Ajudando o setor de cuidados com a saúde a vencer sua outra grande batalha: Ataques cibernéticos

Qualquer pessoa que administre uma empresa provavelmente está familiarizada com a frase “construir o avião enquanto o pilota”. E durante da loucura dos últimos 19 meses, muitos de nós viveram essa frase, tornando-se pilotos e engenheiros de nossas novas realidades da noite para o dia.

Porém, poucos viveram como o setor de saúde viveu. As pessoas não estavam apenas construindo o avião enquanto voavam, mas também mudando os padrões de voo, usando diferentes aeroportos e treinando novos funcionários no ar. Em outras palavras, eles descobriram como fortalecer uma força de trabalho remota, expandir exponencialmente o atendimento virtual e desenvolver uma vacina, enquanto um grande número de funcionários estavam fazendo horas extras em condições de risco para cuidar de centenas de milhares de pessoas gravemente doentes. 

Vamos dedicar um momento para celebrar este incrível aumento da inovação na área da saúde. A indústria enfrentou anos de obstáculos regulatórios, dívida técnica e desconfiança do setor e conseguiu converter essas dificuldades em experiências digitais que possibilitaram o atendimento contínuo de bilhões de pessoas.  

E esta é a outra parte. As entidades de saúde conseguiram realizar tudo isso enquanto enfrentavam um aumento constante e uma variedade de ataques virtuais. Sim, durante a pandemia, a área da saúde enfrentou uma nova batalha que criou outro grupo de heróis. 

Como a equipe da University of Florida Health. Em junho passado, quando a rede da UF Health foi parcialmente afetada por um incidente de segurança cibernética, a equipe precisava entrar em contato com as farmácias para preencher as informações sobre os medicamentos que faltavam. Eles se dedicaram a encontrar novas rotas de atendimento usando médicos externos. Ed Jimenez, CEO de um dos hospitais afetados, deu crédito a sua equipe por ajudar sua instituição a superar a crise. "Nossos funcionários dedicados são verdadeiramente os heróis, quando enfrentaram o desafio de restaurar as operações normais, muitas vezes sacrificando o tempo com os seus entes queridos para fazer horas extras."

Ataques de malware exploraram o fluxo da pandemia

De acordo com um relatório do HHS (Departamento de Saúde e Serviços Humanos) dos EUA e uma pesquisa da IBM, desde o início da pandemia, o setor de saúde registrou um aumento de 50% nos ataques cibernéticos, que foram os mais caros, com um custo médio de US$ 7,13 milhões por incidente. Segundo os dados da IBM, os ataques de ransomware foram a ameaça mais frequente, pois os criminosos cibernéticos visaram a necessidade de recuperação rápida dos sistemas de hospitais e cuidados de saúde, seguidos de roubo de dados e acesso ao servidor. Os provedores de assistência médica, em particular, são alvos atraentes de ransomware porque cada EHR (registro eletrônico de saúde) pode custar US$ 1.000 na dark web, em comparação com informações de cartão de crédito vendidas por cerca de US$ 110 e números do Seguro Social vendidos por apenas US$ 1 cada. 

"Os sistemas dos hospitais já eram frágeis antes da pandemia", disse Josh Corman, chefe da força-tarefa contra a COVID-19 da CISA (Agência de Segurança de infraestrutura e Segurança Cibernética). "Depois, os ataques de ransomware tornaram-se mais variados, mais agressivos e com maiores demandas de pagamento." Em outono de 2020, essa ameaça gerou a uma rara consultoria de segurança virtual criada em conjunto pela CISA, pelo FBI (Agência Federal de Investigação) e pela HHS, alertando especificamente os líderes de saúde sobre ataques iminentes de ransomware e aconselhando uma abordagem de backup de salvar três cópias de todos os dados críticos em pelo menos dois formatos diferentes, com uma cópia off-line, fora do alcance de código mal-intencionado.

Seguir essa orientação representa mais um dilema financeiro difícil para muitas organizações de saúde. De acordo com Stephen Lopez, PhD, MBA e diretor sênior de segurança da informação na AAMC (Associação de Faculdades de Medicina Americanas), as organizações de saúde tendem a adiar o investimento em segurança virtual. "Pode ser difícil destinar recursos para a segurança da informação", disse ele, "se isso prejudica o atendimento aos pacientes. Entretanto, nesse cenário, os serviços oferecidos aos pacientes ficam em risco se as organizações adiarem a proteção contra o ransomware. A CISA concorda, observando em seu relatório de insights médicos de 2021 que, quando a infraestrutura de suporte à prestação de serviços de saúde é atacada ou sequestrada, as operações se degradam rapidamente, especialmente em tempos de crise ou urgência.

A educação da equipe em todos os níveis das organizações de saúde é fundamental para a luta. Lopez acrescenta: "Se você puder melhorar a 'higiene básica de segurança' dos membros da equipe em relação aos e-mails de phishing, poderá evitar ou reduzir a maioria dos ataques de malware". Ele recomenda a criação de um programa educacional que apresente exemplos reais de mensagens de ataque de ransomware e lembre a equipe de fazer uma pausa antes de responder a qualquer solicitação urgente de informações confidenciais.

As decisões de investimento em segurança dependem do armazenamento e do acesso de dados 

Apesar de a pandemia ainda estar levando muitas vidas, os líderes de saúde precisam lidar com essa frente de batalha adicional. Então, por onde começar? Em alto nível, as prioridades de cibersegurança são proteger os pontos de acesso contra ransomware (além de treinar a equipe para detectar phishing); reduzir a exposição de PHIs (informações de saúde protegidas) disponíveis em EHRs, bem como a propriedade intelectual na fabricação de medicamentos; e proteger as tecnologias de conectividade que permitem o compartilhamento dessas informações com sistemas, parceiros e fornecedores externos (como o CDC e outros departamentos de saúde).

Muitas organizações de saúde em todo o setor migraram seus EHRs, propriedade intelectual e outros dados médicos para a nuvem com o objetivo de aumentar a flexibilidade, a acessibilidade e a velocidade de recuperação. No entanto, devido à rápida migração para a nuvem sem um planejamento organizacional adequado, as informações de saúde do paciente e outros dados confidenciais são frequentemente hospedados em ambientes de nuvem de vários provedores, que podem ser ainda mais vulneráveis devido a configurações incorretas. 

Embora não seja uma lista completa, esses exemplos destacam a ampla variedade de dados necessários para fornecer cuidados contínuos e reduzir o potencial tamanho da superfície de ameaça de uma organização de saúde.

• EHRs (registros eletrônicos de saúde) — prontuários médicos digitais, histórico médico, resultados de laboratório e testes e outros dados

• Registros de pacientes ou doenças — bancos de dados contendo os resultados clínicos para pacientes que compartilham um diagnóstico ou condição específica

• Dados de sinistros — dados de códigos de faturamento enviados por prestadores de serviços de saúde às companhias de seguros 

• Pesquisas de saúde — dados coletados por organizações de saúde pública para avaliar riscos à saúde pública e que informam a política e a prática de saúde pública 

• PACS (Sistema de comunicação e arquivamento de imagens) — dados gerados por um dispositivo de imagens médicas (como um exame de TC ou MRI) que são arquivados para acesso por médicos, pesquisadores ou outras equipes médicas autorizadas

• Dados de estudos clínicos — dados sobre os resultados de estudos clínicos, privados ou públicos, usados no desenvolvimento de dispositivos médicos, produtos farmacêuticos e outras inovações

Os CSOs (diretores científicos) da área de saúde que buscam reduzir essa superfície de ameaça e seguir o conselho da abordagem de backup descrita no comunicado federal — salvando três cópias em pelo menos dois formatos diferentes, com uma off-line — estão cada vez mais adotando uma abordagem híbrida. O armazenamento de dados local fornece maior controle sobre a segurança, mas pode ser caro e difícil de expandir rapidamente, especialmente com o aumento exponencial dos dados de saúde e a transformação digital na assistência médica, ambos impulsionados pela pandemia. O armazenamento de dados em nuvem pública é mais econômico, mas as organizações arriscam interrupções e falta de transparência na forma como os dados são protegidos. 

Uma abordagem híbrida permite que dados confidenciais sejam mantidos no local, enquanto dados menos confidenciais são armazenados na nuvem. Mesmo isso não é perfeito, pois a segurança deve ser colocada em vigor para proteger a transferência de dados entre os dois tipos de armazenamento e garantir que o acesso seja limitado àqueles que estão autorizados a fazer as transferências e visualizar os dados. Avançar para os sete requisitos principais para implementar uma arquitetura de acesso à rede Zero Trust permite que as instituições protejam seus dados, concedendo aos usuários acesso apenas aos aplicativos necessários para sua função, com segurança adicional oferecida pela autenticação multifator (MFA). 

Conduzindo a saúde pela crise e além dela 

Os provedores de assistência médica estão construindo suas experiências digitais do século XXI, e a Akamai tem a honra de ajudar a inaugurar esta nova era de assistência médica on-line, com maneiras inovadoras de oferecer suporte ao atendimento de pacientes e fornecer resultados de saúde bem-sucedidos em qualquer lugar, a qualquer hora. 

Leia mais sobre o que a Akamai pode ajudar a tornar possível no setor de saúde.