A indústria da saúde enfrenta um novo inimigo, o cibercrime

Por Helder Ferrão

Os últimos anos têm sido renovadores em várias indústrias devido à aceleração dos processos de transformação digital. É possível observar os avanços em vários indicadores como produtividade, eficiência, qualidade, melhoria de gestão de custos e outros que foram impactados positivamente por este movimento. Este é o caso da indústria da saúde, que foi uma das indústrias que mais se transformou neste período, e continua sua transformação em ritmo acelerado.

A crise sanitária global que dos últimos anos contribuiu para adoção de soluções digitais, por razões que vão desde a busca das organizações para se manterem competitivas até a necessidade de garantir a prestação de serviços aos clientes de modo a protegê-los de riscos desnecessários. Enfrentar uma nova realidade imposta pela pandemia potencializou a necessidade de expandir novos processos e protocolos, ajustar os existentes, possibilitar uma série de atividades de forma remota e ainda lidar com a carga extra para atender toda a demanda adicional de saúde.

Este aumento de “exposição digital” trouxe uma outra consequência. O volume de ciberataques às organizações deste setor aumentaram significativamente. Hospitais, laboratórios, planos de saúde, fabricantes de medicamentos e demais instituições têm sido alvo dos cibercriminosos, e não são poucas as notícias de organizações comprometidas com malwares e outros problemas relacionados à segurança de dados.

Porquê a indústria de saúde é um alvo

Essa indústria é um alvo atraente para os atacantes, já que ela é mais propensa a pagar resgates do que outros setores da economia. As organizações de saúde normalmente incluem um grande volume de fornecedores terceirizados, tecnologias legadas e sistemas distintos interconectados, além de possuírem dados armazenados com nível de sensibilidade e criticidade bastante elevado. Isso gera uma preocupação com eventuais vazamentos ou comprometimento dos ambientes de tecnologia que guardam informações de pacientes, prescrições médicas, exames e outros dados sensíveis utilizados para tratamentos de cada pessoa.

Um estudo realizado por pesquisadores da Universidade de Minnesota nos EUA mostrou que o volume de ataques direcionado às organizações de saúde mais que dobrou entre 2016 a 2021. Essa é uma tendência global, e no Brasil não é diferente. Isto ilustra a atenção que este setor tem recebido dos cibercriminosos. Já existem casos registrados em diferentes países onde ataques de cibercriminosos geraram consequências que levaram à morte de pacientes ou erros graves no controle de medicamentos que deveriam ser administrados.

Como as organizações de saúde podem se defender

Muitas ações podem ser tomadas para evitar problemas com segurança dos dados e dos ambientes tecnológicos destas organizações, mas o primeiro passo é a conscientização dos colaboradores, principalmente aqueles não ligados às áreas de tecnologia. Educação é a chave para manter o ambiente “higienizado” em termos de segurança. Treinar os colaboradores sobre as ameaças cibernéticas é uma atividade contínua e não deve ser feito uma única vez, pois as as técnicas de ataque evoluem e modificam-se.

Ataques de Phishing são comumente direcionados aos colaboradores e podem ser utilizados como via de acesso para comprometer aplicações e sistemas. É interessante implementar soluções de cibersegurança que previnam ou atuem contra ataques esses ataques, como as baseadas no monitoramento e controle das atividades dos sistemas DNS, que inspecionam as conexões de internet realizadas pelos dispositivos utilizados pelos colaboradores e evitam que conectem-se a sites maliciosos. As soluções devem ainda informar as áreas de TI de eventuais problemas de segurança e permitir ações imediatas de mitigação.

Muitas organizações de saúde moveram seus EHRs (Electronic Health Records – Prontuários Eletrônicos de Saúde), dados de propriedade intelectual e outros dados médicos para a nuvem, visando aumentar a flexibilidade, acessibilidade e velocidade de recuperação. Porém, esta migração pode ter ocorrido sem o planejamento adequado relativo à proteção destes dados. Informações e dados sensíveis de pacientes podem estar hospedados em diferentes ambientes de nuvem que talvez não contemplem as melhores soluções de segurança.

Passadas eventuais necessidades emergenciais de migração, um levantamento de vulnerabilidades contemplando todo o ambiente, migrado ou não, deve ser realizado, e ações de mitigação de riscos devem ser implementadas no melhor tempo possível. Além disso, implementar uma postura de segurança Zero Trust (baseada no princípio de “confiar, mas verificar sempre”) ajudará as organizações a proteger seus dados, seus ativos, os mecanismos de acesso e o ambiente de tecnologia responsável pelo processamento de suas aplicações de negócio.

A indústria da saúde vêm se movimentando para construir novas e eficientes experiências digitais desde o advento da pandemia, e a escolha de um parceiro especialista em segurança cibernética, bem como das soluções mais eficientes, pode contribuir de maneira significativa para esta nova era da digitalização da saúde. Essa evolução deve trazer consigo a missão de garantir a segurança daqueles que dependem dos serviços essenciais deste setor tão relevante para a economia e para a sociedade como um todo.

*Helder Ferrão é Gerente de Marketing Indústrias LATAM da Akamai Technologies.