lidar com a dificuldade de implementar soluções que respeitem as regulamentações de privacidade que são comuns ao setor de saúde, além da própria LGPD.
No dia a dia, pode parecer faltar tempo e recursos financeiros para que uma instituição da área reforce sua postura de segurança quando já se lida com algo tão urgente: salvar vidas. Há o entendimento equivocado de que a adoção de soluções de segurança pode paralisar operações e inviabilizar, ainda que momentaneamente, o atendimento em saúde, mas não é bem assim.
Cibersegurança na saúde é com a Prolinx
A melhor forma de superar esses desafios é contar com ajuda especializada. É imperativo adotar medidas que favoreçam a cibersegurança na saúde para proteger dados sensíveis e garantir o atendimento pleno aos pacientes.
Para saber o que fazer e como fazer, é necessário buscar um parceiro que consiga fazer um diagnóstico de TI da instituição para conhecer os riscos e as demandas e, então, indicar um plano orientado por prioridades para melhorar a postura de segurança e evitar riscos.
É isso o que vai levar à implementação de controles adequados e de uma abordagem proativa para prevenir ameaças e para responder a elas com agilidade, caso se concretizem.Um processo que se relaciona diretamente com o serviço de gestão de vulnerabilidades da Prolinx. Saiba mais sobre como podemos ajudar a sua instituição!
