As organizações de saúde devem estar preparadas para riscos à segurança dos dados e interrupções operacionais decorrentes de ataques cibernéticos. A implementação das melhores práticas aumenta a resiliência cibernética, garantindo uma resposta eficiente e recuperação quando esses incidentes ocorrem.
“A resiliência na área da saúde é fundamental”, afirma David Houlding, diretor de Estratégia Global de Segurança e Conformidade em Saúde da Microsoft. “Sem ela, o acesso oportuno e confiável aos dados fica comprometido, o que pode afetar gravemente o atendimento ao paciente. O acesso aos dados no local de atendimento é essencial, e qualquer interrupção pode prejudicar significativamente a prestação de serviços de saúde, prejudicando a qualidade do atendimento ao paciente ou, nos piores casos, colocando em risco a segurança do paciente.”
Para fortalecer a resiliência e manter o acesso ininterrupto a dados críticos, as organizações de saúde devem implementar as seguintes práticas recomendadas.
1) Realizar uma avaliação completa dos riscos
Uma avaliação abrangente de riscos ajuda as organizações de saúde a identificar e resolver falhas de segurança antes que elas possam ser exploradas por ameaças cibernéticas.
A Regra de Segurança da HIPAA exige que as entidades abrangidas realizem uma Risk Analysis e implementem medidas adequadas para abordar áreas-chave e proteger as informações eletrônicas de saúde protegidas. A Risk Analysis deve ser um processo contínuo, no qual as entidades abrangidas e os parceiros comerciais avaliem continuamente os riscos e as medidas de segurança. Avaliações eficazes identificam e priorizam os riscos e ajudam as organizações a concentrar seu tempo e recursos limitados nos riscos de maior prioridade. Para cada risco identificado, elas podem então identificar as vulnerabilidades associadas, incluindo redes desprotegidas, sistemas sem patches e muitas outras no âmbito da TI.
“Avaliar a postura de segurança por meio de avaliações de risco é fundamental para identificar lacunas e mitigar riscos”, observa Houlding. “Estruturas de conformidade confiáveis também ajudam a direcionar recursos limitados para onde eles podem melhorar melhor a segurança e reduzir os riscos.”
Durante uma avaliação de riscos, os profissionais de segurança identificam riscos à confidencialidade, integridade e disponibilidade de dados confidenciais da área da saúde e, em seguida, priorizam esses riscos de acordo com o impacto e a probabilidade de ocorrência. Embora uma avaliação de riscos não elimine os ataques cibernéticos, ela ajuda a direcionar recursos limitados para os riscos de maior prioridade, onde podem ter maior impacto na melhoria da postura de segurança. Isso dificulta os ataques por parte de agentes mal-intencionados e proporciona à equipe de segurança maior visibilidade, aprimorando os esforços de monitoramento, detecção, resposta e Recovery.
2) Implemente políticas e procedimentos robustos de segurança cibernética
Após identificar lacunas de segurança por meio de uma avaliação de riscos, as organizações de saúde devem implementar controles robustos de segurança cibernética e reforçar os procedimentos para reduzir a ocorrência e o impacto de ataques cibernéticos. Por exemplo, segmentar sistemas críticos da rede pode ajudar a impedir que agentes mal-intencionados se movimentem lateralmente dentro da organização de saúde e acessem sistemas essenciais, minimizando o risco de interrupções no atendimento ao paciente.
Como medida preventiva, os profissionais de segurança devem lidar com as vulnerabilidades conhecidas e proteger os dispositivos médicos suscetíveis à exploração. Vulnerabilidades comuns e configurações inseguras no setor da saúde incluem vulnerabilidades em aplicativos da web e softwares sem suporte, segundo dados da Agência de Segurança Cibernética e Infraestrutura.
Garantir que todos os sistemas sejam protegidos por autenticação multifatorial (MFA) é outra maneira de reduzir a ocorrência e o impacto dos ataques cibernéticos. Dados do Programa HHS 405(d) mostraram que, embora mais de 90% dos hospitais utilizem a MFA, sua aplicação inconsistente cria brechas. A implementação da MFA em todos os sistemas fortalece a segurança da rede e dificulta a ação dos agentes de ameaças.
Backups de dados e criptografia forte também são essenciais para economizar tempo e dinheiro durante uma violação. Práticas recomendadas comprovadas, incluindo segmentação de rede, MFA e gerenciamento de vulnerabilidades, podem ajudar as organizações a mitigar riscos e se preparar para ataques.
3) Desenvolver planos de resposta e recuperação
O primeiro passo é reconhecer que um ataque cibernético ou violação de dados é provável. A partir daí, os especialistas em segurança podem planejar esforços de resposta e recuperação em preparação para um incidente. A HIPAA exige que as entidades abrangidas desenvolvam um plano de resposta a incidentes, juntamente com um plano de backup de dados, recuperação cibernética e operação em modo de emergência para manter a conformidade.
Quando ocorre um incidente cibernético, as organizações de saúde devem estar preparadas para interagir com as partes interessadas, consultores jurídicos, autoridades policiais e pacientes. Realizar exercícios simulados com as principais partes interessadas antes de um incidente cibernético pode ajudar as organizações a responder de forma mais eficiente e eficaz no caso de um evento cibernético real.
Os planos de resposta a incidentes devem incluir estratégias de comunicação, formas alternativas de acessar os registros dos pacientes durante o tempo de inatividade do sistema de prontuários eletrônicos (EHR) e procedimentos para garantir a disponibilidade de dados críticos de saúde. Após conter uma ameaça, o foco muda para a execução de um plano de recuperação que restaure os dados e os sistemas o mais rápido possível.
“A nuvem oferece segurança superior em comparação com hospitais individuais, permitindo que as organizações de saúde implementem planos de resposta e recuperação mais eficazes, ao mesmo tempo em que transferem a infraestrutura com segurança e se concentram na inovação e na eficiência”, observa Jaimie Fox, estrategista sênior de tecnologia da Microsoft.
Embora um ataque cibernético possa ser inevitável, realizar avaliações de risco, adotar as melhores práticas de segurança e treinar a resposta e a recuperação de incidentes são áreas que as organizações de saúde podem controlar.
4) Estabeleça uma parceria com um parceiro estratégico de tecnologia e serviços
A parceria com um provedor de proteção de dados especializado em resiliência cibernética e Recovery no setor de saúde oferece várias vantagens essenciais. As organizações de saúde com infraestrutura mista (local, híbrida, na nuvem, multinuvem) precisam de um parceiro que unifique a resiliência cibernética e a proteção de dados em todos os ambientes, garantindo segurança e disponibilidade consistentes. A consolidação dos sistemas de backup em uma única solução reduz custos, elimina infraestrutura redundante e minimiza a dívida técnica, levando a uma maior eficiência. Um parceiro especializado em Recovery também aumenta a resiliência cibernética ao garantir a recuperação em ambientes limpos, diminuindo o risco de reinfecção após um ataque.
Por fim, um provedor de proteção de dados e gerenciamento de informações que oferece recursos avançados de armazenamento, portabilidade e acessibilidade de dados pode permitir a movimentação e a reutilização contínuas de dados, oferecendo suporte à nuvem e melhorando a continuidade dos negócios. A automação impulsionada por IA simplifica ainda mais os processos de proteção, governança e recuperação de dados, reduzindo as cargas administrativas das equipes de TI e permitindo uma recuperação mais rápida e segura contra ransomware e outras ameaças.
O Commvault Cleanroom Recovery oferece uma solução inovadora para organizações da área da saúde que enfrentam ataques de ransomware, garantindo a recuperação em um ambiente limpo e reduzindo o risco de reinfecção. Validado pelo Enterprise Strategy Group, ele utiliza sua portabilidade exclusiva “any-to-any” para uma recuperação de dados eficiente e segura. Esse recurso é fundamental para fortalecer a resiliência cibernética e permitir uma restauração rápida e segura para as organizações da área da saúde após um ataque.
“A Commvault é uma parceira essencial para organizações de saúde que buscam resiliência na nuvem no Azure”, afirma Karen Cox, líder global de estratégia de parceria na área de saúde da Microsoft. “Com profunda integração com a segurança da Microsoft, as soluções avançadas da Commvault protegem dados e aplicativos de saúde em ambientes de nuvem híbridos.”
