Para as organizações da área da saúde, proteger as informações confidenciais dos pacientes é fundamental. À medida que dependemos cada vez mais de sistemas digitais para armazenar, processar e transmitir informações de saúde protegidas (PHI), medidas de segurança criptográficas adequadas tornaram-se essenciais. É aí que entra em cena a Norma Federal de Processamento de Informações (FIPS) 140-2.
O que é a norma FIPS 140-2?
A FIPS 140-2 é uma norma de segurança do governo dos Estados Unidos que especifica os requisitos para módulos criptográficos utilizados na proteção de informações confidenciais. Publicada pelo Instituto Nacional de Padrões e Tecnologia (NIST), essa norma estabelece requisitos específicos de segurança que devem ser atendidos pelos módulos criptográficos para garantir a confidencialidade e a integridade das informações que protegem.
Para organizações da área da saúde que lidam com dados confidenciais de pacientes, a norma FIPS 140-2 oferece uma estrutura para a implementação de proteções criptográficas robustas, em conformidade com os requisitos da Regra de Segurança da Lei de Portabilidade e Responsabilidade em Seguros de Saúde (HIPAA) para a proteção de informações eletrônicas de saúde protegidas (ePHI). Saiba mais sobre as atualizações propostas para essa regra em nosso blog “A receita para a resiliência cibernética no setor da saúde”.
Principais features da norma FIPS 140-2
Quatro níveis de segurança
A norma FIPS 140-2 adota uma abordagem em camadas para a segurança, com quatro níveis distintos que oferecem proteção cada vez mais robusta:
- Nível 1: Exige equipamentos de nível de produção e pelo menos um algoritmo ou função de segurança aprovada. Não há exigência de mecanismos específicos de segurança física além dos componentes básicos de nível de produção.
- Nível 2: Incorpora mecanismos de segurança física, como revestimentos ou selos que indicam violação, ou fechaduras resistentes a arrombamento, e exige autenticação baseada em funções.
- Nível 3: Reforça a segurança física com medidas para detectar e responder a tentativas de acesso físico ou modificação. Impede que um invasor obtenha acesso a parâmetros críticos de segurança armazenados no módulo e inclui autenticação baseada em identidade.
- Nível 4: Oferece proteção completa ao redor do módulo criptográfico, com o objetivo de detectar e responder a todas as tentativas de acesso físico não autorizado. Os módulos de Nível 4 podem operar em ambientes sem proteção física.
A maioria das organizações da área da saúde costuma implementar proteção de Nível 2 ou Nível 3, equilibrando as necessidades de segurança com a praticidade operacional.
Especificação do Módulo Criptográfico
A norma FIPS 140-2 exige documentação detalhada do módulo criptográfico, incluindo portas e interfaces do módulo; operações manuais; projeto físico; componentes de hardware, software e firmware; e funções de segurança. Essa documentação abrangente proporciona transparência sobre como os dados confidenciais são protegidos e permite avaliações de segurança minuciosas.
Algoritmos aprovados
A norma FIPS 140-2 exige o uso de algoritmos criptográficos validados, incluindo:
- Criptografia de chave simétrica: AES, Triple DES
- Criptografia de chave assimétrica: RSA, DSA, ECDSA
- Hash seguro: SHA-256, SHA-384, SHA-512
- Autenticação de mensagens: HMAC, CMAC
O uso exclusivo de algoritmos validados garante que as implementações criptográficas atendam aos requisitos mínimos de segurança e não tenham sido comprometidas por vulnerabilidades conhecidas.
Gerenciamento de chaves
O gerenciamento adequado de chaves é fundamental para manter a segurança criptográfica. A norma FIPS 140-2 especifica requisitos para geração, estabelecimento, entrada e saída, armazenamento e zeragem (exclusão segura) de chaves. Para organizações da área da saúde, o gerenciamento adequado de chaves ajuda a manter a eficácia da criptografia e evita que chaves comprometidas levem a violações de dados.
Autoavaliação
A norma FIPS 140-2 exige que os módulos criptográficos realizem autotestes para validar se estão funcionando corretamente. Isso inclui testes de inicialização executados automaticamente, testes condicionais realizados quando funções específicas são acionadas e testes contínuos do gerador de números aleatórios. Esses requisitos de teste ajudam a manter a confiabilidade contínua das proteções criptográficas.
A importância da conformidade com a norma FIPS 140-2 no setor de saúde
Alinhamento jurídico e regulatório
Embora a HIPAA não exija explicitamente a conformidade com a norma FIPS 140-2, a Regra de Segurança da HIPAA exige medidas adequadas para garantir a confidencialidade, a integridade e a disponibilidade das ePHI. A norma FIPS 140-2 constitui um padrão reconhecido que atende a muitos dos requisitos de criptografia da HIPAA.
Além disso, outras regulamentações que afetam as organizações da área da saúde — como a Lei Federal de Gestão da Segurança da Informação (FISMA) — podem exigir explicitamente a conformidade com a norma FIPS 140-2 para órgãos federais e seus contratados, o que pode incluir prestadores de serviços de saúde que trabalham com o Medicare, o Medicaid ou a Administração de Veteranos.
Mitigação de riscos
Vazamentos de dados na área da saúde podem ser catastróficos, tanto para os pacientes cuja privacidade é comprometida quanto para as organizações que enfrentam penalidades financeiras, custos de correção e danos à reputação. A conformidade com a norma FIPS 140-2 reduz significativamente o risco de vazamentos decorrentes de falhas criptográficas, ao confirmar:
- As implementações criptográficas seguem as melhores práticas comprovadas.
- As vulnerabilidades de segurança são identificadas e corrigidas.
- Os métodos de criptografia são capazes de resistir a ataques sofisticados.
Confiança do paciente
Além dos requisitos regulatórios, a implementação de medidas robustas de proteção de dados demonstra um compromisso com a privacidade dos pacientes. Quando as organizações da área da saúde conseguem garantir aos pacientes que suas informações confidenciais estão protegidas por padrões de segurança validados pelo governo, isso gera confiança em um mundo cada vez mais preocupado com a privacidade.
Avaliação de fornecedores
A certificação FIPS 140-2 oferece um parâmetro claro para a avaliação de fornecedores de tecnologia. Ao selecionar sistemas que irão processar ou armazenar ePHI, as organizações da área da saúde podem utilizar a conformidade com a norma FIPS 140-2 como um critério fundamental, simplificando o processo de avaliação de fornecedores e garantindo que os requisitos básicos de segurança sejam atendidos.
Como a Commvault garante a conformidade com a norma FIPS 140-2
A plataforma abrangente de gerenciamento de dados da Commvault oferece suporte robusto para organizações do setor de saúde que buscam a conformidade com a norma FIPS 140-2 por meio de vários recursos essenciais:
Módulos criptográficos validados pela FIPS
A Commvault incorpora módulos criptográficos que foram validados no âmbito do Programa de Validação de Módulos Criptográficos (CMVP) do NIST. Esses módulos foram submetidos a testes rigorosos por laboratórios credenciados pelo NIST para verificar sua conformidade com os requisitos da norma FIPS 140-2, oferecendo às organizações da área da saúde a garantia de que suas medidas de proteção de dados atendem aos padrões federais.
Criptografia de ponta a ponta
A Commvault oferece recursos abrangentes de criptografia que protegem os dados da área da saúde ao longo de todo o seu ciclo de vida:
- Criptografia durante a transmissão: Todas as transferências de dados entre os componentes da Commvault utilizam o TLS 1.2 ou versão superior, com algoritmos de criptografia aprovados pela FIPS, protegendo as informações confidenciais da área da saúde durante a transmissão.
- Criptografia em repouso: a Commvault protege os dados da área da saúde armazenados por meio da criptografia AES-256 aprovada pela FIPS, protegendo backups, arquivos e outros repositórios de dados contra acesso não autorizado.
- Criptografia no lado do cliente: os dados podem ser criptografados antes de saírem do sistema de origem, de modo que permaneçam protegidos durante todo o processo de Backup and Recovery.
Gerenciamento seguro de chaves
O sistema integrado de gerenciamento de chaves da Commvault está em conformidade com os requisitos da norma FIPS 140-2 para o manuseio seguro de chaves:
- Gerenciamento centralizado de chaves: as chaves de criptografia são gerenciadas por meio de um sistema centralizado, orientado por políticas, que mantém controles de acesso rigorosos.
- Rotação de chaves: os recursos automatizados de rotação de chaves permitem que as organizações do setor da saúde atualizem periodicamente as chaves de criptografia sem interromper as operações, seguindo as melhores práticas de criptografia.
- Armazenamento seguro de chaves: as chaves de criptografia são armazenadas com várias camadas de proteção, incluindo a opção de integração com Módulos de Segurança de Hardware externos para maior segurança.
Controles de acesso baseados em identidade
A Commvault implementa mecanismos robustos de autenticação e autorização que estão em conformidade com os requisitos de segurança da norma FIPS 140-2:
- Controle de acesso baseado em funções: as configurações detalhadas de permissão garantem que apenas o pessoal autorizado tenha acesso a dados confidenciais da área da saúde ou execute operações críticas no sistema.
- Autenticação multifatorial: o suporte à MFA oferece uma camada adicional de segurança ao acessar o console de gerenciamento ou os dados da Commvault.
- Registro detalhado de auditoria: registros abrangentes de atividades rastreiam todos os acessos a informações protegidas da área da saúde, auxiliando nas auditorias de conformidade e nas investigações de segurança.
Operação no modo FIPS
A Commvault permite que as organizações da área da saúde ativem o “modo FIPS”, que impõe o uso exclusivo de algoritmos e módulos criptográficos aprovados pela FIPS em todo o ambiente de gerenciamento de dados. Quando o modo FIPS é ativado:
- Os algoritmos que não estão em conformidade com a norma FIPS ficam desativados.
- São utilizados apenas módulos criptográficos validados.
- As configurações de segurança são definidas automaticamente para atender aos requisitos da FIPS.
Essa abordagem simplificada à conformidade reduz a carga administrativa sobre as equipes de TI do setor de saúde e minimiza o risco de erros de configuração que poderiam comprometer a segurança.
Integração perfeita com sistemas de saúde
A plataforma da Commvault integra-se aos principais sistemas de informação da área da saúde, mantendo a conformidade com a norma FIPS 140-2:
- Proteção do sistema de prontuários eletrônicos de saúde: conectores especializados para os principais sistemas de prontuários eletrônicos de saúde permitem que os dados dos pacientes sejam copiados e recuperados com segurança.
- Suporte a imagens médicas: os recursos de backup atendem à norma internacional Digital Imaging and Communications in Medicine (DICOM) para armazenamento, troca e uso de dados de imagens médicas, mantendo a conformidade com os requisitos da HIPAA e da FIPS.
- Proteção de ambientes virtuais: as organizações da área da saúde que executam aplicativos críticos em ambientes virtualizados podem manter a conformidade com a norma FIPS por meio dos recursos de proteção de máquinas virtuais da Commvault.
Documentação e Relatórios de Conformidade
A Commvault simplifica os requisitos de documentação associados à conformidade com a norma FIPS 140-2:
- Certificados de validação: Acesso aos certificados de validação FIPS 140-2 para os módulos criptográficos da Commvault.
- Relatórios de conformidade: ferramentas integradas de geração de relatórios que documentam o status da criptografia, as atividades de gerenciamento de chaves e outras métricas relacionadas à segurança.
- Suporte à auditoria: registros e relatórios abrangentes que simplificam o processo de comprovação da conformidade durante auditorias regulatórias.
Implementação da norma FIPS 140-2 em ambientes de saúde
Realização de um inventário
O primeiro passo para a conformidade com a norma FIPS 140-2 é identificar todos os sistemas e aplicativos que processam dados confidenciais da área da saúde. Isso inclui:
- Sistemas de prontuários eletrônicos (EHR)
- Sistemas de imagens médicas
- Sistemas de informação laboratorial
- Sistemas de faturamento e administrativos
- Dispositivos móveis utilizados por profissionais de saúde
- Soluções de backup e armazenamento de dados
Validação de módulos criptográficos
Para cada sistema identificado, determine se ele utiliza módulos criptográficos validados pela norma FIPS 140-2. O NIST mantém uma lista de módulos validados, conhecida como CMVP. Os fornecedores devem ser capazes de apresentar seus certificados de validação FIPS 140-2 e os respectivos números de referência.
Superando as lacunas
Para sistemas que não estão em conformidade com a norma FIPS 140-2, as organizações da área da saúde têm várias opções:
- Atualizar para versões em conformidade com a norma FIPS.
- Implemente camadas adicionais de criptografia utilizando módulos validados.
- Substituir os sistemas não conformes por alternativas que estejam em conformidade.
- Solicite isenções caso existam controles compensatórios adequados em vigor.
Documentação e Treinamento
Manter uma documentação abrangente das medidas de conformidade com a norma FIPS 140-2 é essencial tanto para a governança interna quanto para as auditorias regulatórias. Além disso, os funcionários devem receber treinamento sobre a importância da criptografia e do manuseio adequado de dados confidenciais.
Conclusão
A conformidade com a norma FIPS 140-2 representa mais do que apenas um requisito regulatório a ser cumprido — é um componente fundamental de uma estratégia robusta de segurança de dados na área da saúde. Ao implementar proteções criptográficas que atendam a essa norma rigorosa, as organizações da área da saúde podem reduzir significativamente o risco de violações de dados, conquistar a confiança dos pacientes e evitar violações de conformidade que acarretam custos elevados.
À medida que o setor de saúde continua se digitalizando e as ameaças cibernéticas se tornam cada vez mais sofisticadas, a adesão a padrões de segurança reconhecidos, como o FIPS 140-2, não é mais opcional — trata-se de um aspecto fundamental da prestação responsável de serviços de saúde na era digital.
Ao optar pelas soluções de gerenciamento de dados da Commvault, em conformidade com a norma FIPS 140-2, as instituições de saúde podem proteger com confiança as informações confidenciais dos pacientes e, ao mesmo tempo, simplificar os esforços de conformidade. Nossa abordagem abrangente à proteção de dados não apenas atende aos requisitos regulatórios atuais, mas também fornece uma base para lidar com as mudanças contínuas no cenário de segurança.
