No ano passado, o Departamento de Saúde e Serviços Humanos (HHS) emitiu um forte alerta aos hospitais dos EUA, destacando as crescentes ameaças cibernéticas ao setor de saúde. O relatório da agência federal sobre a resiliência cibernética dos hospitais observou que a adoção generalizada da tecnologia da informação em saúde, impulsionada pela Lei de Tecnologia da Informação em Saúde para a Saúde Econômica e Clínica (HITECH), pela Lei de Cuidados Acessíveis e pela Lei de Curas do Século XXI, ampliou a vulnerabilidade do setor de saúde a ataques cibernéticos.
“Ataques direcionados de ransomware com o objetivo de interromper operações clínicas são uma ameaça cibernética crescente e desproporcional para os hospitais”, enfatizou o HHS. “O ransomware é atualmente a maior ameaça para esse setor e merece atenção imediata, especialmente considerando o impacto que a indisponibilidade de serviços pode ter no atendimento e na segurança dos pacientes.”
Os ataques de ransomware são frequentemente combinados com o roubo de dados confidenciais de pacientes. De acordo com o Programa de Cibersegurança do HHS, os prontuários eletrônicos de saúde (EHRs) são os principais alvos de ataques cibernéticos, pois contêm informações de saúde protegidas (PHI) valiosas, como nomes, números de previdência social, dados geográficos e biometria. Esses dados são altamente lucrativos para os cibercriminosos e difíceis de proteger uma vez expostos.
Regulamentações de segurança relativas a EMR/EHR de acordo com a HIPAA
O alerta do HHS destaca vulnerabilidades significativas nos sistemas de informação da área da saúde que expõem as organizações a ataques de ransomware, violações de dados e outras ameaças cibernéticas. Os prestadores de serviços de saúde devem reconhecer esses alertas como chamadas urgentes à ação, e não como avisos de rotina. As implicações vão além das questões técnicas: a segurança inadequada dos prontuários eletrônicos (EHR) gera responsabilidade legal, compromete o atendimento ao paciente e prejudica a reputação da instituição.
As ameaças comuns à segurança dos prontuários eletrônicos (EHR) incluem:
- Ameaças internas: Funcionários que, acidentalmente ou intencionalmente, fazem uso indevido de seu acesso aos registros dos pacientes.
- Riscos de terceiros: fornecedores e parceiros comerciais com acesso aos sistemas, mas com práticas de segurança potencialmente inadequadas.
- Sistemas legados: softwares e hardwares desatualizados que não recebem mais atualizações de segurança.
- Vulnerabilidades de dispositivos móveis: smartphones e tablets desprotegidos usados para acessar informações dos pacientes.
- Lacunas na nuvem: proteção inadequada para dados armazenados na nuvem.
- Ataques de phishing: campanhas direcionadas com o objetivo de roubar credenciais de profissionais de saúde.
- Protocolos de backup inadequados: sistemas de backup insuficientes ou não testados que falham durante cenários de recuperação.
Essas ameaças estão diretamente relacionadas à não conformidade com a HIPAA quando as organizações não implementam as medidas de segurança exigidas. Por exemplo, um ataque de ransomware que explora um software sem patch representa uma violação dos requisitos de proteção do sistema da Regra de Segurança da HIPAA.
As consequências financeiras desses ataques podem ser graves. De acordo com o Relatório da IBM sobre o Custo de uma Violação de Dados de 2024, as violações no setor de saúde custam às organizações, em média, US$ 9,77 milhões. Um exemplo é o recente acordo judicial envolvendo o Heritage Valley Health System em um caso de ransomware, no qual o Escritório de Direitos Civis impôs uma multa de US$ 950.000 e exigiu um plano de ações corretivas. Incidentes como esse ressaltam a importância de medidas robustas de segurança cibernética para prevenir violações e reduzir riscos.
As normas de segurança relativas aos EMR/EHR de acordo com a HIPAA incluem a implementação de medidas de segurança administrativas, físicas e técnicas razoáveis e adequadas para proteger as ePHI. A Norma de Segurança da HIPAA estabelece requisitos específicos para a proteção dos EHR. Ela exige que as entidades reguladas tenham:
- Medidas administrativas: análise de riscos, processos de gestão de segurança, treinamento da equipe e planejamento de contingência.
- Medidas de segurança física: controles de acesso às instalações, segurança das estações de trabalho e controles de dispositivos/mídias.
- Medidas de segurança técnicas: controles de acesso, controles de auditoria, controles de integridade e segurança de transmissão.
- Requisitos organizacionais: contratos com parceiros comerciais e requisitos de documentação.
- Políticas e procedimentos: implementação de medidas de segurança razoáveis e adequadas.
As organizações de saúde devem realizar uma avaliação abrangente dos riscos de segurança para identificar vulnerabilidades. Em seguida, devem desenvolver um plano de correção que priorize as lacunas críticas, atualizando políticas e procedimentos de segurança, implementando salvaguardas técnicas e oferecendo treinamento aos funcionários sobre protocolos de segurança. Auditorias de segurança regulares ajudam a manter a conformidade contínua e a se adaptar às ameaças emergentes.
Medidas de segurança e importância dos EHR
Como os EHRs são alvos privilegiados, a segurança é cada vez mais importante. A segurança dos EHRs abrange medidas de proteção especializadas, projetadas para proteger as ePHI (informações de saúde protegidas eletrônicas) nos sistemas de informação em saúde. A segurança dos EHRs deve abordar tanto as vulnerabilidades técnicas dos sistemas digitais quanto os requisitos exclusivos de privacidade exigidos pelas regulamentações de saúde.
A base da segurança eficaz dos EHRs HIPAA assenta em três princípios fundamentais:
- A confidencialidade protege contra o acesso não autorizado a dados confidenciais dos pacientes.
- A integridade mantém a precisão e a consistência dos registros de saúde ao longo de todo o seu ciclo de vida.
- A disponibilidade garante que usuários autorizados possam acessar informações essenciais quando necessário para o atendimento ao paciente.
Medidas essenciais de segurança para prontuários eletrônicos
Essas medidas de segurança do EHR podem ajudar as organizações de saúde a proteger os dados dos pacientes e, ao mesmo tempo, atender aos requisitos da HIPAA:
- Controles de acesso: permissões baseadas em funções que limitam o acesso aos dados ao pessoal autorizado, com base na função profissional e na necessidade de saber.
- Sistemas de autenticação: autenticação multifatorial que exige vários métodos de verificação antes de conceder acesso ao sistema.
- Criptografia: criptografia de dados em repouso e em trânsito para proteger as informações, mesmo que os sistemas sejam violados.
- Linhas de auditoria: registro abrangente de todas as atividades do sistema para rastrear quem acessou os registros e quais alterações foram feitas.
- Análise regular dos riscos de segurança do EHR: avaliação sistemática das vulnerabilidades de segurança e implementação de estratégias de mitigação.
- Backup e recuperação: backups regulares de dados com procedimentos de recuperação testados para manter a disponibilidade durante incidentes.
- Medidas de segurança físicas: acesso físico restrito a servidores e estações de trabalho que contenham ePHI.
- Treinamento de conscientização sobre segurança: educação contínua para todos os funcionários sobre protocolos de segurança e reconhecimento de ameaças.
Preocupações com a privacidade e a segurança dos registros médicos eletrônicos
A integridade e a privacidade dos dados representam aspectos distintos, mas interligados, das preocupações com a privacidade e a segurança dos EHR. A integridade dos dados concentra-se em manter a precisão e a integridade dos registros de saúde ao longo de seu ciclo de vida: impedindo alterações não autorizadas, detectando dados corrompidos e preservando a confiabilidade das informações médicas.
A privacidade se concentra no controle de quem pode acessar as informações dos pacientes e em quais circunstâncias. Ambos os elementos exigem medidas de proteção específicas para manter a conformidade com a HIPAA.
Embora a criptografia forneça uma camada essencial de proteção para os dados do EHR, ela não pode servir como uma solução abrangente de segurança contra violações de segurança do EHR. Os dados criptografados permanecem vulneráveis se os controles de acesso forem fracos, os sistemas de autenticação forem comprometidos ou se os funcionários internos fizerem uso indevido de seus privilégios de acesso legítimos. As organizações de saúde devem implementar uma abordagem de segurança em várias camadas que abranja todo o espectro de vulnerabilidades potenciais para lidar com as questões de privacidade e segurança do EHR.
Controles de acesso, registros de auditoria e avaliações regulares de risco atuam em conjunto para preservar tanto a integridade quanto a privacidade dos prontuários eletrônicos. Os controles de acesso limitam a exposição dos dados com base na função e na necessidade. Os registros de auditoria garantem a prestação de contas ao rastrear todas as interações com informações de saúde protegidas. As avaliações de risco identificam vulnerabilidades emergentes antes que elas possam ser exploradas.
“A migração para a nuvem ganha impulso porque reduz a dívida técnica e melhora a segurança”, afirma Jaimie Fox, estrategista sênior de tecnologia da Microsoft. “A nuvem oferece segurança muito maior do que os hospitais individualmente, permitindo que os prestadores de serviços de saúde e os fornecedores de prontuários eletrônicos migrem a infraestrutura com segurança, enquanto se concentram na inovação e na eficiência.”
Muitos prestadores de serviços de saúde estão reconhecendo cada vez mais a necessidade de aproveitar as vantagens da nuvem em relação à infraestrutura tradicional. No entanto, essa mudança levanta uma questão crítica: como as organizações de saúde podem proteger os sistemas essenciais contra ameaças cibernéticas e, ao mesmo tempo, garantir que eles permaneçam operacionais para o atendimento ao paciente?
Aprimorando a segurança do EHR na nuvem
Com o aumento das ameaças cibernéticas aos sistemas de prontuários eletrônicos, as organizações de saúde devem adotar estratégias comprovadas de resiliência cibernética. Os principais métodos incluem o aproveitamento da infraestrutura de segurança na nuvem, a mitigação abrangente de riscos e a integração da IA aos fluxos de trabalho de segurança para aumentar a preparação contra ataques.
Com equipes de segurança cibernética limitadas, as organizações de saúde têm a oportunidade de usar a nuvem para reforçar sua postura de segurança cibernética, bem como lidar com a dívida técnica que aflige a maioria dos hospitais dos Estados Unidos. Embora seja crucial cumprir as regulamentações federais, estaduais e locais, mitigar os riscos de segurança cibernética vai além de apenas atender aos padrões de conformidade.
“Na resiliência cibernética, proteger a disponibilidade dos dados é tão importante quanto garantir sua confidencialidade e integridade”, afirma David Houlding, diretor de Segurança Global e Estratégia de Conformidade na Área da Saúde da Microsoft. “As organizações de saúde também devem se defender contra violações, ameaças internas e riscos de terceiros, que podem causar graves interrupções, incluindo paralisações do sistema.”
A flexibilidade e a escalabilidade da nuvem permitem a rápida integração de tecnologias avançadas e intensivas em dados que ajudam os profissionais de segurança cibernética da área da saúde a fortalecer a segurança e capacitar os médicos a aplicar ferramentas de ponta no atendimento ao paciente.
“Os recursos de IA, que aumentam a produtividade e reduzem os custos nos sistemas de prontuários eletrônicos, só podem ser alcançados na nuvem”, observa Fox. “Os sistemas locais tradicionais não suportam essas funções avançadas de IA, limitando a inovação e as soluções de ponta no atendimento clínico.”
A IA também pode revolucionar a segurança cibernética na área da saúde, identificando e respondendo rapidamente a possíveis ameaças a dados, sistemas e aplicativos.
“Com a IA, os analistas de segurança podem detectar e responder a ataques sofisticados, como phishing e spear phishing, que estão se tornando mais comuns e baratos de executar devido ao uso de automação baseada em IA pelos invasores”, afirma Houlding. “Além disso, a IA pode fornecer orientação em tempo real, ajudando as equipes de segurança a aprimorar suas habilidades no trabalho, tornando-as mais bem preparadas para lidar com o cenário de ameaças em rápida evolução.”
À medida que as organizações da área da saúde fazem a transição para a nuvem, é essencial equilibrar inovação e segurança.
Escolhendo o parceiro certo para a resiliência cibernética
Ao aproveitar a segurança da nuvem e as proteções impulsionadas por IA, os prestadores de serviços de saúde podem proteger sistemas críticos e, ao mesmo tempo, impulsionar inovações clínicas no atendimento ao paciente.
“A Commvault é um parceiro confiável da Microsoft e fundamental para organizações de saúde que buscam verdadeira resiliência na nuvem no Azure. Eles têm um histórico incomparável e, como você ouviu de nossos colegas, sua proposta de valor é única e líder no setor”, afirma Karen Cox, líder global de estratégia de parcerias na área de saúde da Microsoft.
“A Commvault é líder e uma das primeiras participantes do Programa de Parceiros do Microsoft Copilot for Security, utilizando a tecnologia mais recente para proteger as empresas”, ela continua. “Suas soluções estão totalmente integradas à segurança da Microsoft, foram desenvolvidas em parceria com a Microsoft e seguem os padrões do Azure Protection Services. Isso torna a Commvault uma parceira ideal para proteger aplicativos e dados da área da saúde, seja na nuvem ou em um ambiente híbrido.”
As organizações de saúde podem fortalecer suas estratégias de recuperação contra ataques a prontuários eletrônicos (EHRs) utilizando o Cleanroom Recovery da Commvault, a única solução validada pelo Enterprise Strategy Group para garantir a recuperação em um ambiente limpo e seguro. Com o ransomware representando uma grande ameaça, um plano de recuperação seguro e auditável é essencial para retomar as operações de forma rápida e segura.
Ao utilizar a plataforma avançada de resiliência cibernética da Commvault, as organizações de saúde podem se recuperar de forma rápida e segura, sem o risco de reinfecção, protegendo os dados dos pacientes e garantindo a segurança operacional a longo prazo. Baixe nosso guia completo para preparar sua organização de saúde com etapas práticas e melhores práticas para recuperação cibernética.
