Com a crescente digitalização do setor de saúde, hospitais e clínicas têm integrado uma variedade de dispositivos médicos conectados à internet — dos monitores de sinais vitais a sensores vestíveis. Embora essas tecnologias tragam ganhos significativos em agilidade e precisão no atendimento, também ampliam drasticamente a superfície de ataque das instituições, expondo sistemas críticos e dados sensíveis a ameaças cibernéticas cada vez mais sofisticadas.
Em entrevista ao Saúde Digital News, Tonimar Dal Aba, gerente técnico da ManageEngine no Brasil, explica como o avanço da Internet das Coisas (IoT) nos ambientes hospitalares exige um novo nível de vigilância em segurança digital. Ele aborda os principais riscos associados a dispositivos conectados, como ataques de ransomware e falhas de atualização, e aponta boas práticas para mitigar vulnerabilidades, garantindo a integridade dos dados e a proteção da vida dos pacientes em um cenário cada vez mais conectado e complexo.
1. Com o aumento do uso de dispositivos conectados em hospitais, quais são os principais riscos de segurança cibernética enfrentados por essas instituições?
Atualmente, hospitais são alvo de diferentes tipos de ataques que podem comprometer a segurança dos equipamentos, dados e prejudicar pacientes. Entre os tipos mais comuns de ataques estão os com vírus ransomware. Nesse tipo de incidente, os cibercrinosos sequestram dados sensíveis e cobram uma soma em bitcoin para devolver o acesso as informações. Isso compromete todos os equipamentos e controle da própria instituição. Além disso, existem casos de ataques de ransomware em equipamentos médicos conectados a redes hospitalares, resultando em roubo de dados e mudanças na configuração dos equipamentos – o que coloca as vidas dos pacientes em risco.
Somado a isso, também existe o risco de phishing (fraude em que os hackers usam messagens e e-mails falsos para enganar funcionários/pacientes com o intuito de roubar informações, e instalar um vírus); negação de serviço (DoS) ataques (que envolve a sobrecarga intencional de um serviço para inutilizá-lo); e ataques por outros tipos de vírus (como spyware e vírus)
2. De que forma a falta de atualizações em dispositivos médicos conectados pode abrir portas para ataques cibernéticos?
Com o avanço da tecnologia, os ataques cibernéticos têm se tornado cada vez mais sofisticados. Entretanto, essas mudanças sempre podem explorar vulnerabilidades nos softwares e a falta de atualização de sistemas em dispositivos médicos abre brechas para os hackers. Sem o monitoramento regular, as instituições seguem vulneráveis.
Em outras palavras, os hospitais e as equipes de TI necessitam verificar regularmente atualizações de segurança, de software e de sistemas operacionais. Além dos protocolos de segurança para deixar o ambiente digital médico mais seguro contra ameaças robustas.
3. Quais são os principais pontos de vulnerabilidade em dispositivos IoT utilizados em ambientes hospitalares?
Equipamentos médicos, como bombas de infusão, monitores de pacientes e ventiladores mecânicos estão suscetíveis a ataques, pois, muitas vezes, estão em um ecossistema de IoT. As principais vulnerabilidades destes dispositivos incluem a falta de criptografia; a utilização de senhas fracas ou com padrão de fábrica, facilmente descobertas por cibercriminosos; e o uso inadequado de redes privadas, que pode permitir o acesso de hackers aos dispositivos da rede hospitalar com mais facilidade.
4. A expansão de tecnologias como wearables e sensores para monitoramento remoto representa um risco adicional para a segurança dos pacientes?
Os wearables e sensores para monitoramento remoto permitem a coleta contínua de dados médicos pessoais, como a frequência cardíaca do usuário, e, são extremamente úteis para profissionais e pacientes. Porém, esses dispositivos também são suscetíveis a cibercriminosos que comprometem privacidade de dados e segurança, impactando na confiabilidade e precisão das ferramentas. Por coletarem dados sensíveis, como informações pessoais e de saúde, os wearables e sensores podem ser alvo de vazamentos.
Com os avanços dessas tecnologias, os riscos a segurança aos pacientes serão abordados com criptografia, transmissão segurança de protocolos, controles de acessos rigorosos e, claro, atualizações regulares do firmware sempre que vulnerabilidades forem descobertas.
5. Como os hospitais podem garantir a proteção dos dados coletados por dispositivos IoT em tempo real?
Os hospitais podem investir em medidas de segurança potentes, como uso de criptografia, que garante a proteção dos dados durante transmissão e armazenamento; segmentação, de rede, pois viabiliza a criação de uma rede em sub-redes menores para melhorar a segurança; uso de rede privada virtual (VPN), para criptografar a conexão entre dispositivos IoT e a rede do hospital; uso de autenticação com senhas fortes e certificados digitais; além do uso de sistemas de detecção e intrusão (IDS), para monitoramento da rede e identificação de potenciais ataques.
Outra medida a longo prazo essencial é o investimento em cyber resiliência e treinamento para as equipes de TI.
6. O aumento da conectividade também eleva a superfície de ataque. Quais são as práticas recomendadas para mitigar esses riscos?
Para reduzir esses riscos, recomenda-se adotar medidas como a separação de redes, garantindo que os dispositivos médicos operem em ambientes isolados. A implementação de autenticação robusta e controles de acesso é essencial para limitar o uso apenas a profissionais autorizados. Além disso, é fundamental manter os dispositivos sempre atualizados com correções de segurança, utilizar criptografia para proteger dados sensíveis, monitorar constantemente a rede em busca de atividades suspeitas e manter um inventário atualizado de todos os equipamentos conectados.
7. Tecnologias emergentes, como inteligência artificial, podem auxiliar na proteção de dispositivos médicos conectados?
Com certeza. Tecnologias emergentes, como inteligência artificial (IA) vem se mostrando uma aliada importante na defesa de dispositivos médicos. A força das soluções de segurança assistidas por IA reside na sua capacidade detectar anomalias em tempo real, possibilitando a identificação mais rápida e precisa de possíveis ameaças que humanos podem fazer sozinhos. A IA também pode auxiliar na automatização de respostas a incidentes, permitindo que instituições de saúde possam reagir rapidamente a eventos de segurança.
Outro benefício é a capacidade da IA de analisar grandes quantidades de dados para identificar riscos e vulnerabilidades e priorizar tarefas críticas, capacitando as equipes de segurança para a adoação de uma abordagem mais proativa em relação à proteção de dispositivos médicos.
8. A interoperabilidade entre dispositivos IoT e sistemas hospitalares compromete a segurança dos dados? Como essa integração pode ser feita de forma segura?
Essa troca de informações traz benefícios operacionais, mas também representa desafios de segurança. A integração pode aumentar os riscos se não for feita com os devidos cuidados. Para garantir uma comunicação segura, é necessário adotar protocolos padronizados e criptografados, autenticar todos os dispositivos envolvidos nas trocas de dados e registrar todas as interações realizadas.
Também é importante aplicar o princípio do menor privilégio, garantindo que cada componente só tenha acesso às informações que realmente precisa. Avaliações constantes de segurança e testes de vulnerabilidade ajudam a manter essa integração protegida contra ameaças.
9. Quais são os desafios regulatórios para garantir a segurança de dispositivos médicos conectados no Brasil?
No Brasil, um dos principais desafios regulatórios é garantir que a segurança de equipamentos médicos conectados está alinhado com regulamentações nacionais e internacionais de cibersegurança. Enquanto a Anvisa (Agência Nacional de Vigilância Sanitária) fornece um guia de diretrizes a respeito de dispositivos médicos, regulamentações mais específicas e rigorosas ainda estão em desenvolvimento. A ausência de diretrizes mais rígidas dificulta as práticas de segurança. Além disso, a velocidade com que as tecnologias evoluem é maior do que a dos processos regulatórios, o que cria lacunas de proteção. Outro ponto é a conformidade a Lei Geral de Proteção de Dados (LGPD) o que aumenta a complexidade, exigindo medidas rígidas de proteção dos dados pacientes.
10. O que os próximos anos reservam em termos de avanços tecnológicos para fortalecer a segurança dos dispositivos IoT em hospitais?
Nos próximos anos espera-se uma série de avanços tecnológicos para fortalecer a segurana de dispotivos IoT nos hospitais. Um dos principais desenvolvimentos será a expansão do uso de IA e machine learning, que permitirá a defesa mais proativa e inteligente contra ameaças emergentes. Outro avanço será o desenvolvimento de chips com segurança embarcada, projetados especificamente para proteger dispositivos desde o nível de hardware.
Protocolos de comunicação mais seguros e interoperáveis também deverão surgir, adaptados à realidade hospitalar, e associado à necessidade de proteger dados sensíveis. Paralelamente, há a expectativa que regulações mais claras e específicas entrem em vigor, acompanhando a crescente digitalização da área da saúde. Por fim, soluções unificadas de gestão e monitoramento de segurança IoT devem se tornar mais comuns, oferecendo aos hospitais maior visibilidade, controle e resposta em tempo real sobre todos os dispositivos conectados.
