Em conversas com três diretores de informação médica de diferentes sistemas de saúde, cada um foi questionado sobre seu incidente de segurança cibernética mais recente. A resposta foi unânime e reveladora: nenhum deles havia sofrido um ataque direto aos próprios sistemas. Em vez disso, todos os três estavam lidando com as consequências de violações ocorridas em fornecedores terceirizados, que se propagaram por suas operações. Isso não é coincidência – é a nova realidade da segurança cibernética na área da saúde.

O problema do fornecedor do fornecedor

“Somos grandes o suficiente para ter esses especialistas em nossa equipe, que são nossos especialistas para nos proteger”, explicou um CMIO. “Às vezes, sinto que isso pode ser uma barreira para a agilidade, devido ao nosso rigor e à nossa meticulosidade nessas avaliações. Mas acho que não podemos garantir que nossos parceiros façam o mesmo.”

Eis o desafio: as organizações de saúde tornaram-se incrivelmente sofisticadas na avaliação de fornecedores diretos. O processo de contratação é rigoroso, as avaliações de segurança são minuciosas e os requisitos de conformidade são inegociáveis. Mas o que acontece quando seu fornecedor faz um acordo com outro fornecedor? De repente, você fica exposto a riscos que nunca avaliou, de empresas das quais nunca ouviu falar, por meio de relacionamentos que você não controla.

Um líder de segurança ilustrou isso perfeitamente: “Vou fechar um acordo para usar o Fornecedor X para fazer algo para mim aqui. Mas o Fornecedor X pode fechar um acordo com o Fornecedor Y que permita que ele cumpra sua função. Portanto, se houver um problema com o Fornecedor Y, com quem tecnicamente não tenho contrato, mas do qual meu fornecedor precisa para funcionar, não posso controlar isso.”

Quando o ecossistema falha

O incidente da Change Healthcare é um exemplo claro disso. Quando seus sistemas ficaram fora do ar devido a um ataque cibernético, não foi apenas a Change Healthcare que sofreu, mas todas as organizações de saúde que dependiam de seus serviços de processamento de prescrições. Um CMIO descreveu o impacto: “Tínhamos muitos problemas para enviar e receber receitas médicas, além de não ter clareza sobre o que foi aprovado, o que não foi aprovado e quem não recebeu seus medicamentos”.

O impacto clínico a jusante foi imediato e grave. Os pacientes não conseguiam obter medicamentos, os prestadores de serviços não conseguiam verificar o status das prescrições e as equipes de saúde se esforçavam para identificar quais pacientes poderiam ser afetados. Essa foi uma questão direta de segurança do paciente causada por um incidente com um fornecedor totalmente fora do controle dos prestadores de serviços de saúde. Mas o impacto clínico foi apenas o começo. As implicações em termos de conformidade foram igualmente graves, destacando um desafio fundamental no panorama regulatório da saúde.

A armadilha da conformidade: quando as falhas dos fornecedores se tornam um problema regulatório para você

As organizações de saúde enfrentam uma dura realidade regulatória: os incidentes com fornecedores não as isentam das responsabilidades de conformidade. Na verdade, muitas vezes as amplificam. A HIPAA exige que as entidades abrangidas estabeleçam Acordos de Parceria Comercial com fornecedores que lidam com informações de saúde protegidas. Embora esses acordos, teoricamente, transfiram parte da responsabilidade, a realidade prática é diferente. Quando um fornecedor sofre uma violação, o prestador de serviços de saúde ainda enfrenta possíveis penalidades, fiscalização regulatória e requisitos obrigatórios de notificação.

A carga de relatórios por si só cria uma pressão operacional significativa. As exigências de relatórios em 72 horas propostas pela HIPAA, semelhantes a regulamentos como o NIS2 e o DORA da UE para instituições transfronteiriças, exigem que os prestadores de serviços de saúde divulguem incidentes rapidamente, independentemente de a violação ter se originado em seus próprios sistemas ou nos de um fornecedor.

Como observou um CMIO: “Na verdade, temos que comunicar ao estado, aos Centros de Serviços Medicaid e Medicare: ‘É isto que está acontecendo. É aqui que estamos com a nossa recuperação’”.

Isso significa que, durante um incidente ativo — quando as equipes clínicas estão se esforçando para manter o atendimento ao paciente e as equipes de TI estão coordenando os esforços de recuperação — as equipes de conformidade devem simultaneamente investigar, documentar e relatar incidentes que não causaram e sobre os quais podem ter visibilidade limitada. O desafio da soberania dos dados aumenta a complexidade. Os fornecedores que armazenam dados de saúde fora das regiões aprovadas podem provocar violações de conformidade que as organizações podem nem saber que existem até que um incidente force uma auditoria abrangente do seu ecossistema de fornecedores.

“Exigimos que [os fornecedores] nos forneçam tudo o que solicitamos para análise”, explicou um líder de segurança que já passou por um ataque de ransomware de um fornecedor. “Portanto, não havia realmente nenhuma limitação quanto ao que podíamos solicitar.” Mas esse nível de supervisão normalmente só é possível com os maiores fornecedores, deixando muitas dependências menores, mas ainda assim críticas, em pontos cegos de conformidade.

O alerta da CrowdStrike

O incidente da CrowdStrike revelou outra realidade: quando os provedores de infraestrutura crítica falham, todo o ecossistema de saúde falha simultaneamente.

“Realizamos [exercícios de simulação] partindo do pressuposto de que seria um ataque de ransomware… um evento bastante localizado”, refletiu um líder. “E isso estava afetando todo o ecossistema. E foi aí que [aprendemos] que precisávamos adotar mais práticas de resiliência que levassem em conta os casos em que o próprio ecossistema seria amplamente afetado.”

O desafio não era apenas técnico, mas também operacional e regulatório. Quando todos ficam fora do ar ao mesmo tempo, os planos de backup habituais (como ligar para os fornecedores para obter suporte ou mudar para provedores alternativos) simplesmente não funcionam. As organizações de saúde enfrentaram não apenas a interrupção do atendimento aos pacientes e custos elevados com o tempo de inatividade, mas também requisitos complexos de relatórios de conformidade para um incidente que se originou totalmente fora de seu controle.

Além da avaliação tradicional de riscos

As organizações de saúde estão descobrindo que sua abordagem tradicional à gestão de riscos de fornecedores não é suficiente. O processo padrão — enviar questionários, analisar documentação, verificar certificações de conformidade — abrange apenas relacionamentos diretos.

Mas, após o incidente, a conversa está mudando. Em vez de apenas perguntar “Você faz isso? Você faz aquilo?”, as organizações estão exigindo ver exatamente como os fornecedores executam os planos de segurança e recuperação. Elas estão pedindo evidências de testes, exigindo direitos contratuais para revisar as relações com subfornecedores e criando proteções financeiras.

O novo modelo de relacionamento com fornecedores

Organizações de saúde com visão de futuro estão tomando várias medidas concretas para lidar com os riscos do ecossistema:

• Soberania dos dados: “Queremos começar a assumir mais controle sobre os dados… para que tenhamos algo com que possamos reconstruir ou até mesmo migrar para outro terceiro, se possível”, disse um líder.
  Em vez de permitir que os fornecedores mantenham todos os dados, as organizações estão exigindo exportações regulares de dados e mantendo suas próprias cópias das informações críticas. Essa abordagem ajuda a atender aos requisitos de residência de dados e permite a continuidade da conformidade mesmo quando os fornecedores falham.
• Evolução contratual aprimorada: as negociações contratuais pós-incidente agora abordam explicitamente as obrigações de conformidade. As organizações estão exigindo prazos de notificação que atendam aos requisitos regulatórios, garantias de recuperação que minimizem os custos de tempo de inatividade e compensação financeira tanto por perdas diretas quanto por penalidades de conformidade resultantes de interrupções causadas por fornecedores.
• Gerenciamento de atualizações com foco na conformidade: o incidente da CrowdStrike destacou como as atualizações dos fornecedores podem criar riscos operacionais e de conformidade. Muitas organizações implementaram políticas de “duas versões atrás” para atualizações críticas de segurança, equilibrando o risco de atrasos nas correções com o risco de violações de conformidade decorrentes de atualizações não testadas que poderiam causar interrupções generalizadas.
• Integração regulatória na gestão de fornecedores: As organizações estão incorporando considerações de conformidade diretamente na avaliação de fornecedores e na supervisão contínua. Isso inclui saber que os fornecedores podem atender aos mesmos requisitos de relatório de 72 horas, manter a residência de dados apropriada e fornecer a documentação necessária para relatórios regulatórios.

A Perspectiva do Setor de Seguros

Talvez o mais revelador seja a forma como o setor de seguros encara esses riscos. Como compartilhou uma líder de segurança, citando um colega da área de modelagem de riscos de seguros: “O risco número um que temos é o tipo de interrupção como a da CrowdStrike, em que dependemos tanto dessas plataformas tecnológicas que, quando ficamos sem elas, há enormes interrupções nos serviços e nas operações. Ela diz que esse é o risco número um em nosso modelo de riscos. Não são os ataques de ransomware.”

Essa mudança na avaliação de riscos reflete uma mudança fundamental. A segurança cibernética tradicional se concentrava em impedir a entrada de agentes mal-intencionados. A segurança cibernética moderna também deve abordar a realidade de que fornecedores críticos — com as melhores intenções e práticas de segurança robustas — ainda podem derrubar ecossistemas inteiros por meio de falhas operacionais.

O desafio da viabilidade mínima em um mundo ecossistêmico

O planejamento tradicional de recuperação geralmente pressupõe que é possível restaurar tudo sistematicamente, mas quando ecossistemas inteiros falham simultaneamente, as organizações devem se concentrar na recuperação mínima viável (MVR).

O conceito de viabilidade mínima torna-se crítico quando seus fornecedores, os fornecedores deles e, potencialmente, seus fornecedores de backup são todos afetados. Conforme exploramos em nossa análise das ameaças cibernéticas à saúde e MVR, a questão não é apenas “Como recuperamos tudo?”, mas “Quais são os elementos essenciais necessários para manter o atendimento ao paciente em funcionamento enquanto o ecossistema se reconstrói?”.

Essa realidade do ecossistema torna a preparação para a recuperação organizacional mais complexa do que nunca. Quando você não pode contar com seus fornecedores habituais ou provedores de backup, seu plano de MVR deve levar em consideração a verdadeira independência do ecossistema mais amplo – pelo menos temporariamente.

Seguindo em frente

As organizações não podem simplesmente proteger seu próprio perímetro; elas precisam compreender e se planejar para a rede interconectada de dependências da qual a saúde moderna depende. Isso significa repensar fundamentalmente o planejamento de continuidade de negócios para levar em conta falhas simultâneas no ecossistema. Significa manter a soberania dos dados mesmo ao utilizar provedores de SaaS. E significa aceitar que alguns riscos simplesmente não podem ser eliminados – apenas gerenciados e previstos.

Os líderes da área da saúde com quem conversamos não se mostraram pessimistas em relação a esses desafios; eles foram pragmáticos. Eles entendem que os benefícios dos sistemas de saúde interconectados e cloud superam em muito os riscos.

Teste a resiliência do seu ecossistema

Compreender os riscos é apenas o primeiro passo. O próximo é avaliar honestamente se sua organização está preparada para a nova realidade de falhas interconectadas. Quão confiante você está de que seu plano de MVR funcionaria quando seus fornecedores habituais e sistemas de backup também estivessem comprometidos? Organizações da área da saúde que levam a sério a resiliência do ecossistema devem avaliar sua Readiness em três áreas críticas: priorização de atividades essenciais para os negócios, resposta técnica mensurável e Readiness organizacional para a recuperação. A Avaliação de Viabilidade Mínima para Saúde da Commvault ajuda a avaliar suas capacidades atuais e oferece recomendações práticas para sanar quaisquer lacunas. Não espere pelo próximo incidente em todo o ecossistema para descobrir se seus planos de recuperação levam em conta a realidade da TI interconectada na área da saúde. Faça a avaliação hoje e construa uma verdadeira resiliência para os desafios de amanhã.

Blogs relacionados:

• Rx para ameaças cibernéticas
• Quanto tempo sua empresa permanecerá na terapia intensiva?
• A receita para a resiliência cibernética no setor de saúde