Confira os desafios da área para garantir a proteção de dados e a segurança das operações.
Em um episódio de ‘The Resident’, conhecida série de drama médico dos EUA, toda a equipe de atendentes, enfermeiros e pacientes passam por momentos desafiadores quando o sistema do hospital é invadido por cibercriminosos, que bloqueiam softwares e suspendem o funcionamento da eletricidade e das comunicações. Para restabelecer a operação, os infratores exigem o pagamento de uma quantia milionária.
Um caso de ficção? Muito pelo contrário.
De acordo com um levantamento realizado pela Kaspersky, o segmento da saúde foi o terceiro com maior volume de ataques em 2024, totalizando 6,5 mil tentativas no ano, atrás apenas dos setores de serviço e governamental. Em apenas quatro meses, a área da saúde saltou de 7º para 3º lugar entre os principais alvos do cibercrime, em comparação com o ano de 2023.
Ciberataques registrados no Brasil
Há cerca de um ano, o Instituto Nacional de Câncer (INCA) foi vítima de um ataque hacker que afetou os atendimentos de radioterapia, exames de imagem e consultas médicas. O sistema do Hospital do Câncer 3, em Vila Isabel, e do Hospital do Câncer 1, no Centro do Rio, foram paralisados e alguns atendimentos emergenciais precisaram ocorrer por meio de anotações manuais, sem acesso à nuvem.
Além da invasão ao INCA, outro ataque cibernético de grande relevância ao setor da saúde aconteceu em 2021, quando cibercriminos acessaram os sistemas do Ministério da Saúde e do aplicativo Conecte SUS. Na ocasião, serviços como o e-SUS Notifica e a emissão do Certificado Nacional de Vacinação Covid-19 ficaram indisponíveis. Os autores afirmaram ter copiado e excluído 50 TB de dados.
Em 2023, o Grupo Sabin, referência em medicina diagnóstica, foi vítima de um ataque de ransomware que criptografou alguns de seus arquivos. A empresa informou que não houve comprometimento significativo de dados pessoais e nem impacto relevante em suas operações. No entanto, algumas informações da organização foram encontradas na dark web.
Ainda em 2023, clientes do Grupo Fleury relataram nas redes sociais problemas para acessar resultados de exames e fazer agendamentos. A instabilidade foi causada por um ataque aos sistemas operacionais da empresa.
Impactos dos ataques
É importante destacar que, além dos riscos à segurança e bem-estar dos pacientes, as consequências de ataques cibernéticos na área da saúde envolvem também prejuízos financeiros. Os custos envolvidos na recuperação de um ataque cibernético extrapolam o valor do resgate pelos dados sequestrados, mas incluem gastos com a recuperação da infraestrutura afetada, perda de receita e multas regulatórias.
Desafios da cibersegurança na saúde
A evolução da tecnologia e a integração das informações é essencial para o desenvolvimento das instituições de saúde, bem como para proporcionar o melhor atendimento aos pacientes. No entanto, a conectividade das redes e o compartilhamento dos dados potencializam as vulnerabilidades do sistema, uma vez que há o aumento da superfície de ataque.
Hospitais, clínicas, órgãos de saúde do governo, entre outros equipamentos abarcados pelo setor, lidam com uma grande quantidade de dados sensíveis. Garantir a proteção desses insumos contra acessos não autorizados é essencial para a privacidade e a segurança dos pacientes.
Dessa forma, as instituições do segmento devem estar em conformidade com as regulamentações da HIPAA e da LGPD – leis que visam à proteção dos dados pessoais de saúde, respectivamente nos Estados Unidos e no Brasil.
Contudo, a adequação a essas normas regulatórias ainda enfrenta alguns desafios, tais como a falta de padronização de processos no setor da saúde e as desatualizações de sistemas digitais que podem levar a brechas na segurança e, consequentemente, ao vazamento de dados.
Propostas de novas regras de cibersegurança na saúde
Para aprimorar a segurança cibernética dos dados em organizações de saúde, o escritório de direitos civis OCR, que pertence ao Departamento de Saúde e Serviços Humanos dos Estados Unidos (HHS), sugere a implementação de novos requisitos de proteção digital na área, ampliando os protocolos de segurança.
As medidas tornam obrigatória a implementação de planos de segurança por empresas e clínicas de saúde, incluindo a adoção de autenticação multifator. Essa prática permite segmentar as redes de dados e reduzir os riscos de invasões. Além disso, o escritório exige que as empresas criptografem os dados dos pacientes atendidos.
As propostas irão atualizar a Regra de Segurança da Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 (HIPAA) e o processo de implementação pode gerar investimentos em torno de 9 bilhões de dólares, apenas no primeiro ano, na área de segurança cibernética.
Para mitigar os riscos de ciberataques aos sistemas de saúde, além dos protocolos básicos e aplicação de múltiplas camadas de segurança, é fundamental a avaliação e o monitoramento contínuo das instalações, considerando que se trata de uma infraestrutura crítica. Ter um plano de respostas a incidentes, gestão de identidade e acesso e uma política de backup e recuperação de dados eficiente são medidas fundamentais para a proteção do ambiente digital.
Fale com nossos especialistas!
Quer saber mais sobre como proteger infraestruturas críticas contra ameaças digitais, a partir de soluções completas e personalizadas de cibersegurança? Entre em contato com a nossa equipe e conheça o conjunto de soluções do serviço de Assinatura de Segurança Cibernética Industrial da TI Safe.
