81% de violações de segurança envolvem dados de pacientes

O Netskope Threat Labs publicou seu relatório de ameaças com foco na área da saúde, revelando o aumento de tentativas dos profissionais do setor de enviar informações confidenciais para locais não aprovados pela TI, tanto na web quanto na nuvem. Aplicações de IA generativa (GenAI), como ChatGPT ou Google Gemini, os dois mais usados ​​por profissionais da saúde, estão frequentemente envolvidos nessa classe de violações de políticas de dados.

“As aplicações GenAI oferecem soluções inovadoras, mas também revelam novos vetores para potenciais violações de dados, especialmente em ambientes de alta pressão e alto risco, como o da saúde, onde profissionais de saúde precisam operar com rapidez e agilidade. As organizações de saúde devem equilibrar os benefícios da GenAI com a implementação de proteções de segurança e de dados para mitigar esses riscos”, diz Gianpietro Cutolo, pesquisador de Ameaças à Nuvem no Netskope Threat Labs.

As principais descobertas do relatório incluem:

• 81% de todas as violações de política de dados ocorridas em organizações de saúde nos últimos doze meses foram relacionadas a dados regulamentados de saúde, ou seja, dados protegidos por regulamentações locais, nacionais ou internacionais, incluindo informações sensíveis médicas e clínicas. Senhas e chaves, código-fonte ou propriedade intelectual também foram afetados (19% no total), e um grande número dessas violações ocorreu por envio de dados sensíveis para contas pessoais do Microsoft OneDrive ou do Google Drive.
• A GenAI tornou-se onipresente no setor, e suas aplicações são utilizadas em 88% das organizações de saúde. Uma grande parcela de violações de políticas de dados ocorre agora no uso da GenAI por profissionais de saúde, com 44% envolvendo dados regulamentados, 29% envolvendo código-fonte, 25% envolvendo propriedade intelectual e 2% envolvendo senhas e chaves. Riscos adicionais de vazamento de dados podem advir de aplicações que utilizam dados do usuário para treinamento ou que incorporam recursos da GenAI, que são utilizados em 96% e 98% das organizações de saúde, respectivamente.
• Mais de 2 em cada 3 usuários de GenAI na área da saúde usam e enviam dados confidenciais para suas contas pessoais de GenAI no trabalho. Esse comportamento prejudica a visibilidade das equipes de segurança sobre as atividades relacionadas à GenAI entre seus funcionários e, sem as devidas proteções de dados, afeta também a capacidade de detectar e prevenir vazamentos de dados.

Confira abaixo o que a equipe de especialistas recomenda ao implementar mais segurança:

• Implementar aplicações aprovadas de IA generativa entre as equipes para centralizar o uso dessa forma, monitoradas e protegidas pela organização, e reduzir o uso de contas pessoais e “Shadow AI”. O uso de contas pessoais de GenAI por profissionais de saúde, embora ainda alto, já caiu de 87% para 71% no último ano, à medida que as organizações migram cada vez mais para aplicações aprovadas.
• A implementação de políticas rigorosas de Prevenção contra Perda de Dados (DLP) para monitorar e controlar o acesso a aplicações GenAI e definir o tipo de dados que podem ser compartilhados nelas fornece uma camada adicional de segurança caso os usuários tentem ações arriscadas. A proporção de organizações de saúde que implementam políticas de DLP para GenAI aumentou de 31% para 54% no último ano.
• Implementação de coaching de usuários em tempo real, uma ferramenta que alerta os funcionários caso estejam realizando ações arriscadas. Por exemplo, se um profissional de saúde tentar enviar um arquivo para o ChatGPT que inclua nomes de pacientes, um prompt perguntará ao usuário se ele deseja prosseguir. Um outro relatório mostra que a maioria dos funcionários (73%) em todos os setores não prossegue quando recebem prompts de coaching.

“No setor da saúde, a rápida adoção de aplicações GenAI e o crescente uso de plataformas em nuvem trouxeram uma nova urgência à proteção de dados regulamentados de saúde. À medida que a GenAI se torna mais integrada aos fluxos de trabalho clínicos e operacionais, as organizações estão acelerando a implementação de controles como DLP e políticas de bloqueio de aplicações para reduzir riscos. As organizações estão progredindo, mas o foco contínuo em soluções seguras e aprovadas pelas empresas será fundamental para garantir que os dados permaneçam protegidos neste cenário em evolução”, conclui Gianpietro.