Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Alcançar um nível aceitável de higiene cibernética é um desafio para todos os prestadores de serviços de saúde, hospitais e empresas farmacêuticas. Muitas violações de segurança ocorrem em sistemas legados e processos redundantes que, muitas vezes, não recebem correções nem são gerenciados, criando vulnerabilidades expostas que podem levar a futuras explorações.
Felizmente, com uma abordagem moderna para a aplicação de correções de vulnerabilidades, as organizações do setor de saúde podem automatizar esse processo, minimizar as interrupções relacionadas à aplicação de correções e manter protegidos os dados confidenciais de seus pacientes.
Mas, antes de entrarmos nesse assunto, vamos analisar a situação atual dos riscos de segurança cibernética no setor de saúde.
Desafios que as empresas do setor de saúde enfrentam para alcançar uma higiene cibernética adequada
O setor de saúde, assim como outros setores, continua a transformar seus modelos de negócios e operacionais para melhorar a experiência do cliente e, ao mesmo tempo, reduzir custos. Essas transformações continuam a evoluir e mudaram a forma como o setor de saúde funciona, tanto para os prestadores de serviços quanto para os pacientes – buscando ser mais eficiente, econômico e seguro.
Embora as estratégias de transformação ajudem a promover mudanças nas operações e na eficiência, elas também introduzem novos vetores de ataques cibernéticos. Muitos líderes de segurança na área da saúde enfrentam desafios para manter a segurança das aplicações baseadas em nuvem e lidar com ataques de ransomware originados de dispositivos remotos de pacientes que se conectam a plataformas de telemedicina. Muitas tecnologias mais recentes tiveram que ser introduzidas para substituir os sistemas legados anteriores. Em muitos casos, manter os sistemas antigos e novos em operação gerou maior complexidade operacional e riscos de segurança.
Para diminuir os riscos organizacionais e melhorar a proteção em cibersegurança, os CIOs e CISOs precisam reduzir a complexidade e eliminar aplicativos, serviços e plataformas duplicados da TI do setor de saúde. Ao tomar medidas executivas para lidar com o problema crescente da cibersegurança, as organizações podem proteger seus dados confidenciais e, ao mesmo tempo, manter a conformidade.
Ataques cibernéticos contra organizações da área da saúde
Ataques recentes de ransomware contra prestadores de serviços de saúde em San Diego, na Irlanda e na Nova Zelândia demonstraram os efeitos prejudiciais desses incidentes. Infelizmente, muitos detalhes ainda não foram divulgados. No entanto, sistemas desatualizados e dispositivos médicos desprotegidos são vulnerabilidades de segurança comuns que colocam em risco as instituições de saúde – bem como seus dados confidenciais.
Se as correções de segurança e outras medidas de proteção não forem implementadas nas unidades de saúde, possíveis violações de segurança podem permitir que indivíduos mal-intencionados assumam o controle de grandes quantidades de dados confidenciais ou até mesmo do acesso a equipamentos clínicos, o que poderia colocar os pacientes em risco.
Os fabricantes de dispositivos médicos desempenham um papel fundamental na prevenção de ataques cibernéticos na área de TI da saúde. Várias empresas do setor sofreram violações de segurança nos últimos anos. Relatos de outros países têm apontado óbitos relacionados a incidentes de segurança cibernética, como um caso na Alemanha em que um incidente com ransomware levou à transferência de um paciente para outra unidade de saúde e, infelizmente, à sua morte durante o transporte. Posteriormente, ficou comprovado que o estado de saúde do paciente era tão grave que o mesmo desfecho teria ocorrido independentemente da infecção por ransomware. Ainda assim, o fato de isso ter sido sequer considerado uma causa potencial nos leva a repensar a importância desses incidentes para a qualidade e a capacidade das instituições de saúde de prestar atendimento oportuno aos pacientes.
Cerca de 83% dos equipamentos de imagem precisam ser atualizados, cerca de 75% das bombas de infusão apresentam vulnerabilidades não resolvidas e até 72% dos centros médicos têm equipamentos de TI e médicos operando na mesma rede. Muitas organizações da área da saúde precisam colocar suas estratégias de segurança sob controle.
Atualizações de segurança para aplicativos médicos locais e baseados na nuvem
As instituições de saúde podem reduzir o risco de acesso não autorizado ao implementar uma série de práticas recomendadas de segurança cibernética, incluindo a aplicação de patches em tempo real em sistemas críticos, mesmo em dispositivos médicos mais antigos.
Mas nem todas as instituições de saúde estão preparadas para fazer isso com a rapidez que realmente seria necessária. Alguns obstáculos à aplicação de patches na TI da área da saúde moderna incluem:
- Restrições orçamentárias: Os orçamentos destinados à segurança na área da saúde continuam sofrendo cortes, mesmo após a COVID-19, o que pode contribuir para o próximo ponto.
- Falta de pessoal: Muitos prestadores de serviços de saúde precisam de mais pessoal de TI. Sem esses recursos adicionais, isso exigirá que suas equipes de SecOps ou de TI façam mais com menos recursos para as atividades de aplicação de patches.
- Capacidades limitadas de detecção: As equipes de TI da área da saúde frequentemente precisam de mais recursos financeiros e conhecimento especializado para implementar soluções de prevenção contra perda de dados, segurança de e-mail e microsegmentação, a fim de ajudar a detectar e prevenir ataques cibernéticos.
- Fadiga de alertas: A fadiga de alertas causada por ataques cibernéticos constantes continua afetando os prestadores de serviços de saúde. Muitos deles enfrentam o desafio de contratar e reter profissionais de TI qualificados e experientes para lidar com a velocidade desses ataques. O esgotamento profissional e o estresse mental estão aumentando nas equipes de segurança cibernética devido ao gerenciamento do volume de mensagens e ataques.
- Lacuna de talentos em segurança cibernética: O setor de saúde, assim como outros setores, continua precisando de apoio para contratar e reter profissionais experientes em segurança cibernética para a implantação de patches de atualização de segurança.
- Desafios relacionados à segurança na nuvem: Muitos prestadores de serviços de saúde migraram suas plataformas legadas para plataformas em nuvem em conformidade com as normas HIPAA/HITrust, o que pode gerar novas necessidades de segurança cibernética.
Requisitos de aplicação de patches da HIPAA e objetivos de controle exigidos pelo C.F.R. 45
E quanto à conformidade com a HIPAA? Os prestadores de serviços de saúde não precisam manter seus sistemas atualizados para garantir a conformidade? A verdade é que… nem tanto.
A conformidade com a HIPAA não exige a aplicação de patches como elemento de conformidade. No entanto, a aplicação de patches nos sistemas é exigida para o cumprimento de vários códigos de regulamentos federais (C.F.R.), incluindo 45 C.F.R. § 164.308 (a) (5) (ii) (B), proteção contra software malicioso. A HIPAA faz referência a vários CFR em suas exigências de conformidade. A aplicação de patches também está relacionada a outros requisitos da HIPAA, pois é necessária a aplicação adequada de patches para garantir a segurança dos sistemas e reduzir o risco de vazamento ou corrupção de informações.
Aplicação de patches para atender aos requisitos de conformidade da HITrust
Fundada em 2007, a HITrust é reconhecida mundialmente pela gestão de sistemas de segurança da informação e medidas de proteção de dados. Inicialmente desenvolvida para o setor de saúde, a HITrust lançou o CSF 9.2 em janeiro de 2019. Para atender aos padrões da HITrust, os provedores de nuvem têm investido fortemente na certificação sob a estrutura do CSF, garantindo a conformidade com as diversas categorias de controle, implementando o processo de conformidade da HITrust e atendendo a todos os requisitos de certificação exigidos.
Por que a certificação HITrust é importante para os prestadores de serviços de saúde?
Atualmente, muitas instituições de saúde exigem que todos os fornecedores com acesso a informações de saúde obtenham a certificação HITrust CSF no prazo de dois anos, a fim de comprovar que adotam procedimentos adequados de segurança e privacidade.
O CSF da HITrust exige quatro medidas de controle relacionadas à gestão de riscos de segurança da informação:
- Desenvolvimento do Programa de Gestão de Riscos
- Realização de avaliações de risco
- Mitigação de riscos
- Avaliação de riscos
Os sistemas de correção desempenham um papel fundamental na certificação HITrust, oferecendo uma solução para a mitigação de riscos por meio da redução das vulnerabilidades da superfície de ataque identificadas durante a fase de avaliação de riscos.
Por que as correções em tempo real podem otimizar a segurança cibernética no setor de saúde
Felizmente, existe uma solução automatizada e acessível que permite que os prestadores de serviços de saúde automatizem totalmente a aplicação de patches para vulnerabilidades e evitem completamente interrupções e tempo de inatividade relacionados a essa aplicação. Ela é chamada de “live patching” – que aplica todos os patches mais recentes para vulnerabilidades, em segundo plano, enquanto os sistemas estão em funcionamento. Com o “live patching”, as organizações da área da saúde podem manter seus sistemas atualizados sem precisar desligá-los ou programar janelas de manutenção.
O setor de saúde, assim como outros setores, oferece serviços que salvam vidas e exigem que seus sistemas críticos estejam atualizados e disponíveis quase 100% do tempo. A solução automatizada de aplicação de patches em tempo real da TuxCare, o KernelCare Enterprise, protege seus sistemas Linux ao eliminar rapidamente vulnerabilidades sem que sua equipe de TI precise programar qualquer tempo de inatividade.
Com o KernelCare Enterprise, as equipes de TI da área da saúde podem automatizar a aplicação de novos patches, passando pelas etapas de preparação, teste e produção em todas as principais distribuições Linux. A TuxCare também oferece aplicação de patches em tempo real para bibliotecas compartilhadas, bancos de dados, ambientes de máquinas virtuais e dispositivos médicos de IoT — para que todo o seu ecossistema permaneça atualizado sem a necessidade de reinicializações ou interrupções.
Agende Agende uma conversa com um de nossos especialistas para obter uma explicação personalizada sobre como funciona a automação de patches em tempo real da TuxCare.
