O setor de saúde está cada vez mais visado pelos cibercriminosos. O fato de as instituições de saúde terem investido pouco na área de tecnologia da informação e segurança cibernética nos últimos anos é um dos motivos para o aumento de incidentes de cibersegurança, especialmente em um cenário de ameaças cada vez mais avançadas.
A principal razão do interesse dos cibercriminosos, no entanto, é o alto valor das informações que as instituições de saúde transmitem e armazenam. Os registros médicos são os dados mais custosos, chegando a custar, nos Estados Unidos, US$ 405 por cada registro – dados do setor financeiro, por exemplo, custam US$ 264. As informações são do Instituto Ponemon.
Em maio, durante os massivos ataques executados com o ransomware WannaCry, os hackers comprovaram a importância dos dados para o atendimento ao paciente. Hospitais afetados pela ameaça na Inglaterra tiveram de cancelar atendimentos e redirecionar ambulâncias para outras unidades. Segundo o jornal The New York Times, 16 instituições sofreram, simultaneamente, com o malware.
Em junho, uma variante do ransomware chamada de NotPetya afetou, no Brasil, o Hospital do Câncer e a Santa Casa de Barretos, no Interior de São Paulo. Cerca de 3 mil consultas e exames foram suspensos depois que os invasores bloquearam os sistemas e pediram um valor em bitcoins como resgate para devolver o acesso às informações.
Hospitais são instituições de altíssima complexidade e lidam diariamente com o público. As vidas dos pacientes não dependem apenas da competência de médicos e enfermeiros, mas também de processos e equipamentos sofisticados que hoje estão cada vez mais baseados em tecnologias.
Um hospital completamente digital conta com um funcionamento em prontuário eletrônico completo, em uso por todos os profissionais de saúde. Para as equipes de atendimento, isso significa melhor capacidade de oferecer uma assistência de maior qualidade, com maior eficiência operacional. Do ponto de vista da segurança da informação, no entanto, isso significa uma superfície de ataque muito maior.
Além de estar em conformidade com a legislação, diretrizes e certificações das entidades da área de TI em saúde, as instituições precisam garantir a privacidade e a confidencialidade das informações e, especialmente, proteger-se contra ameaças avançadas capazes de causar a paralisação dos serviços, como um ataque de ransomware.
Setor de saúde precisa investir em gestão de segurança
O ambiente atual de TI dos hospitais tem um nível considerável de complexidade, incluindo sistemas de informação, equipamentos, dispositivos médicos e parceiros. Um único hospital pode contar com centenas de sistemas diferentes, equipamentos e serviços terceirizados que precisam funcionar de forma integrada e orquestrada para garantir mais agilidade, segurança e consistência das informações.
Além disso, o mercado de saúde está em plena transformação digital, com a chegada de diversas empresas, conhecidas como MedTechs, que trazem inovações com o uso de apps, prontuários eletrônicos e médicos virtuais. Diante deste cenário, é ainda mais importante garantir o sigilo do paciente.
Quando novos dispositivos de segurança são implementados no ambiente de TI, os hospitais ganham mais capacidades de se proteger, porém, essas adições geralmente aumentam o tempo gasto na gestão, pois criam mais complexidade. Portanto, além de investir em novas ferramentas de segurança, é necessário que as instituições de saúde invistam mais em plataformas de gestão de segurança e, especialmente, em estratégia.
Além de tecnologias como Data Loss Prevention (DLP), o ideal é contar com uma estratégia de segurança completamente integrada, garantindo mais visibilidade, simplicidade e consistência. Uma plataforma de gestão de segurança facilita o gerenciamento de sistemas já existentes, garantindo o máximo retorno do investimento feito.
O mercado brasileiro de saúde ainda carece de uma lei específica de privacidade de dados, como existe o HIPAA nos Estados Unidos. No entanto, investir em segurança da informação hoje é vital para que as empresas do setor de saúde protejam dados críticos e sensíveis de seus clientes, além de garantir maior desempenho e eficiência, e suporte à inovação e à adoção de novos modelos de atendimento.
* Leonardo Militelli é CEO da iBLISS Digital Security
