O Microsoft Active Directory (AD) é a base da maioria das redes de TI corporativas, fornecendo autenticação e autorização essenciais para aplicativos e recursos críticos para os negócios. Seu papel central também o torna um alvo principal para invasores que buscam comprometer as empresas ou, em alguns casos, derrubar toda a rede. Quando o AD fica fora do ar, as atividades da empresa ficam paralisadas. Você está preparado para o pior cenário possível?

Hoje, temos o prazer de anunciar o lançamento geral do Commvault Cloud Backup and Recovery for Active Directory Enterprise Edition, que oferece recuperação completa e automatizada de florestas do Active Directory, permitindo a restauração rápida da floresta do Active Directory para ajudar a manter a continuidade dos negócios.

AD Recovery é fundamental para a continuidade dos negócios

O AD é o centro de autenticação e serviços seguros, e sua capacidade de recuperação é fundamental diante de interrupções ou ataques de ransomware. Aplicativos, sistemas de arquivos, serviços de e-mail e bancos de dados dependem do AD para uma autenticação adequada e um controle seguro do acesso dos usuários; portanto, quando o AD é danificado ou fica completamente fora do ar, os aplicativos e serviços essenciais que ele suporta ficam inacessíveis.

Considere o impacto: os funcionários do banco não conseguem acessar as contas dos clientes. Médicos e enfermeiros não conseguem acessar os prontuários médicos. Programadores e desenvolvedores não conseguem publicar códigos. As equipes não conseguem colaborar nem se comunicar por chat para realizar o trabalho.

Sem o AD, a empresa não consegue continuar operando. Os cibercriminosos sabem disso, e é por isso que fazem do AD um alvo principal em 9 de cada 10 ataques cibernéticos. Quando ocorre um desastre, a recuperação do AD é vital, mas, tradicionalmente, tem sido muito difícil de realizar, exigindo processos manuais complexos e demorados.

Como os ransomwares têm cada vez mais como alvo a infraestrutura crítica de identidade, é essencial contar com um plano de Recovery bem documentado e testado com frequência para restaurar e reconstruir todo o seu ambiente do Active Directory, levando-o de volta ao estado em que se encontrava antes do ataque.  

As complexidades da recuperação florestal em áreas de desmatamento

A Microsoft fornece orientações prescritivas sobre como reconstruir uma floresta inteira do Active Directory após um desastre catastrófico em seu Guia de Recovery da Floresta do Active Directory. Devido à natureza complexa do Active Directory, os elementos envolvidos em uma recuperação completa da floresta são rígidos, prescritivos, demorados e altamente suscetíveis a erros humanos. Dependendo da complexidade da sua arquitetura do Active Directory, o processo pode envolver de 50 a 100 tarefas, ou até mais.

Devido à natureza distribuída e à arquitetura multimestre do AD, sua restauração exige uma coordenação meticulosa. Não é possível simplesmente restaurar os controladores de domínio a partir do backup e dar o trabalho por encerrado. Existem dezenas de etapas complexas de limpeza que precisam ser executadas nos controladores de domínio recuperados e no próprio AD, em momentos muito específicos ao longo da Recovery da floresta. Se essas etapas não forem seguidas corretamente, existe o risco de introduzir novas corrupções ou inconsistências no ambiente recuperado, o que pode ser muito difícil, se não impossível, de resolver.

Depender de um plano manual de recuperação de desastres ou de ataques cibernéticos e de ferramentas prontas para uso pode significar que a restauração de toda uma floresta do AD leve dias. Em caso de desastre, o tempo é essencial, e quanto mais tempo for necessário para restaurar os componentes do AD ao estado operacional, maior será o impacto nos negócios.

Automatize e acelere a Recovery do AD com o Commvault Cloud

O Commvault Cloud Backup and Recovery for AD Enterprise Edition oferece um novo nível de resiliência ao AD, permitindo a recuperação automatizada e rápida da floresta do Active Directory para um estado anterior ao ataque. Essa automação elimina processos manuais lentos e propensos a erros, reduzindo o risco de falhas e acelerando os tempos de recuperação. Veja como funciona:

• Facilite a recuperação do AD por meio de runbooks automatizados: os runbooks automatizados de recuperação de floresta orquestram o processo de várias etapas necessário para a recuperação da floresta do AD, incluindo as tarefas essenciais de manutenção do AD necessárias para verificar a consistência no diretório recuperado, como a atribuição de funções FSMO e o ajuste do conjunto de RIDs. Esses runbooks também podem ser usados para testes regulares em ambientes que não sejam de produção, a fim de aprimorar a Readiness cibernética.
• Permita a recuperação rápida da infraestrutura mais importante do AD: as visualizações topológicas do seu ambiente do AD permitem identificar de forma simples e rápida quais controladores de domínio devem ser restaurados primeiro e como devem ser recuperados, a fim de acelerar a disponibilidade dos serviços do AD.
• Acompanhe o andamento da recuperação com visualizações passo a passo do manual de procedimentos: as visualizações prescritivas do manual de procedimentos do processo de recuperação oferecem total transparência e controle detalhado, permitindo que você adapte facilmente o fluxo de trabalho ao seu ambiente. Durante a recuperação, você tem visibilidade total sobre em que etapa do processo se encontra e quanto tempo levará para que o AD volte a ficar online.

• Acelere os tempos de recuperação e aumente a resiliência: a recuperação manual de uma floresta do AD pode levar dias ou até semanas para ser concluída, mas, com a Commvault, é possível recuperá-la em uma fração desse tempo. O Commvault Cloud integra a recuperação da floresta do AD à recuperação granular tanto do AD quanto do Entra ID, oferecendo proteção abrangente. 

Leve sua proteção contra anúncios a um novo patamar

O Commvault Cloud Backup and Recovery para AD Enterprise Edition já está disponível, oferecendo proteção, Recovery e resiliência cibernética para o seu ambiente AD. Acesse a página da solução AD para saber mais ou experimente a solução em primeira mão por meio de nossa demonstração interativa. Veja por si mesmo como a Commvault pode aprimorar sua estratégia de proteção do AD.

A rápida evolução das variantes de ransomware, das táticas de engenharia social e dos ataques baseados em inteligência artificial pode fazer com que a resiliência cibernética pareça uma batalha impossível. Mas a segurança cibernética vai além de tentar ser mais esperto que os invasores. Embora seja verdade que ameaças mais sofisticadas exijam defesas mais avançadas, também existem medidas surpreendentemente simples que você pode adotar para reduzir significativamente o seu risco.

Neste blog, exploraremos quatro práticas recomendadas de proteção de dados fáceis de implementar, seu papel em uma estratégia de defesa cibernética em várias camadas e como a Commvault ajuda os clientes a colocá-las em prática.

1. Implantar imagens pré-protegidas.

Mesmo a fechadura mais resistente não adianta nada se você deixar as janelas abertas. Nada menos que 23% dos ataques à infraestrutura em nuvem envolvem vulnerabilidades comuns de configuração, como políticas de rede excessivamente permissivas, serviços e portas desnecessários e protocolos não seguros. Corrija essas falhas e você já terá feito uma grande diferença para a segurança da sua superfície de ataque.

Por que tantas empresas deixam vulnerabilidades comumente exploradas em seus ambientes de nuvem? Muitas vezes, elas simplesmente estão agindo com tanta pressa que não conseguem garantir que as imagens que implantam estejam seguras. Mas a Commvault pode ajudar a cuidar dessa etapa para elas.

A Commvault Cloud Platform está disponível em imagens pré-fortificadas, configuradas de acordo com os padrões de referência do Center for Internet Security (CIS). Essas práticas recomendadas integradas ajudam a reduzir vulnerabilidades ao:

• Alterar as configurações padrão do software, como políticas de senha, configurações de bloqueio de conta e níveis de registro, para priorizar a segurança.
• Desativar protocolos desatualizados ou inseguros, como SMBv1, SSLv3 e a cifra RC4.
• Desativar serviços desnecessários e fechar portas não utilizadas em sistemas operacionais e aplicativos.
• Remover shells que possam servir como porta de entrada para que invasores executem códigos maliciosos.

Além dessas imagens do CIS preparadas para novas implantações, a Commvault também pode fornecer scripts para que os clientes validem e reforcem as configurações de seus ambientes existentes. Ao eliminar vulnerabilidades comuns decorrentes de configurações incorretas, ajudamos a evitar que brechas de segurança convidem ataques.

2. Proteja o Active Directory.

Como centro de controle central para acesso e autorização em toda a sua rede, o Active Directory (AD) é tanto um alvo privilegiado de ataques quanto um vetor de ataque letal. Para os invasores, invadir o AD é como roubar o cartão de acesso do seu prédio, permitindo que eles se movimentem silenciosamente pelo seu ambiente, elevem privilégios para aplicativos e dados críticos e estabeleçam uma base para controlar os ativos da sua empresa. Eles também podem bloquear o acesso de usuários legítimos, paralisando suas operações. Para bloquear essas táticas, é preciso proteger os dados do AD e reverter quaisquer alterações que eles consigam fazer.

A Commvault pode ajudá-lo a proteger o AD contra ataques, garantindo a segurança de seus objetos de política de grupo, usuários, grupos, políticas de acesso condicional, funções e muito mais. Se alguma alteração prejudicial for feita — seja intencionalmente por invasores ou por engano por seus próprios administradores —, você poderá recuperar rapidamente quaisquer objetos excluídos ou restaurar atributos sobrescritos. Para simplificar, também oferecemos a granularidade necessária para reverter apenas os atributos dos objetos que lhe interessam, sem a necessidade de fazer uma restauração completa do AD. No entanto, se você precisar restaurar todo o ambiente do AD, também facilitamos esse processo.

3. Mantenha os backups fora do alcance do ransomware.

Praticamente todos os ataques de ransomware também têm como alvo a infraestrutura de backup. Afinal, se as organizações puderem simplesmente restaurar seus ativos comprometidos, o ataque inicial fracassa — não há necessidade de resgate, nem ganho para os invasores. Isso faz com que backups frequentes e seguros sejam a solução definitiva para a defesa contra ransomware. 

Existem muitas maneiras de proteger backups, mas o “air gap” se destaca como uma medida excepcionalmente elegante e eficaz. É simples: se não for possível acessar seus backups nem de dentro nem de fora da sua organização, não há como os invasores chegarem até eles para manipulá-los ou excluí-los. Mesmo que todas as suas outras defesas falhem e seus dados primários sejam criptografados ou excluídos, você poderá se recuperar rapidamente e voltar ao trabalho.

A Commvault possibilita o air gap por meio da nossa solução Commvault AirGap. Armazenamos uma cópia secundária à prova de adulterações de seus backups, em um formato imutável, em um armazenamento em nuvem seguro e isolado. Não importa o que aconteça na rede corporativa, você ainda terá uma cópia limpa e não infectada do seu ambiente de produção para restaurar. Isso é uma vitória para você e uma derrota para os invasores.

4. Exigir autorização de várias pessoas.

A maioria das empresas já utiliza a autenticação multifatorial (MFA) para impedir o acesso não autorizado, como de fato deveria. Mas, no atual cenário de ameaças graves, algumas situações — como a exclusão de um backup ou a autorização de uma solicitação de restauração — exigem níveis ainda mais elevados de rigor.

A autorização por múltiplas pessoas vai além da MFA, exigindo não apenas uma segunda prova de identidade da mesma pessoa, mas a aprovação de uma pessoa totalmente diferente – ou até mesmo de várias pessoas. Dessa forma, mesmo que os invasores obtenham o controle de vários fatores de autenticação, como comprometer tanto a conta de um usuário quanto seu dispositivo, eles ainda não estarão em posição de agir. O mesmo vale para um colaborador mal-intencionado: com a exigência de aprovações adicionais, um funcionário desonesto não consegue realizar um ataque sozinho. 

As soluções da Commvault permitem que os clientes implementem fluxos de trabalho de autorização envolvendo várias pessoas para uma ampla gama de tarefas que podem ser consideradas destrutivas, incluindo:

• Interromper um processo de backup de um sistema, servidor ou compartilhamento de arquivos.
• Excluir ou restaurar um backup.
• Remover a autorização de um agente ou conjunto de backup.

Os administradores podem configurar o número de aprovadores, grupos de usuários e usuários específicos necessários para autorizar tarefas específicas.

Se você ainda não está aplicando todas essas quatro medidas, deveria fazê-lo. Nunca afirmaríamos que elas constituem uma estratégia abrangente de defesa cibernética — você ainda precisará realizar todas as outras ações, desde a análise de inteligência de ameaças e o gerenciamento de vulnerabilidades até a implantação de sua infraestrutura de segurança. Mas, quando medidas tão simples podem reduzir significativamente o seu risco, a única questão a se considerar é em quanto tempo você pode começar.

Saiba mais sobre como o Commvault Cloud pode ajudá-lo a proteger sua rede contra ataques cibernéticos por meio de uma estratégia de defesa em várias camadas.

Para as organizações da área da saúde, proteger as informações confidenciais dos pacientes é fundamental. À medida que dependemos cada vez mais de sistemas digitais para armazenar, processar e transmitir informações de saúde protegidas (PHI), medidas de segurança criptográficas adequadas tornaram-se essenciais. É aí que entra em cena a Norma Federal de Processamento de Informações (FIPS) 140-2.

O que é a norma FIPS 140-2?

A FIPS 140-2 é uma norma de segurança do governo dos Estados Unidos que especifica os requisitos para módulos criptográficos utilizados na proteção de informações confidenciais. Publicada pelo Instituto Nacional de Padrões e Tecnologia (NIST), essa norma estabelece requisitos específicos de segurança que devem ser atendidos pelos módulos criptográficos para garantir a confidencialidade e a integridade das informações que protegem.

Para organizações da área da saúde que lidam com dados confidenciais de pacientes, a norma FIPS 140-2 oferece uma estrutura para a implementação de proteções criptográficas robustas, em conformidade com os requisitos da Regra de Segurança da Lei de Portabilidade e Responsabilidade em Seguros de Saúde (HIPAA) para a proteção de informações eletrônicas de saúde protegidas (ePHI). Saiba mais sobre as atualizações propostas para essa regra em nosso blog “A receita para a resiliência cibernética na área da saúde”.

Principais features da norma FIPS 140-2

Quatro níveis de segurança

A norma FIPS 140-2 adota uma abordagem em camadas para a segurança, com quatro níveis distintos que oferecem proteção cada vez mais robusta:

1. Nível 1: Requer equipamentos de nível de produção e, pelo menos, um algoritmo ou função de segurança aprovada. Não há exigência de mecanismos específicos de segurança física além dos componentes básicos de nível de produção.

2. Nível 2: Incorpora mecanismos de segurança física, como revestimentos ou selos que indicam violação, ou fechaduras resistentes a arrombamento, e exige autenticação baseada em funções.

3. Nível 3: Reforça a segurança física por meio de medidas destinadas a detectar e responder a tentativas de acesso físico ou modificação. Impede que um invasor obtenha acesso a parâmetros críticos de segurança armazenados no módulo e inclui autenticação baseada em identidade.

4. Nível 4: Oferece proteção completa ao redor do módulo criptográfico, com o objetivo de detectar e responder a todas as tentativas de acesso físico não autorizado. Os módulos de Nível 4 podem operar em ambientes sem proteção física.

A maioria das organizações da área da saúde costuma implementar proteção de Nível 2 ou Nível 3, equilibrando as necessidades de segurança com a praticidade operacional.

Especificação do Módulo Criptográfico

A norma FIPS 140-2 exige documentação detalhada do módulo criptográfico, incluindo portas e interfaces do módulo; operações manuais; projeto físico; componentes de hardware, software e firmware; e funções de segurança. Essa documentação abrangente proporciona transparência sobre como os dados confidenciais são protegidos e permite avaliações de segurança minuciosas.

Algoritmos aprovados

A norma FIPS 140-2 exige o uso de algoritmos criptográficos validados, incluindo:

• Criptografia de chave simétrica: AES, Triple DES
• Criptografia de chave assimétrica: RSA, DSA, ECDSA
• Hash seguro: SHA-256, SHA-384, SHA-512
• Autenticação de mensagens: HMAC, CMAC

O uso exclusivo de algoritmos validados garante que as implementações criptográficas atendam aos requisitos mínimos de segurança e não tenham sido comprometidas por vulnerabilidades conhecidas.

Gerenciamento de Chaves

O gerenciamento adequado de chaves é fundamental para manter a segurança criptográfica. A norma FIPS 140-2 especifica requisitos para geração, estabelecimento, entrada e saída, armazenamento e zeragem (exclusão segura) de chaves. Para organizações da área da saúde, o gerenciamento adequado de chaves ajuda a manter a eficácia da criptografia e evita que chaves comprometidas levem a violações de dados.

Autoavaliação

A norma FIPS 140-2 exige que os módulos criptográficos realizem autotestes para validar se estão funcionando corretamente. Isso inclui testes de inicialização executados automaticamente, testes condicionais realizados quando funções específicas são acionadas e testes contínuos do gerador de números aleatórios. Esses requisitos de teste ajudam a manter a confiabilidade contínua das proteções criptográficas.

A importância da conformidade com a norma FIPS 140-2 no setor de saúde

Alinhamento jurídico e regulatório

Embora a HIPAA não exija explicitamente a conformidade com a norma FIPS 140-2, a Regra de Segurança da HIPAA exige medidas adequadas para garantir a confidencialidade, a integridade e a disponibilidade das ePHI. A norma FIPS 140-2 constitui um padrão reconhecido que atende a muitos dos requisitos de criptografia da HIPAA.

Além disso, outras regulamentações que afetam as organizações da área da saúde — como a Lei Federal de Gestão da Segurança da Informação (FISMA) — podem exigir explicitamente a conformidade com a norma FIPS 140-2 para órgãos federais e seus contratados, o que pode incluir prestadores de serviços de saúde que trabalham com o Medicare, o Medicaid ou a Administração de Veteranos.

Mitigação de riscos

Vazamentos de dados na área da saúde podem ser catastróficos, tanto para os pacientes cuja privacidade é comprometida quanto para as organizações que enfrentam penalidades financeiras, custos de correção e danos à reputação. A conformidade com a norma FIPS 140-2 reduz significativamente o risco de vazamentos decorrentes de falhas criptográficas, ao confirmar:

• As implementações criptográficas seguem as melhores práticas comprovadas.
• As vulnerabilidades de segurança são identificadas e corrigidas.
• Os métodos de criptografia são capazes de resistir a ataques sofisticados.

Confiança do paciente

Além dos requisitos regulatórios, a implementação de medidas robustas de proteção de dados demonstra um compromisso com a privacidade dos pacientes. Quando as organizações da área da saúde conseguem garantir aos pacientes que suas informações confidenciais estão protegidas por padrões de segurança validados pelo governo, isso gera confiança em um mundo cada vez mais preocupado com a privacidade.

Avaliação de fornecedores

A certificação FIPS 140-2 oferece um parâmetro claro para a avaliação de fornecedores de tecnologia. Ao selecionar sistemas que irão processar ou armazenar ePHI, as organizações da área da saúde podem utilizar a conformidade com a norma FIPS 140-2 como um critério fundamental, simplificando o processo de avaliação de fornecedores e garantindo que os requisitos básicos de segurança sejam atendidos.

Como a Commvault garante a conformidade com a norma FIPS 140-2

A plataforma abrangente de gerenciamento de dados da Commvault oferece suporte robusto para organizações do setor de saúde que buscam a conformidade com a norma FIPS 140-2 por meio de vários recursos essenciais:

Módulos criptográficos validados pela FIPS

A Commvault incorpora módulos criptográficos que foram validados no âmbito do Programa de Validação de Módulos Criptográficos (CMVP) do NIST. Esses módulos foram submetidos a testes rigorosos por laboratórios credenciados pelo NIST para verificar sua conformidade com os requisitos da norma FIPS 140-2, oferecendo às organizações da área da saúde a garantia de que suas medidas de proteção de dados atendem aos padrões federais.

Criptografia de ponta a ponta

A Commvault oferece recursos abrangentes de criptografia que protegem os dados da área da saúde ao longo de todo o seu ciclo de vida:

• Criptografia durante a transmissão: Todas as transferências de dados entre os componentes da Commvault utilizam o TLS 1.2 ou versão superior, com algoritmos de criptografia aprovados pela FIPS, protegendo as informações confidenciais da área da saúde durante a transmissão.
• Criptografia em repouso: a Commvault protege os dados da área da saúde armazenados por meio da criptografia AES-256 aprovada pela FIPS, protegendo backups, arquivos e outros repositórios de dados contra acesso não autorizado.
• Criptografia no lado do cliente: os dados podem ser criptografados antes de saírem do sistema de origem, de modo que permaneçam protegidos durante todo o processo de Backup and Recovery.

Gerenciamento seguro de chaves

O sistema integrado de gerenciamento de chaves da Commvault está em conformidade com os requisitos da norma FIPS 140-2 para o manuseio seguro de chaves:

• Gerenciamento centralizado de chaves: as chaves de criptografia são gerenciadas por meio de um sistema centralizado, orientado por políticas, que mantém controles de acesso rigorosos.
• Rotação de chaves: os recursos automatizados de rotação de chaves permitem que as organizações do setor da saúde atualizem periodicamente as chaves de criptografia sem interromper as operações, seguindo as melhores práticas de criptografia.
• Armazenamento seguro de chaves: as chaves de criptografia são armazenadas com várias camadas de proteção, incluindo a opção de integração com Módulos de Segurança de Hardware externos para maior segurança.

Controles de acesso baseados em identidade

A Commvault implementa mecanismos robustos de autenticação e autorização que estão em conformidade com os requisitos de segurança da norma FIPS 140-2:

• Controle de acesso baseado em funções: as configurações detalhadas de permissão garantem que apenas o pessoal autorizado tenha acesso a dados confidenciais da área da saúde ou execute operações críticas no sistema.
• Autenticação multifatorial: o suporte à MFA oferece uma camada adicional de segurança ao acessar o console de gerenciamento ou os dados da Commvault.
• Registro detalhado de auditoria: registros abrangentes de atividades rastreiam todos os acessos a informações protegidas da área da saúde, auxiliando nas auditorias de conformidade e nas investigações de segurança.

Operação no modo FIPS

A Commvault permite que as organizações da área da saúde ativem o “modo FIPS”, que impõe o uso exclusivo de algoritmos e módulos criptográficos aprovados pela FIPS em todo o ambiente de gerenciamento de dados. Quando o modo FIPS é ativado:

• Os algoritmos que não estão em conformidade com a norma FIPS estão desativados.
• São utilizados apenas módulos criptográficos validados.
• As configurações de segurança são definidas automaticamente para atender aos requisitos da FIPS.

Essa abordagem simplificada à conformidade reduz a carga administrativa sobre as equipes de TI da área da saúde e minimiza o risco de erros de configuração que poderiam comprometer a segurança.

Integração perfeita com sistemas de saúde

A plataforma da Commvault se integra aos principais sistemas de informação da área da saúde, mantendo a conformidade com a norma FIPS 140-2:

• Proteção do sistema de prontuários eletrônicos de saúde: conectores especializados para os principais sistemas de prontuários eletrônicos de saúde permitem que os dados dos pacientes sejam copiados e recuperados com segurança.
• Suporte à imagem médica: os recursos de backup atendem à norma internacional Digital Imaging and Communications in Medicine (DICOM) para armazenamento, troca e uso de dados de imagem médica, mantendo a conformidade com os requisitos da HIPAA e da FIPS.
• Proteção de ambientes virtuais: As organizações da área da saúde que executam aplicativos críticos em ambientes virtualizados podem manter a conformidade com a norma FIPS por meio dos recursos de proteção de máquinas virtuais da Commvault.

Documentação e Relatórios de Conformidade

A Commvault simplifica os requisitos de documentação associados à conformidade com a norma FIPS 140-2:

• Certificados de validação: Acesso aos certificados de validação FIPS 140-2 para os módulos criptográficos da Commvault.
• Relatórios de conformidade: Ferramentas integradas de geração de relatórios que documentam o status da criptografia, as atividades de gerenciamento de chaves e outras métricas relacionadas à segurança.
• Suporte à auditoria: registros e relatórios abrangentes que simplificam o processo de comprovação da conformidade durante auditorias regulatórias.

Implementação da norma FIPS 140-2 em ambientes de saúde

Realização de um inventário

O primeiro passo para a conformidade com a norma FIPS 140-2 é identificar todos os sistemas e aplicativos que processam dados confidenciais da área da saúde. Isso inclui:

• Sistemas de prontuários eletrônicos (EHR)
• Sistemas de imagens médicas
• Sistemas de informação laboratorial
• Sistemas de faturamento e administrativos
• Dispositivos móveis utilizados por profissionais de saúde
• Soluções de backup e armazenamento de dados

Validação de módulos criptográficos

Para cada sistema identificado, determine se ele utiliza módulos criptográficos validados pela norma FIPS 140-2. O NIST mantém uma lista de módulos validados, conhecida como CMVP. Os fornecedores devem ser capazes de apresentar seus certificados de validação FIPS 140-2 e os respectivos números de referência.

Superando as lacunas

Para sistemas que não estão em conformidade com a norma FIPS 140-2, as organizações da área da saúde têm várias opções:

• Atualize para versões em conformidade com a norma FIPS.
• Implemente camadas adicionais de criptografia utilizando módulos validados.
• Substitua os sistemas que não estão em conformidade por alternativas que estejam em conformidade.
• Solicite isenções caso existam controles compensatórios adequados em vigor.

Documentação e Treinamento

Manter uma documentação abrangente das medidas de conformidade com a norma FIPS 140-2 é essencial tanto para a governança interna quanto para as auditorias regulatórias. Além disso, os funcionários devem receber treinamento sobre a importância da criptografia e do manuseio adequado de dados confidenciais.

Conclusão

A conformidade com a norma FIPS 140-2 representa mais do que apenas um requisito regulatório a ser cumprido — é um componente fundamental de uma estratégia robusta de segurança de dados na área da saúde. Ao implementar proteções criptográficas que atendam a essa norma rigorosa, as organizações da área da saúde podem reduzir significativamente o risco de violações de dados, conquistar a confiança dos pacientes e evitar violações de conformidade que acarretam custos elevados.

À medida que o setor de saúde continua a se digitalizar e as ameaças cibernéticas se tornam cada vez mais sofisticadas, a adesão a padrões de segurança reconhecidos, como o FIPS 140-2, não é mais opcional — trata-se de um aspecto fundamental da prestação responsável de serviços de saúde na era digital.

Ao optar pelas soluções de gerenciamento de dados da Commvault, em conformidade com a norma FIPS 140-2, as instituições de saúde podem proteger com confiança as informações confidenciais dos pacientes e, ao mesmo tempo, simplificar os esforços de conformidade. Nossa abordagem abrangente à proteção de dados não apenas atende aos requisitos regulatórios atuais, mas também fornece uma base para lidar com as mudanças contínuas no cenário de segurança.

Já se passaram quase 30 anos desde que a Lei de Portabilidade e Responsabilidade do Seguro Saúde (HIPAA) entrou em vigor. Entre outras disposições, ela protege os pacientes, impedindo a divulgação de informações médicas confidenciais sem o consentimento deles. Ao longo dos anos, a lei foi atualizada e alterada em resposta às mudanças tecnológicas e à legislação e políticas relacionadas à área da saúde.

No ano passado, o Departamento de Saúde e Serviços Humanos dos Estados Unidos (HHS) propôs alterações significativas à Regra de Segurança da HIPAA para reforçar a segurança cibernética dos prontuários eletrônicos (EHR). As mais recentes modificações foram elaboradas em resposta ao aumento da manutenção e transferência de registros eletrônicos, ao aumento do número e da gravidade das violações de segurança, bem como a outras práticas de segurança cibernética e questões relacionadas à aplicação da lei que se alteraram ou surgiram desde a última atualização da regra, em 2013.

Um componente essencial desta proposta determina que as entidades abrangidas estabeleçam procedimentos por escrito para restaurar sistemas de informação eletrônicos críticos e dados no prazo de 72 horas após uma perda. Essa exigência visa permitir que as organizações de saúde recuperem prontamente sistemas e dados essenciais após um incidente de segurança, minimizando assim as interrupções no atendimento aos pacientes e mantendo a confidencialidade, a integridade e a disponibilidade dos prontuários eletrônicos (EHR).

Saiba mais sobre como a Commvault pode ser utilizada para recuperar rapidamente registros eletrônicos de saúde (EHR), inclusive em ambientes Epic e Meditech.

Aplicação da HIPAA

A fiscalização da HIPAA é de competência do Escritório de Direitos Civis (OCR), vinculado ao Departamento de Saúde e Serviços Humanos (HHS). O OCR é responsável por garantir que os prestadores de serviços de saúde, planos de saúde, centrais de processamento de dados e seus parceiros comerciais cumpram as regras de privacidade, segurança e notificação de violações da HIPAA.

Nos últimos anos, a OCR tem priorizado a aplicação de multas por violações – especialmente aquelas relacionadas à Regra de Segurança da HIPAA. Em 2024, a OCR informou que a fiscalização da HIPAA atingiu níveis quase recordes, com US$ 9,9 milhões arrecadados, incluindo um acordo de US$ 4,75 milhões por múltiplas violações da Regra de Segurança. No entanto, embora o número de ações de fiscalização tenha aumentado, o valor médio das multas diminuiu devido a uma reinterpretação dos níveis de penalidades previstos na Lei HITECH.

Principais mecanismos de fiscalização das novas determinações

Com as novas exigências da Regra de Segurança da HIPAA se aproximando, o OCR garantirá o cumprimento por meio de uma combinação de ações de conscientização, auditorias, investigações e penalidades. A seguir, apresentamos uma descrição detalhada de como esses mecanismos de fiscalização funcionam:

1. Educação e orientação (fase inicial da fiscalização)

A OCR oferece orientação, treinamento e melhores práticas para ajudar as entidades abrangidas e os parceiros comerciais a cumprir as normas da HIPAA. Isso inclui:

• Perguntas frequentes atualizadas, programas de treinamento e recursos on-line.
• Colaboração com grupos do setor para esclarecer como as novas exigências de segurança devem ser implementadas.
• Orientações técnicas sobre Risk Analysis e gestão de riscos (uma área em que se verificam casos frequentes de não conformidade).

Essa etapa permite que as organizações atualizem seus programas de segurança, políticas de gestão de riscos e treinamento da força de trabalho antes do início da aplicação rigorosa das normas.

2. Investigações de conformidade e notificação de violações

O OCR investiga a conformidade em resposta a:

• Denúncias: As pessoas podem denunciar violações da HIPAA, o que dá início a investigações do OCR.
• Notificações de violação: Qualquer violação que envolva 500 ou mais registros deve ser comunicada ao OCR, que, em seguida, investiga se o descumprimento das normas contribuiu para a violação.

Diante do aumento dos incidentes de hacking, a OCR tem se concentrado na preparação para a segurança cibernética, exigindo uma Risk Analysis e um monitoramento de sistemas mais rigorosos por parte das organizações da área da saúde.

3. Foco nas auditorias da HIPAA e na Risk Analysis

A OCR tem enfatizado a Risk Analysis como uma das principais prioridades de fiscalização, devido ao incumprimento generalizado.

• Nas auditorias da HIPAA de 2016–2017, a maioria das organizações não realizou uma Risk Analysis abrangente nem a atualizou regularmente.
• Em 2024, 14 das 22 medidas coercitivas do OCR decorreram de violações da Regra de Segurança da HIPAA, sendo as falhas na Risk Analysis o problema mais comum.
• O OCR pretende retomar as auditorias de conformidade (embora restrições orçamentárias possam atrasar essa iniciativa).

É de se esperar um escrutínio mais rigoroso sobre a forma como as organizações avaliam e mitigam os riscos aos dados de saúde eletrônicos protegidos (ePHI).

4. Multas financeiras e planos de ação corretiva (PACs)

A OCR pode aplicar penalidades por descumprimento, com multas que variam de milhares a milhões de dólares, com base em:

• Negligência ou omissão dolosa
• Não correção das infrações após notificação
• Número de pessoas afetadas

Como as multas previstas na HIPAA diminuíram significativamente (de uma média de US$ 2,6 milhões em 2018 para cerca de US$ 450.000 em 2024), o OCR tem buscado estratégias alternativas de fiscalização, como os CAPs, que exigem que as organizações aprimorem suas medidas de segurança dentro de um prazo determinado, e uma fiscalização mais rigorosa em nível estadual.

O que isso significa para a sua organização

Como a OCR está priorizando a fiscalização da Risk Analysis, estas etapas podem ajudá-lo a cumprir as atualizações propostas:

• Atualize regularmente as avaliações de risco e inclua todos os sistemas de ePHI.
• Implemente medidas mais rigorosas de segurança cibernética (por exemplo, criptografia, autenticação multifatorial e monitoramento contínuo).
• Treine os funcionários sobre a conformidade com a HIPAA e os protocolos de resposta a violações.
• Forneça notificações oportunas sobre violações, com conteúdo preciso.
• Manter a documentação que comprove as medidas tomadas para garantir a conformidade.

Aplicação da lei e ações judiciais em nível estadual

Os procuradores-gerais estaduais podem fazer cumprir a HIPAA de forma independente e aplicar penalidades por violações. A maior penalidade aplicada na Califórnia em 2024 (US$ 6,75 milhões) foi dirigida a um provedor de armazenamento em nuvem por falhas na segurança dos dados de pacientes. Com os estados aprovando leis adicionais de segurança cibernética (por exemplo, as exigências de segurança cibernética para hospitais de Nova York), é de se esperar que a fiscalização da HIPAA se expanda além da supervisão do OCR.

Considerações finais: os desafios que temos pela frente

Apesar do aumento tanto nas denúncias de violações quanto nas reclamações relacionadas à HIPAA, parece improvável que o OCR receba o aumento de financiamento de que afirma precisar para intensificar a fiscalização. Ainda não está claro como a agência será afetada pelos cortes orçamentários em andamento do Departamento de Eficiência Governamental — e como o novo governo procederá após o encerramento do período de consulta pública sobre as mudanças propostas, em 7 de março.

Independentemente de as novas exigências de segurança da HIPAA entrarem ou não em vigor este ano, as organizações se beneficiariam ao fortalecer proativamente suas medidas de segurança cibernética, Risk Analysis, estratégias de Recovery de desastres e treinamento em conformidade. Ao gerenciar essas questões, as entidades de saúde podem ajudar a evitar possíveis penalidades, reduzir os riscos de violação e proteger os dados dos pacientes de forma eficaz.

Saiba mais sobre como a Commvault pode ajudar sua organização em seus esforços de conformidade.

Nossas mais recentes versões do software Commvault Cloud e do SaaS oferecem novos recursos e funcionalidades para ajudá-lo a aprimorar sua estratégia de resiliência cibernética e proteção de dados, tornando a proteção e o gerenciamento de seus dados mais fáceis e rápidos. Elas foram projetadas para ajudá-lo a proteger e recuperar dados na nuvem híbrida contra ameaças emergentes de perda de dados e a se recuperar rapidamente em caso de um incidente ou ataque cibernético.

Entre as features mais recentes agora disponíveis nesta versão, destacam-se:

• Integração com a CrowdStrike
• Aprimoramentos do Commvault AirGap
• Commvault Edge
• Backup na nuvem
• Clumio para Amazon S3
• Cleanroom Recovery para a AWS
• Escalonamento automático para o Amazon EC2 Restore
• Backup and Recovery for Google Workspace
• Recuperação da floresta do Active Directory
• VMs de origem do Nutanix AHV
• Integração com o XSOAR da Palo Alto Networks
• Backup e Recuperação para o Kubernetes

Integração com o CrowdStrike

Suas equipes de segurança precisam agir rapidamente. Com o aumento dos ataques de ransomware, as empresas devem ampliar sua visibilidade para detectar e combater as ameaças o mais cedo possível.

A Commvault ajuda você a fortalecer suas defesas cibernéticas por meio da integração do CrowdStrike Falcon com o Commvault Cloud. Com os dados do CrowdStrike integrados ao painel da Commvault, sua equipe de segurança pode identificar e responder rapidamente às ameaças. Essa visibilidade otimizada facilita a proteção dos ativos de backup, a proteção de dados confidenciais e a adoção de medidas proativas de Recovery.

Aprimoramentos do Commvault AirGap

A detecção e a proteção contra ransomware são fundamentais. À medida que os clientes utilizam cada vez mais o Commvault AirGap, eles buscam funcionalidades mais amplas e desempenho consistente em todos os níveis de armazenamento.

Aprimoramos o Commvault AirGap com recursos como hierarquização versátil para dados primários e secundários, medidas de segurança para Recovery e retenção de dados e Threat Scan para ambientes na nuvem e locais. Isso ajuda os clientes a otimizar os custos de armazenamento, mantendo uma proteção robusta.

Commvault Edge

As empresas precisam proteger dados e aplicativos em locais remotos e filiais com a mesma eficácia com que o fazem em implantações locais e na nuvem.

O Commvault Edge oferece uma imagem de software que pode ser instalada em uma arquitetura de referência, proporcionando proteção de dados em locais remotos, tudo gerenciado por meio de um plano de controle centralizado. Seus administradores ganham flexibilidade e visibilidade ao escolher o hardware adequado para instalar a imagem de software do HS Edge, gerenciando e protegendo até 200 TB de dados para lojas de varejo, chão de fábrica, IoT e muito mais. Além disso, com seu sistema operacional baseado em Linux pré-fortificado e pré-configurado, a imagem de software permite uma implantação rápida e fácil manutenção.

Retrocesso Cloud

Como 70% dos recursos em nuvem geralmente ficam desprotegidos, alcançar a resiliência cibernética pode ser uma tarefa desafiadora. As organizações estão empenhadas em reforçar a proteção de todos os ativos e estar preparadas para se recuperar de ameaças.

O Cloud Rewind oferece uma maneira eficaz de restaurar rapidamente dados críticos, aplicativos na nuvem e configurações para um estado limpo. Ele permite que os usuários reconstruam rapidamente seus ambientes na nuvem para um estado seguro e conhecido após incidentes cibernéticos, reduzindo o tempo de recuperação de semanas para minutos. Essa capacidade de recuperação rápida é fundamental para manter a resiliência cibernética.

Clumio para Amazon S3

Com o surgimento dos aplicativos modernos e da IA, o Amazon S3 tem registrado um crescimento explosivo, o que o torna um alvo privilegiado para ataques. Restaurar bilhões de objetos a partir de um backup pode ser extremamente demorado, levando a um tempo de inatividade prolongado.

O Clumio Backtrack oferece uma solução revolucionária, permitindo a reversão rápida de objetos do Amazon S3 para uma versão específica em qualquer momento. Isso significa maior resiliência cibernética contra erros e ataques, além da capacidade de restaurar bilhões de objetos em minutos, utilizando o S3 Versioning e a tecnologia sem servidor. Além disso, otimiza os gastos com a AWS, eliminando a necessidade de cópias extras dos buckets do S3.

Observação: O Clumio para Amazon S3 também está disponível no AWS Marketplace.

Cleanroom Recovery para a AWS

Os clientes que utilizam a AWS para suas implantações em nuvem desejam realizar exercícios de Recovery dentro do mesmo ambiente, a fim de obter a máxima eficiência.

A Commvault ampliou o Cleanroom Recovery para a AWS, permitindo que você recupere cargas de trabalho diretamente na AWS. Essa expansão significa que você pode realizar testes de recuperação em um ambiente que espelha sua configuração de produção, aumentando a consistência. Além disso, com um suporte mais amplo a plataformas de nuvem, sua empresa ganha flexibilidade para elaborar uma estratégia de recuperação adaptada às suas necessidades.

Escalonamento automático para o Amazon EC2 Restore

Os usuários da AWS precisam do autoescalonamento da Commvault para replicação, Recovery e indexação, a fim de minimizar o número de Commvault Access Nodes de longa duração que precisam gerenciar em seu ambiente da AWS. O Commvault Cloud agora escalona dinamicamente a capacidade de computação do Amazon EC2 durante as atividades de restauração, replicação e migração, encerrando-as posteriormente para manter baixos os custos de resiliência cibernética.

Você pode simplificar a manutenção reduzindo o número de Commvault Access Nodes de longa duração em seu ambiente AWS e economizar custos utilizando a computação elástica do EC2 apenas quando necessário.

Backup & Recovery para o Google Workspace

Riscos à segurança de aplicativos SaaS, como exclusão acidental, corrupção e ataques maliciosos, podem prejudicar a produtividade. Surpreendentemente, apenas 13% das empresas compreendem plenamente seu papel na proteção dos dados.

A Commvault está ampliando sua atuação ao estender a proteção de aplicativos SaaS ao Google Workspace, abrangendo dados do Gmail, do Google Drive e do Shared Drive. Isso significa que seus dados críticos do Google Workspace podem permanecer seguros e estarem protegidos contra ameaças de perda de dados.

Sua empresa pode continuar avançando com dados disponíveis e rapidamente recuperáveis. Além disso, mantenha a conformidade com os acordos de nível de serviço (SLA) por meio de retenção prolongada e do Google Cloud Storage integrado, tudo gerenciado por meio de uma solução única e unificada para o Google Workspace e outras cargas de trabalho SaaS, híbridas e nativas da nuvem.

Recuperação da Floresta do Active Directory

Quando o Active Directory (AD) fica fora de linha, a recuperação da floresta pode ser um processo complexo, composto por várias etapas, que deve ser executado com perfeição. Sem automação, existe um risco real de restaurar o AD em um estado inutilizável, causando mais interrupções nas operações da empresa.

A solução da Commvault simplifica esse processo, oferecendo recuperação rápida em casos de corrupção de esquema e ataques de ransomware. Ao automatizar todo o processo de Recovery da floresta, você pode planejar e testar com antecedência, reduzindo o tempo de inatividade e aumentando a resiliência cibernética. Isso significa que você pode ficar tranquilo, sabendo que sua floresta do AD pode ser restaurada a um estado normal de forma rápida e eficiente.

VMs de origem do Nutanix AHV

Você enfrenta o desafio de proteger ambientes operacionais diversos e complexos? Precisa de soluções confiáveis para gerenciar esses ambientes de forma eficaz? É aí que entra o Cleanroom Recovery. Agora compatível com máquinas virtuais (VMs) da Nutanix, ele ajuda você a responder rapidamente a ameaças de segurança e a otimizar a validação da recuperação.

Por que isso é importante? Isso oferece cobertura abrangente para ambientes complexos, resultando em Recovery mais completo. Além disso, com suporte para mais máquinas virtuais e cargas de trabalho, as empresas podem retomar suas atividades rapidamente, aumentando sua resiliência cibernética e mantendo o bom andamento das operações.

Integração do XSOAR com a Palo Alto Networks

As equipes de segurança costumam contar com plataformas SIEM/SOAR, como o XSOAR da Palo Alto Networks, para a detecção e resposta a ameaças, mas a falta de integração com soluções de Recovery faz com que tenham que realizar tarefas manuais demoradas de recuperação, o que atrasa sua resposta a ameaças ativas.

O Commvault Cloud Cleanroom Recovery se integra perfeitamente ao Palo Alto Networks XSOAR, permitindo que as equipes gerenciem as ações de recuperação diretamente na plataforma XSOAR. Essa integração agiliza os tempos de recuperação por meio de fluxos de trabalho automatizados, reduz as tarefas manuais para que as equipes possam se concentrar na análise de ameaças e centraliza o gerenciamento, promovendo uma melhor colaboração e uma resposta mais rápida a incidentes.

Backup & Recovery para Kubernetes

À medida que as empresas modernizam seus aplicativos, muitas têm escolhido o Kubernetes como sua plataforma preferida para gerenciar grandes volumes de dados em aplicativos de nuvem híbrida. Os administradores precisam realizar backups mais rápidos e melhorar a Readiness para Recovery de seus aplicativos e dados em contêineres. 

A Commvault permite o Kubernetes Backup and Recovery, otimizados para grandes volumes de dados. Essa solução se integra perfeitamente ao servidor de API do Kubernetes para identificar e coletar dados e configurações de aplicativos, proporcionando melhor desempenho e confiabilidade para os backups. 

Experimente o Commvault Cloud gratuitamente por 30 dias.