Tome medidas para prevenir ataques de ransomware

Os efeitos dos ataques de ransomware nas organizações de saúde são amplos. Um estudo sobre ataques de ransomware realizados contra instituições de saúde entre 2016 e 2021 constatou que 44,4% dessas ações interromperam a prestação de serviços de saúde, o que inclui a indisponibilidade de sistemas eletrônicos (41,7%), o cancelamento de atendimentos agendados (10,2%) e o desvio de ambulâncias (4,3%).² Com base em dados preliminares de uma pesquisa, um economista da saúde da Universidade de Minnesota afirmou que a mortalidade hospitalar aumenta de 20% a 35% nos casos em que a internação coincide com o período em que a instituição sofre um ataque de ransomware.³ Além disso, esse tipo de ataque cibernético também pode afetar as operações administrativas, como faturamento e folha de pagamento, gerando sérios danos à reputação institucional.

Ataques cibernéticos podem paralisar sistemas críticos, o que torna os dados inacessíveis e compromete a capacidade das instituições de saúde em assegurar a segurança do paciente e prestar um atendimento rápido. No fim das contas, os pacientes são os que mais sofrem nessas situações. Os médicos podem ficar impossibilitados de realizar procedimentos ou prescrever medicamentos, enquanto as farmácias enfrentam dificuldades para acessar as informações necessárias para atender as prescrições. Além disso, os processos de faturamento da organização se tornam ineficientes, afetando o número de pacientes que a organização pode atender.

No entanto, você não está à mercê dos criminosos cibernéticos. É possível adotar medidas para mitigar o risco de um ataque de ransomware, o que inclui entender os motivos pelos quais as instituições de saúde estão expostas, a forma como os criminosos cibernéticos operam e como parcerias com empresas como a Philips (que priorizam a cibersegurança no desenvolvimento de softwares) ajudam a proteger sua instituição.

As instituições de saúde são alvos muito atrativos para ataques de ransomware devido a fatores que combinam a digitalização de dados clínicos, redes complexas com múltiplos pontos de acesso, dispositivos desatualizados em relação aos softwares de proteção mais recentes, falhas humanas e lacunas de governança.

Dispositivos médicos e vestíveis de baixa segurança estão cada vez mais conectados à internet, que são portas de entrada para as redes hospitalares. Alguns dispositivos, principalmente aqueles com ciclos irregulares de atualização, tornam-se vulneráveis ao malware mais recente. Outro fator relevante é que as cadeias de suprimentos do setor de saúde tornaram-se cada vez mais complexas, de modo que até mesmo a menor instituição hospitalar possui múltiplos componentes operacionais. Essa complexidade, agravada pela grande quantidade de prestadores de serviços e fornecedores terceirizados conectados aos sistemas institucionais, torna quase impossível obter visibilidade plena e gestão absoluta sobre cada aspecto da rede. Como consequência, esse cenário eleva o risco e a dimensão do impacto de um ataque cibernético.

Entre os fatores humanos estão a escassez de mão de obra clínica e administrativa. Com menos funcionários e jornadas de trabalho mais longas, a cibersegurança pode ser deixada em segundo plano, levando a erros e abrindo caminho para ataques cibernéticos.

A educação em cibersegurança também pode ser deixada em segundo plano, levando funcionários a ajudar criminosos cibernéticos de forma involuntária. O National Institute of Health relatou que 90% das violações começam por meio de phishing (e-mails em massa) ou spear phishing (e-mails direcionados).⁴ Em ambos os casos, os hackers usam e-mails ou sites enganosos para coletar informações, como credenciais de login do PACS. O relatório citou um estudo americano que constatou que profissionais de saúde clicaram em um a cada sete e-mails simulados de phishing.

Os prontuários eletrônicos de saúde (EHRs), cujo papel fundamental foi agilizar o compartilhamento de dados atualizados para melhorar a prestação de serviços de saúde, também constituem um ecossistema repleto de vulnerabilidades e ativos valiosos, o que desperta o forte interesse de criminosos cibernéticos.

Uma vez que o ransomware criptografa os arquivos de uma organização, ele solicita ao usuário que pague um resgate. Para a organização de saúde impactada, é uma corrida contra o tempo para restabelecer o controle do acesso ao sistema e/ou dos dados dos pacientes. Em uma instituição de grande porte, fazer uma cópia de segurança de milhões de prontuários é um processo demorado, inviável de ser concluído no prazo estipulado pelos criminosos, e os hackers sabem perfeitamente disso. Caso a cópia de segurança dos dados esteja indisponível ou tenha sido também criptografada, a vítima se vê diante do dilema de pagar o resgate para recuperar os arquivos.⁶ Em muitas situações, as instituições de saúde optam pelo pagamento para restabelecer os serviços operacionais, mitigando a exposição pública e a perda de credibilidade junto ao mercado.

Mesmo que a instituição de saúde se recuse a efetuar o pagamento, os agentes que realizam a ameaça ainda conseguem lucrar com a comercialização desses dados confidenciais na dark web. Os dados de saúde protegidos (PHI) possuem valor superior a outros tipos de registro por permitirem uma exploração ampla, o que engloba desde fraudes contra planos de saúde até a aquisição ilícita de medicamentos prescritos ou a obtenção de atendimento médico.⁷ Os registros roubados são uma mercadoria cujo valor de venda depende tanto da fonte quanto da oferta e demanda. Em uma transmissão de março de 2024, um pesquisador de cibersegurança entrevistado pela CNBC afirmou que os registros médicos são vendidos por cerca de US$ 60 na dark web, enquanto números do Seguro Social valem US$ 15 e informações de cartão de crédito, US$ 3.⁸

Cedric L. Truss, Diretor de Programa e Professor Assistente Clínico de Informática em Saúde na Georgia State University, recomenda que as organizações adotem uma série de medidas fundamentais para prevenir ataques de ransomware,⁶

Incluindo:

A Philips segue uma política abrangente de cibersegurança, que inclui monitorar continuamente as vulnerabilidades emergentes e as ameaças externas em potencial, além de colaborar com os órgãos reguladores, parceiros do setor e prestadores de serviços de saúde, entre outros, para fechar brechas de segurança e implementar salvaguardas.

A área de informática em radiologia adota diretrizes de cibersegurança em todo o ciclo de vida de desenvolvimento de seus produtos e serviços. O desenvolvimento da área de informática em radiologia incorpora de forma integral os padrões de segurança reconhecidos no mercado, tais como NIST, ISO, DICOM, IHE e DIACAP (atual RMF). Além disso, revisamos cuidadosamente as leis internacionais, desde a HIPAA até a Diretiva de Proteção de Dados da União Europeia, para mapear os requisitos dos produtos e implementar as diretrizes mais recentes. O Product Security Framework garante que os dispositivos médicos sejam projetados com uma estratégia de defesa em profundidade, incorporando múltiplas camadas de controles de segurança que abrangem aplicações, computação, dados e segurança de rede. Esses controles, alinhados com as normas globais de segurança, são meticulosamente integrados às nossas soluções médicas para mitigar as ameaças cibernéticas de forma eficaz.

Em conformidade com as melhores práticas adotadas no setor, as medidas de cibersegurança que implementamos na área de informática em radiologia incluem:

Dentro de nossa estrutura de resposta a ameaças, proteger ativos vitais como o Vue PACS e o Image Management Software é nossa principal prioridade no Centro de Operações de Segurança (SOC) da Philips, disponível 24/7.* Empregamos uma abordagem abrangente, orientada para responder de forma rápida e eficaz aos desafios de cibersegurança. Nossa estratégia multifacetada integra medidas proativas, como monitoramento contínuo e detecção de ameaças, com o uso de tecnologias de última geração.

Além disso, para clientes que utilizam sistemas locais de PACS ou de gerenciamento de imagens, a área de informática em radiologia da Philips disponibiliza a solução Philips HealthSuite Imaging Data Protection. Esse serviço inovador capacita as instituições de saúde a salvaguardar suas imagens médicas e sistemas de arquivos PACS contra quaisquer ameaças, o que engloba ataques cibernéticos, vírus e desastres naturais, mediante a infraestrutura de nuvem da Amazon Web Services (AWS). As funcionalidades avançadas de segurança da AWS incluem criptografia de dados em trânsito e em repouso, além de conformidade com mais de 50 normas globais. Essa proteção reforçada reduz ainda mais o risco de ataques de ransomware, garantindo que os dados críticos de imagens médicas permaneçam seguros e acessíveis, além de permitir que as organizações de saúde mantenham o atendimento contínuo aos pacientes.

As funcionalidades avançadas de segurança da AWS incluem criptografia em trânsito e em repouso e conformidade com mais de 50 normas globais. A oferta Philips HealthSuite Imaging Data Protection assegura conformidade regulatória, alta durabilidade e rápida recuperação de dados em caso de desastres, sem interromper o fluxo de trabalho de imagem médica no local e a configuração do PACS. A solução elimina a necessidade de cópias de segurança locais, reduz a sobrecarga operacional de gestão e oferece escalabilidade com excelente custo-benefício, permitindo que as instituições de saúde foquem seus esforços nos cuidados ao paciente, sem qualquer prejuízo à integridade dos dados.