O setor de saúde está entre os principais alvos do cibercrime, representando uma ameaça que vai além do impacto financeiro, atingindo diretamente a continuidade dos cuidados aos pacientes. De acordo com o Relatório de Cibersegurança 2024 da Check Point, o setor é o terceiro mais atacado por cibercriminosos e o quarto mais afetado por ataques de ransomware no mundo todo. Para a NovaRed, uma das maiores empresas de cibersegurança da Ibero-América, a ameaça aos hospitais é particularmente grave devido à concentração de dados sensíveis e impactos na operação em caso de rupturas no funcionamento dos sistemas.
Segundo Adriano Galbiati, Diretor de Operações da NovaRed, o ransomware é a ameaça mais frequente. Nesse tipo de ataque, os hackers invadem o ambiente digital da organização, criptografam ou bloqueiam os arquivos e exigem um pagamento para liberar os dados.
“Em muitos casos, os cibercriminosos exploram as vulnerabilidades cibernéticas dos hospitais para acessar dados extremamente sensíveis dos pacientes, como informações de cartões de pagamento e registros de saúde. Quando se trata de figuras públicas, a repercussão das informações clínicas pode aumentar as chances de pagamento do resgate, embora essa seja uma alternativa altamente não recomendada”, explica Adriano.
A governança de dados deve ser uma das prioridades da organização hospitalar para mitigar os riscos de violação de informações confidenciais, paralisação das atividades e impacto negativo na sua credibilidade dentro do mercado. O especialista destaca que os desdobramentos de um incidente cibernético em um hospital vão além de questões financeiras, legais e reputacionais, podendo afetar a saúde dos pacientes. Segundo pesquisa do Ponemon Institute, instituto de pesquisa independente que promove o uso responsável de informações e práticas de gestão de privacidade em empresas e governos, a taxa de mortalidade pode aumentar em até 20% após um ataque cibernético, além de quadros de piora em 57% dos casos.
“A cibersegurança no setor de saúde traz um ponto delicado por interferir diretamente no bem-estar dos seus pacientes, demandando maior rapidez na resposta ao incidente e um plano de contingência efetivo e amplamente testado”, complementa. Um caso recente de ataque do tipo ransomware aconteceu em um dos principais hospitais de Londres, que resultou no cancelamento de cirurgias, exames e transfusões de sangue. Para retomar as cirurgias e os procedimentos, o hospital precisou realizar uma campanha de doação do tipo sanguíneo universal, ‘O’ negativo, devido à falta de processamento de sangues correspondentes.
No entanto, Adriano alerta que, mesmo com planos de prevenção, as organizações hospitalares enfrentam desafios relacionados à maturidade digital e à crescente superfície de risco, devido ao número cada vez maior de dispositivos conectados em rede.
Principais desafios de cibersegurança em hospitais
Os hospitais costumam ter uma alta circulação de pessoas no ambiente, incluindo pacientes, visitantes e funcionários, o que torna a segurança física um desafio. O controle inadequado de acessos pode permitir que indivíduos não autorizados entrem em áreas sensíveis, como salas de servidores de TI. Nessas áreas, diversos pontos de rede são vulneráveis à instalação de dispositivos maliciosos, como “chupa-cabras”, que podem ser usados para invadir a rede hospitalar. Também há o risco dos computadores e dispositivos desprotegidos, com senhas visíveis ou até mesmo sem mecanismos de autenticação.
“Um problema recorrente é a priorização da praticidade em detrimento da segurança. Profissionais de saúde frequentemente veem leitores biométricos e a autenticação multifator (MFA) como obstáculos à eficiência do atendimento. Precisamos fomentar uma cultura de segurança que mostre que essas medidas são essenciais para proteger o trabalho dos profissionais a longo prazo, e não para atrapalhá-los”, destaca Adriano.
A proteção de ativos de Tecnologia Operacional (OT) em hospitais se torna mais complexa com o aumento do número de dispositivos médicos conectados, essenciais para a operação de procedimentos. “A falta de monitoramento e atualização desses dispositivos, especialmente em organizações de saúde que não possuem uma área de cibersegurança estruturada, eleva a vulnerabilidade cibernética”, ressalta.
Medidas de melhoria
Adriano Galbiati destaca algumas medidas principais para fortalecer a cibersegurança em hospitais:
-
Políticas rigorosas de segurança e gestão de acessos: Limitar o acesso a áreas sensíveis com o uso de biometria ou reconhecimento facial e definir políticas de senha fortes para os colaboradores.
-
Segmentação de rede: Separar sistemas críticos das redes usadas por visitantes, dificultando a propagação de ataques.
-
Monitoramento e resposta a incidentes: Implementar sistemas de monitoramento que permitam prevenir e agilizar a resposta a comportamentos anômalos na rede OT.
-
Atualizações regulares de segurança: Manter uma regularidade nas atualizações de segurança para corrigir vulnerabilidades antes que se tornem um ponto de ataque, além de substituir ou isolar dispositivos antigos.
-
Plano de continuidade de negócios (BCP): Estabelecer processos para a recuperação rápida em caso de ataque cibernético, evitando a necessidade de pagamento de resgate e garantindo a retomada das atividades.
-
Treinamento da equipe: Para garantir a adesão às políticas de segurança, é fundamental educar e conscientizar todos os colaboradores sobre a importância da cibersegurança por meio de treinamentos e simulações de ataque.
-
Parcerias estratégicas: Em hospitais privados, trabalhar com consultorias especializadas em cibersegurança ajuda a suprir lacunas internas e a traçar um plano eficiente de prevenção e resposta a incidentes.
“O investimento em cibersegurança no setor de saúde é um pilar crucial para a continuidade do negócio e para a mitigação dos riscos aos pacientes”, finaliza Adriano.
