A segurança cibernética no setor da saúde enfrenta dois problemas que têm mais a ver com economia do que com tecnologia. Na CES 2019, mais de 500 empresas apresentaram soluções inovadoras para diagnosticar, monitorar e tratar doenças, bem como avanços na prestação de assistência médica remota. O problema é que alguns desses dispositivos deixam as informações médicas e os dados dos pacientes expostos on-line, permitindo que eles sejam usados pelos cibercriminosos.
De acordo com estudos recentes, os registros eletrônicos de saúde EHR (Electronic Health Record) são altamente lucrativos. Um prontuário ou histórico clínico de um paciente pode valer entre US$ 300 e US$ 3 mil. Diante desse cenário, é essencial que as organizações aumentem os investimentos em segurança cibernética e trabalhem para que os dados armazenados na nuvem sejam protegidos e que todas as informações sejam seguras e privadas.
O tipo mais comum de ataque usado pelos cibercriminosos é o ransomware – código malicioso que criptografa arquivos e torna inacessível o acesso aos dados armazenados, exigindo em troca de um resgate em bitcoin, uma forma fácil de transferir valores (e difícil de ser rastreada). Em geral, esses malwares atacam servidores de sistemas, que são a alma do funcionamento de um hospital.
Outro ponto importante são as aplicações de arquivos na nuvem, como Box, Dropbox e Google Drive, muito utilizadas pelas equipes médicas devido à praticidade para compartilhar informações. Também pode haver uma violação da privacidade dos dados com o vazamento de informações por parte de funcionários que têm acesso aos prontuários dos pacientes e as repassa ilegalmente para obter lucro, ou ainda por erros não intencionais. Confidencialidade é o princípio básico da política de segurança do ambiente hospitalar, que obriga o profissional de saúde ou qualquer outra pessoa a não divulgar informações fornecidas pelo paciente.
O segundo problema é que, mesmo dentro de um único hospital, a segurança é uma responsabilidade compartilhada. Quando um recurso é comumente compartilhado, o incentivo de cada parte é obter o maior benefício possível e, ao mesmo tempo, incorrer no menor custo possível. “Tome o exemplo de um profissional de saúde que depende de uma bomba de infusão para tratar pacientes diabéticos. A responsabilidade de proteger esse dispositivo depende do fabricante ou do prestador de serviços de saúde? Quem é o proprietário para garantir a transmissão de dados do equipamento? A resposta a essas perguntas depende para quem você pergunta”, ressalta Mike Nelson, vice-presidente de segurança da IoT da DigiCert.
Para aumentar a complexidade, uma rede de assistência médica pode usar dispositivos de 50 fabricantes diferentes. Quem é responsável nesse caso? Infelizmente, as perguntas não param por aí. Os fornecedores de software de EHR fornecem atualizações seguras? Você confia na integridade do código que é carregado nos dispositivos? Quais medidas são implementadas para garantir que apenas as pessoas certas tenham acesso aos dados do paciente?
Os dois problemas descritos acima apontam para a necessidade de autenticação end-to-end, que é o processo de testar a validade de todas as conexões digitais, desde um início de sessão seguro do sistema para enfermeiros e médicos, comunicações entre dispositivos, rede e serviços externos ou bases de dados, como EHRs. Pode ser útil ver essas conexões como duas partes em um único sistema. Na frente, você deve verificar a identidade de qualquer pessoa que use um dispositivo ou acessar os dados do paciente, como médicos e enfermeiros. No final, é igualmente crucial autenticar as conexões entre os dispositivos e os servidores, EHR, farmácias etc., ou seja, com as quais eles estão constantemente interagindo.
A base para a autenticação de ponta a ponta é a infra-estrutura de chave pública (PKI). Usando certificados digitais, usuários, sistemas e dispositivos autênticos de PKI, sem a necessidade de tokens, políticas de senha ou outros fatores desconfortáveis iniciados pelo usuário. Isso descentraliza a autenticação e permite que ela ocorra em sistemas diferentes.
