Quando você pensa em infraestruturas críticas, quais segmentos vêm a sua mente? Áreas de tecnologia da informação, parte operacional e de automação de concessionárias de energia, água e comunicações certamente estão entre elas. Mas há diversos outros setores que também podem ser classificados como infraestruturas críticas e que precisam de ferramentas específicas para garantir uma gestão de acessos segura a sistemas, redes e operações.
Essa foi a temática abordada por Alessandro Moretti, regional Sales manager do Thales Group, durante a 5ª edição da CLASS – Conferência Latino-Americana de Segurança em SCADA, realizada pela TI Safe em maio deste ano.
Moretti destacou a importância de olhar para outros segmentos, com destaque para healthcare, como uma infraestrutura crítica, bem como a necessidade de abarcar com ferramentas de segurança cibernética não apenas as áreas diretamente ligadas a operações e tecnologia da informação. “Healthcare já é considerado estrutura crítica nos Estados Unidos, pois coloca vidas em risco. Ataques podem interromper a operação de hospitais e o atendimento de emergência, por exemplo”, enfatizou.
Afinal, o que são infraestruturas críticas?
São sistemas, ativos, instalações, serviços, bens, etc. essenciais para o funcionamento da sociedade e da economia. Da mesma forma, são aquelas que, se a operação for interrompida de alguma forma, seja parcial ou totalmente, podem colocar em risco o bem-estar e a vida dos cidadãos.
Nesse sentido, hospitais, transportes, produções químicas e farmacêuticas, aviação, saneamento, entre outros, são também exemplos de infraestruturas críticas existentes.
A importância da segurança cibernética de healthcare
A indústria do healthcare é uma das mais regulamentadas que existe. Não é por menos, afinal, os impactos da interrupção de serviços de saúde podem representar, de forma direta, riscos à vida. Mas há diversas outras implicações de falhas nas operações, como:
- Atrasos na execução e entrega de exames médicos;
- Interrupção de atendimentos gerais, de urgência e emergência;
- Estadias mais longas do que o necessário, tornando tardia a liberação de leitos;
- Inacessibilidade temporária ou permanente de registros de saúde e prontuários;
- Dados e informações confidenciais de pacientes expostas ou perdidas.
“As dores dos clientes de healthcare são praticamente as mesmas. Porém, normalmente, eles não sabem a melhor solução para os problemas. Cabe ao fornecedor entender os casos de uso para oferecer as ferramentas certas”, destacou Moretti.
Ele completou ressaltando a importância de deixar clara a amplitude dos riscos envolvidos e das possíveis vulnerabilidades que muitos sistemas, principalmente os legados, oferecem.
Camadas de proteção além da TO e TI
O segmento de healthcare conta com características específicas, que devem ser abrangidas no momento de buscar uma solução de segurança cibernética, entre elas:
– Grande quantidade de sistemas on-premise e sem atualizações constantes;
– Digitalização de arquivos médicos;
– Dados sensíveis de pacientes e sua evolução clínica;
– Transmissão e guarda de dados por meio de redes públicas;
– Grande quantidade de terceiros que acessam os sistemas de formas variadas;
– Máquinas compartilhadas em consultórios e corredores;
– Presença de servidores RDP.
Essas características evidenciam que o olhar da cibersegurança deve ir além das áreas de TO e TI, mas contemplar também a gestão de acesso dos mais diversos setores – mesmo aqueles que, aparentemente, não representam risco alto.
Para ilustrar, Alessandro pontuou um caso clássico de porta de entrada para ataques cibernéticos: workforce, no qual os acessos chegam local ou remotamente, somente com login e senha. “Sabemos que somente login e senha escapam. Existem mil formas, desde o risco de essas credenciais serem anotadas em post-its até phishing, engenharia social, etc.”, salientou.
Por esta razão, é preciso contar com proteção que vá além do login e da senha. Uma das maneiras é por meio de MFA (Múltiplo Fator de Autenticação), que verifica uma série de itens para conceder ou não o acesso. Outra forma são os tokens, que entregam segurança adicional ao acesso, mitigando ainda mais as possibilidades de acesso indevido ou não autorizado.
O Thales Group atua com diversas soluções de tokens, entre eles soft tokens, tokens físicos e o token virtual. “O token virtual é uma aplicação que atende os casos de workforce, com mencionado, além de outros variados, pois não precisa de instalação nas máquinas e pode ser usado, inclusive, por áreas que não têm acesso direto à internet”, reforçou.
Cibersegurança efetiva
Moretti ressaltou que a gestão de acesso além da TO e da TI contempla pensar em todas as possíveis portas de entrada para um malware ou para uma ação mal-intencionada. São inúmeros casos, como é possível ver nos exemplos a seguir:
- Acessos a plataformas com login e senha, apenas (que podem ser descobertas);
- Uso de celular privado para acessar sistemas e dados sensíveis;
- Usuários diferentes, com perfis diferentes, usando máquinas compartilhadas (como acontece em call centers);
- Versões de sistemas operacionais que não estão com as atualizações em dia ou em patamares diferentes de atualização nas áreas;
- Servidores RDP;
- Single Sign-On (SSO);
- Entre outros.
Para garantir uma segurança cibernética efetiva, além das ferramentas certas para cada caso de uso, é preciso garantir que 100% dos equipamentos estejam protegidos. “Alguns clientes nos procuram dizendo que têm 5000 usuários, mas que só têm orçamento para cobrir 500. Porém, as defesas precisam contemplar todos os equipamentos. Se você tiver, entre 5000 mil, uma máquina vulnerável, você terá tudo vulnerável”, finalizou Alessandro.
