Com o avanço acelerado da digitalização da vida cotidiana onde tudo é armazenado e acessado em ambiente digital, a área de saúde também evoluiu e conta com a modernização para a agilidade de seus serviços.
A interconexão de sistemas, a crescente adoção de novas tecnologias e o armazenamento massivo de dados sensíveis fizeram com que também fosse preciso a expansão da Segurança da Informação contra ataques e vazamentos de informações na web.
A OMS estabeleceu, em 2020, um período de cinco anos para adequações que garantam uma abordagem segura sobre saúde no meio digital. Com o prazo expirando esse ano, a criação de legislações se faz necessária e sua implantação ainda passa por alguns desafios.
Quais são os desafios de segurança na área da saúde?
Riscos associados ao armazenamento de dados sensíveis
Há diversos riscos associados ao armazenamento de dados sensíveis, principalmente àqueles relacionados à área da saúde.
O roubo de informações de saúde confidenciais pode ser motivo de chantagem, exposição, fraudes usando os dados expostos, discriminação e até gerar danos emocionais graves ao paciente.
A utilização de dados sensíveis de saúde para fins não autorizados, como pesquisas não autorizadas e marketing direcionado sem consentimento, viola a privacidade do paciente e expõe as práticas de segurança precárias da instituição.
Ataques cibernéticos a banco de dados de saúde também é uma realidade, em busca de dados de seguro e informações financeiras usadas em fraudes.
Crescimento da digitalização e interconexão de sistemas
A necessidade de sistemas de saúde conectados à internet e com interconexões entre si fez aumentar os pontos de vulnerabilidade dos sistemas que podem ser explorados por cibercriminosos.
O compartilhamento de informações e o acesso que gera maior agilidade no atendimento também pode ser crucial na hora de ataques cibernéticos se não encontrar barreiras de segurança sólidas que garantam a privacidade dos dados, tanto no armazenamento quanto na transmissão.
Quais são os tipos de ataques cibernéticos comuns no setor da saúde?
Ransomware
O ransomware é um malware que criptografa os arquivos de um sistema tornando ilegíveis para quem não tem a chave de acesso. Os criminosos geralmente exigem um resgate em troca da chave de descriptografia.
Em um hospital, por exemplo, isso pode significar paralisia de sistemas essenciais como registros de pacientes, agendamentos e até comunicação interna. O resultado pode ser catastrófico: atraso em tratamentos críticos, cancelamento de cirurgias e desvio de ambulâncias, colocando vidas em risco.
Phishing
O phishing é uma técnica de disfarce de entidades confiáveis para revelar informações confidenciais preenchidas pela vítima.
As consequências do phishing na área da saúde podem ser graves, pois profissionais podem inserir suas credenciais, baixar anexos infectados ou transferir fundos para contas fraudulentas. Os criminosos podem ter acesso a sistemas internos e acessar dados de pacientes, além de realizar outras atividades maliciosas.
Ameaças internas
As ameaças internas são riscos de segurança originados dentro da própria organização, muitas vezes por funcionários ou ex-funcionários maliciosos, parceiros de negócio que desejam obter vantagem e pessoas interessadas no acesso ao sistema e dados da instituição.
Podendo ser intencionais ou intencionais, ameaças internas são perigosas, pois podem roubar registros de pacientes, sabotar e comprometer sistemas, modificar registros, divulgar informações confidenciais e instalar malwares de vários tipos.
Como enfrentar os desafios de cibersegurança?
Investimento em tecnologias de segurança
A implementação de recursos de segurança eficientes, sólidos e concisos é imprescindível para enfrentar os desafios da cibersegurança.
Implementar a manter firewalls atualizados para controlar o tráfego de rede e sistemas, uso de antimalware e anti ransomware, usar criptografia de ponta para dados em repouso e em trânsito, a utilização de autenticação multifator (MFA), gestão consistente de identidade e acesso e diversas outras opções são encontradas no mercado para fortalecer as barreiras de segurança.
Treinamento contínuo para profissionais de saúde
É fundamental manter a conscientização sobre ameaças, educando os profissionais sobre os riscos, o reconhecimento de possíveis ataques e como responder a eles.
Oferecer treinamento sobre a importância de senhas fortes, proteção de informações confidenciais, hábitos de navegação segura na internet e uso seguro de dispositivos em ambiente de trabalho também é muito importante, além de realizar simulações de ataque e verificar o cumprimento dos protocolos estabelecidos.
Estratégias de recuperação e prevenção
Desenvolver e testar planos de resposta a incidentes (IRP) faz com que diante de qualquer risco à segurança seja conhecido o procedimento de detecção, contenção, erradicação, recuperação e análise.
Como estratégias de prevenção e recuperação, a instituição deve conduzir análises de risco, efetuar avaliação profunda de vulnerabilidades antes que se transformem em meios de acesso para criminosos, realizar testes de intrusão para verificar a qualidade das barreiras praticadas e garantir práticas conforme a conformidade regulatória vigente.
Proteção dos sistemas ciberfisicos
Boa parte dos equipamentos utilizados nos hospitais e laboratórios possuem conectividade com a rede e muitas vezes com a internet. Com os equipamentos sendo acessados remotamente e com poucas janelas de manutenção, a visibilidade da conectividade e vulnerabilidades torna-se fundamental.
Legislação e conformidade
A Lei nº 13.787/18 e a proteção de dados
Sancionada em dezembro de 2018, a Lei nº13.787 estabelece a legitimidade da utilização de sistemas informatizados para armazenamento e manuseio de prontuários e dados sensíveis de paciente na área da saúde.
A LGPD, lei máxima sobre proteção de dados no país, entrou em vigor posteriormente e, embora não seja uma lei voltada especificamente para proteção de dados em seu escopo principal, possui implicações obrigatórias de extrema importância para a privacidade e segurança dos dados voltados à área da saúde.
A lei em questão permitiu a destruição de prontuários de papel após digitalização conforme os requisitos de segurança e avaliação de uma comissão de revisão de prontuários, oferecendo maior facilidade de acesso e maior segurança, além de estabelecer que o processo de digitalização deveria assegurar a autenticidade, a integridade e a confidencialidade dos documentos.
Presente no Artigo 4º, ficou determinado que os meios de armazenamento de documentos digitais relacionados à saúde deverão proteger os dados do acesso, uso, alteração, reprodução e destruição não autorizados, reforçando a necessidade de implementar medidas técnicas e organizacionais de máxima segurança.
A Política Nacional de Cibersegurança (PNCiber)
Instituída pelo Decreto nº 11.856 de dezembro de 2023, a Política Nacional de Cibersegurança (PNCiber) tem por objetivo orientar toda a atividade de segurança cibernética em solo nacional.
A fim de preparar instituições para se proteger de ciberataques, ciberameaças e facilitar a articulação na área de segurança, tem uma política baseada em princípios de soberania nacional, garantindo os direitos fundamentais aos cidadãos e o desenvolvimento de tecnologias nacionais de segurança cibernética.
Além disso, promove a cooperação entre setores público e privado e cooperação técnica internacional em casos de ciberterrorismo.
A Clavis, especialista em Segurança da Informação, oferece serviços de qualidade para fortalecimento da segurança da sua empresa e compliance com a LGPD, auxiliando no cumprimento das diretrizes máximas de conformidade com a legislação brasileira. Entre em contato e promova nível máximo de segurança na sua organização.
