Como criar uma cultura security awareness no setor de saúde holandês

Nenhum setor holandês relata tantas violações de dados quanto o setor de saúde. Somente em 2024, foram registrados 6.873 casos.

Recentemente, um ataque de ransomware à Clinical Diagnostics Nederland resultou no roubo de 300 GB(!) de dados, incluindo números de previdência social e resultados de exames médicos.

Muitos desses dados foram parar na dark web. O incidente também afetou o Bevolkingsonderzoek Nederland e vários hospitais e clínicos gerais. Os criminosos cibernéticos obtiveram acesso a dados de 850.000 pessoas. O evento foi sério o suficiente para provocar perguntas parlamentares.

Claramente, há muitos motivos para o setor de saúde investir seriamente em uma cultura de segurança sólida. Uma cultura em que todos os funcionários entendam o possível impacto de um ataque cibernético e o papel que desempenham na prevenção. No entanto, em muitas organizações do setor de saúde, security awareness continua sendo uma prioridade baixa ou simplesmente um desafio muito grande.

Todos os hospitais, prestadores de serviços de saúde mental e laboratórios da Holanda estão a um clique de distância das mesmas manchetes. Não porque seus sistemas sejam fracos, mas porque seu pessoal não está preparado.

Neste artigo, analisaremos o estado da security awareness na área da saúde, por que muitas iniciativas não conseguem decolar e como corrigir isso.

Em primeiro lugar, como é uma cultura security awareness saudável?

No setor de saúde, uma sólida cultura de security awareness é essencial para proteger dados médicos confidenciais, manter a confiança do paciente e garantir a continuidade do atendimento.

Por quê? Porque um vazamento de seus dados médicos pode ser muito mais prejudicial do que você imagina.

Como disse Stefan Behrens, diretor administrativo de uma organização de saúde psicológica: "Os dados médicos estão entre os dados pessoais mais confidenciais, mas eu prefiro encontrar minha radiografia dentária on-line do que as anotações do meu terapeuta. Esse nível de vulnerabilidade é muito mais profundo".

A melhor maneira de combater o erro humano que leva a um vazamento de dados é criar uma cultura forte. Uma mentalidade compartilhada em toda a organização que diga que a segurança é responsabilidade de todos, não apenas da TI.

Veja como isso se parece na prática:

• A segurança faz parte do comportamento diário. Os funcionários pensam duas vezes antes de clicar em um link, encaminhar dados confidenciais ou fazer login em uma rede pública. Eles sabem o que devem relatar e se sentem seguros ao fazê-lo.
• Os erros são discutidos, não punidos. Em ambientes de alto estresse, os erros são inevitáveis. O que importa é como eles são tratados. Em culturas fortes, as pessoas assumem a responsabilidade e relatam os problemas por conta própria. Não porque tenham medo, mas porque se importam.
• A conscientização é visível em reuniões e métricas. As equipes analisam regularmente quais temas de segurança precisam de mais atenção, discutem os riscos recentes e compartilham dicas. Não se trata mais de um exercício de marcar a caixa de seleção. Faz parte da semana de trabalho.

Em última análise, uma cultura saudável de security awareness na área da saúde é aquela em que todos, desde as equipes de atendimento até o pessoal administrativo, entendem que a proteção dos dados dos pacientes faz parte da prestação de um atendimento seguro e de alta qualidade.

Ou, como diz Behrens, da Psyned: "Com todas as medidas técnicas implementadas, o comportamento humano incorreto está entre os nossos maiores riscos de segurança, e a security awareness do nosso pessoal é um fator crítico."

Quais são as maiores ameaças ao sistema de saúde holandês?

O mais recente cenário de ameaças cibernéticas da Z-CERT apresenta um quadro claro das ameaças cibernéticas mais urgentes que o setor de saúde enfrenta atualmente:

• Ataques de ransomware, especialmente em laboratórios, hospitais e organizações de assistência à juventude
• Espionagem em instalações de pesquisa
• Ataques de ransomware direcionados a fornecedores
• Ataques DDoS a fornecedores
• Phishing com desvio de MFA, já que muitas organizações confiam cegamente na MFA para segurança
• Malware
• Ameaças internas
• Fraude financeira
• Vazamentos de dados causados pelo uso indevido de ferramentas de IA - por exemplo, a equipe inserindo dados confidenciais de pacientes no ChatGPT

Algumas dessas ameaças só podem ser atenuadas garantindo que seus funcionários tenham um forte senso de security awareness. Não importa quantas proteções técnicas você implemente, um local de trabalho com segurança cibernética começa e termina com um comportamento humano responsável.

Por que security awareness no setor de saúde é única

O setor de saúde difere de outros setores de várias maneiras. Um ataque cibernético não interrompe apenas as operações comerciais, ele pode afetar diretamente a saúde dos pacientes. Pense em cirurgias atrasadas, medicamentos incorretos ou diagnósticos temporariamente interrompidos.

Também há muito em jogo quando se trata de confiança. Quando há vazamento de dados médicos, isso prejudica a reputação do hospital e destrói a confiança que os pacientes depositam na segurança de suas informações mais confidenciais.

Depois, há o custo. Desde a recuperação até as reivindicações legais e multas regulatórias, as consequências financeiras são enormes. Em muitos casos, os prêmios de seguro aumentam drasticamente após uma violação, se a cobertura for oferecida.

Como o setor de saúde difere de outros setores

Muitas organizações têm dificuldades com a security awareness, mas o setor de saúde enfrenta seus próprios desafios:

• Continuidade: enquanto um banco ou uma fábrica podem interromper as operações, os hospitais não podem - eles funcionam 24 horas por dia, 7 dias por semana.
• Dados sensíveis à privacidade: os dados médicos são muito íntimos e, portanto, valiosos, o que os torna um alvo principal para os criminosos.
• Cultura de trabalho: enfermeiros e médicos se veem principalmente como cuidadores, não como "funcionários que devem seguir os protocolos de segurança cibernética". Essa mentalidade torna a conscientização mais difícil de ser incorporada.
• Alta carga de trabalho e estresse: durante turnos noturnos ou crises, é mais provável que as pessoas cometam erros que normalmente não cometeriam.

Por que security awareness é um desafio tão grande no setor de saúde

Security awareness é um tópico importante em todos os setores, mas o setor de saúde enfrenta seus próprios obstáculos.

Ritmo clínico vs. ritmo de consultório

A maioria dos programas de conscientização é projetada para ambientes corporativos - pessoas que trabalham das 9 às 5, com horários flexíveis, computadores pessoais e acesso a plataformas de e-learning.

No setor de saúde, esse raramente é o caso. A equipe trabalha em turnos noturnos, se desloca entre locais e enfrenta emergências a qualquer momento. Em geral, eles não têm um computador dedicado. Encontrar tempo e local para treinamento regular é difícil.

O treinamento não se ajusta à realidade do setor de saúde

Muitos programas pressupõem um contexto corporativo. Eles não abordam situações específicas do setor de saúde, como o manuseio de dados de pacientes, o sigilo médico ou a discussão de casos com colegas. Esses detalhes são importantes, e ignorá-los limita os resultados.

Falta de propriedade

Security awareness afeta a todos, mas a responsabilidade deve recair sobre uma pessoa ou equipe. É aí que as coisas geralmente dão errado. Em muitas organizações, a responsabilidade é compartilhada entre a TI, a conformidade, o RH ou os chefes de departamento, o que significa que ninguém é realmente responsável por ela.

Fadiga regulatória

Embora alguns pequenos provedores de serviços de saúde estejam intrinsecamente motivados a fortalecer security awareness, outros demonstram resistência. Eles consideram normas como a NEN 7510 como burocracia. As iniciativas de conscientização aumentam a carga administrativa, além de outros requisitos de segurança, como segurança contra incêndio ou gerenciamento de agressões.

Pontos cegos da cadeia de suprimentos

Em 2024, a empresa holandesa de comunicação com o cliente AddComm foi vítima de um ataque de ransomware que afetou muitos de seus clientes, incluindo o ABN Amro e a Infomedics. Isso mostrou como as cadeias de suprimentos são vulneráveis e por que a segurança do fornecedor deve fazer parte da estratégia. Deve-se exigir que os fornecedores atendam a padrões mínimos.

Internamente, geralmente há o mesmo ponto cego: estudantes e freelancers com acesso a dados confidenciais são excluídos dos programas de conscientização.

Política sem prática

De acordo com o relatório de violações de 2024 da Autoridade Holandesa de Proteção de Dados, 40% dos incidentes cibernéticos relatados não foram causados por falta de política, mas por políticas que não foram implementadas ou monitoradas.

Muitas vezes, tudo parece bem durante uma auditoria de conformidade, mas a conscientização desaparece quando a auditoria termina. As políticas permanecem no papel. É por isso que a liderança deve ver a conscientização como algo mais do que conformidade.

Como criar uma cultura security awareness no setor de saúde

A maioria dos profissionais de saúde já está se afogando em protocolos, auditorias e módulos obrigatórios de e-learning. Mais regras ou plataformas maiores não resolverão o problema.

O que funciona é tratar a conscientização como um produto vivo, algo que é fornecido regularmente, medido continuamente e constantemente adaptado às situações reais do setor de saúde.

Treinamento semanal, móvel e baseado em funções

A equipe de saúde não tem tempo para longas sessões em sala de aula ou e-learning genérico. O treinamento deve ser curto, prático e relevante - de 3 a 5 minutos por sessão - e adaptado à sua função. Médicos e enfermeiros precisam de cenários diferentes dos de um contador ou profissional de marketing comum.

Ofereça treinamento onde ele se encaixa: no celular, durante um intervalo ou diretamente no Microsoft Teams. O aprendizado deve se integrar perfeitamente às rotinas diárias.

→ Saiba mais sobre o programa security awareness da Guardey para o setor de saúde

KPIs com foco no comportamento

Há dois objetivos aqui. Primeiro, manter o controle sobre o nível de conscientização em sua organização. Segundo, poder comprovar a conformidade com os requisitos da NEN 7510. As principais métricas incluem:

• Taxa de denúncia: quantos funcionários denunciam ativamente incidentes phishing ou suspeitos?
• Tempo para relatar: com que rapidez eles agem após perceberem algo incomum?
• Taxa de phishing para relatório: quantos ataques simulados são reconhecidos e relatados corretamente?

Essas métricas mostram se você está criando uma verdadeira cultura de segurança.

Relatórios fáceis e feedback instantâneo

A denúncia deve ser tão fácil quanto clicar em um botão. Com um botão de relatório incorporado no Outlook ou no Teams, os funcionários podem encaminhar e-mails suspeitos instantaneamente. O feedback imediato é crucial, não semanas depois em um relatório. Torne a denúncia positiva: um momento de sucesso, não uma repreensão.

Treinamento just-in-time

Esperar por avaliações semestrais não funciona em um ambiente 24 horas por dia, 7 dias por semana. Quando alguém clica em um e-mail phishing - ou denuncia um corretamente - o feedback deve ser rápido. Dicas curtas e pessoais mantêm as pessoas alertas, especialmente contra ataques avançados como AiTM ou roubo de credenciais.

Incluir todo o ecossistema

A conscientização não deve se limitar aos funcionários permanentes. Voluntários, estagiários, prestadores de serviços e fornecedores geralmente têm o mesmo acesso ao sistema. Os criminosos não fazem distinção, e seu programa também não deveria fazer.

Governança que funciona

A conscientização não deve ser um hobby de TI, mas uma prioridade de cima para baixo. Designe um responsável executivo, defina responsabilidades RACI claras e discuta o progresso mensalmente. É assim que a conscientização permanece viva e faz parte da agenda da liderança.

Se aprendemos alguma coisa ao longo dos anos, é que todo programa de security awareness que não é totalmente apoiado pela gerência fracassa em questão de meses.

Vínculo com a continuidade dos negócios

Um programa de conscientização só tem valor real quando aparece durante uma crise. Faça cenários em que a conscientização desempenha um papel fundamental: o que acontece se um fornecedor for atingido por ransomware, um DDoS derrubar os sistemas de seu laboratório ou seu EHR ficar off-line por horas?

Se a conscientização não for visível na resposta à crise, ela nunca foi realmente incorporada.

Conclusão: Da tarefa de conformidade à mudança de cultura

O setor de saúde está no topo da lista de violações de dados e ataques cibernéticos, com consequências que vão muito além de multas ou má publicidade. A segurança do paciente, a continuidade do atendimento e a confiança do público estão em jogo.

Security awareness não pode ser um exercício anual de caixa de seleção. Ela requer uma cultura em que a equipe compreenda seu papel, possa cometer erros e aprender com eles e em que a liderança trate a segurança cibernética com a mesma seriedade que o atendimento ao paciente ou a saúde financeira.

A chave está em etapas pequenas e práticas: treinamento curto e relevante, relatórios fáceis, feedback instantâneo e incorporação da conscientização no gerenciamento de crises. É assim que a conscientização evolui de uma obrigação para uma parte natural da assistência médica profissional.

O que você pode fazer hoje

1. Adote um programa security awareness - encontre um programa que ofereça conteúdo de treinamento específico para o setor de saúde, como o Guardey.
2. Meça o comportamento, não o conhecimento - comece a monitorar os KPIs, como a taxa de relatórios e o tempo para relatar.
3. Torne a denúncia fácil e gratificante - adicione um botão de denúncia e dê feedback imediato.
4. Inclua todos com acesso - estagiários, voluntários e fornecedores também fazem parte de sua cadeia.
5. Atribuir responsabilidade executiva - sem o apoio da liderança, a conscientização continua sendo um projeto secundário.

→ Saiba mais sobre o programa security awareness da Guardey para o setor de saúde