Segurança da informação no setor da saúde: por que é diferente e onde é que as coisas correm mal

A segurança da informação na área da saúde significa proteger os dados dos doentes e garantir o bom funcionamento dos cuidados de saúde, e neste setor essas duas coisas são o mesmo problema. Um processo médico que tenha sido divulgado não pode ser recuperado da mesma forma que uma palavra-passe roubada pode ser redefinida, e um sistema de registos bloqueado não causa apenas transtornos: significa procedimentos adiados e históricos de medicação que ninguém consegue consultar. É por isso que, neste contexto, a segurança é uma questão de segurança dos doentes e não apenas uma preocupação de TI.

A seguir, vamos ver por que é que este setor é um alvo tão atraente, quais são as regras que se aplicam e o que é que realmente pedem, onde é que as coisas correm mal num dia de trabalho normal e como organizar a parte humana sem atrasar os próprios cuidados.

Por que é que o setor da saúde é um alvo?

Os dados médicos valem mais para um criminoso do que um número de cartão de crédito, porque não podem ser bloqueados nem substituídos. Um ficheiro reúne dados de identidade, histórico de tratamentos e informações sobre seguros, e mantém-se válido para toda a vida. Isso torna-o alvo atraente para fraudes, extorsão de pessoas e revenda.

Depois, há a pressão a que as organizações de saúde estão sujeitas. Um atacante que encripta os sistemas de um hospital ou de uma instituição de cuidados de saúde sabe que esperar não é uma opção: os cuidados não podem ser interrompidos enquanto a situação é investigada com calma. Essa urgência é exatamente aquilo em que a extorsão se baseia, e os criminosos sabem disso.

Por fim, este setor é um alvo invulgarmente complexo de defender. Os cuidados de saúde funcionam com turnos de trabalho e pessoal em constante mudança, postos de trabalho partilhados, dispositivos pessoais, equipamento médico conectado com ciclos de vida longos e um vasto leque de entidades externas: fornecedores, laboratórios, médicos de clínica geral, farmácias. Cada ligação é uma porta de entrada, e poucas delas podem ser simplesmente desligadas.

As normas aplicáveis: NEN 7510, a AVG e a NIS2

O setor da saúde holandês tem a sua própria norma de segurança da informação. A NEN 7510 baseia-se na estrutura internacional da ISO 27001 e acrescenta requisitos específicos para os dados dos doentes, o que significa que exige um sistema de gestão em funcionamento, em vez de uma lista de produtos adquiridos. Se é ou não uma exigência legal, isso é uma questão à parte, que abordamos no nosso artigo sobre se a NEN 7510 é obrigatória.

A par disso, temos a norma NEN 7513, que abrange o registo de atividades: a possibilidade de determinar posteriormente quem consultou que registo. Essa norma existe porque o incidente de privacidade mais comum no setor da saúde não é um ataque externo, mas sim um colega que consulta um ficheiro que não devia ter acedido.

A AVG aplica-se além disso, e os dados médicos são considerados dados de categoria especial, com os requisitos de tratamento mais rigorosos. As organizações de saúde de maior dimensão também podem estar abrangidas pelo âmbito de aplicação da NIS2, o que implica obrigações em matéria de gestão de riscos, comunicação de incidentes e formação comprovada para o pessoal e a direção. O que isso significa para cada tipo de organização está explicado no nosso artigo sobre como a NIS2 afeta o setor da saúde.

O fio condutor em todos eles é o mesmo: conhece os teus riscos, organiza o acesso da forma correta e sê capaz de demonstrar que a tua equipa sabe o que fazer. É nesse último requisito que a maioria das organizações tem menos provas.

O que corre mal na prática do dia-a-dia

Raramente através de um ataque sofisticado, e quase sempre através de algo que fazia sentido na altura. O trabalho de cuidados é rápido, pode ser interrompido e é partilhado, e as medidas de segurança que ignoram isso são contornadas em menos de uma semana.

• Contas partilhadas em computadores partilhados. Um único login para o computador da enfermaria, porque entrar e sair da conta entre um doente e outro demora minutos que ninguém tem. Funciona, até ao momento em que precisas de saber quem acedeu a um registo.
• Ecrãs visíveis a partir do corredor. Um posto de trabalho no balcão, um tablet num carrinho, um monitor numa sala de tratamento com a porta aberta. A fuga de dados mais comum no setor da saúde não tem qualquer componente técnica.
• Conversas com os doentes através de aplicações de mensagens. Enviar fotos de uma ferida pelo WhatsApp porque é mais rápido do que o canal oficial. Normalmente com boas intenções, mas raramente abrangido por qualquer acordo.
• Phishing dirigido ao pessoal de cuidados de saúde. Um e-mail sobre uma alteração no horário de trabalho, um pedido urgente que parece ter vindo de um gestor, uma página de início de sessão falsa para o sistema de registos. A pressão do tempo é o melhor aliado do atacante.
• Curiosidade no sistema de registos. Procurar um colega, um vizinho ou um doente conhecido. É uma violação da privacidade, mesmo que a informação não saia do edifício, e é precisamente o registo que torna isso visível.
• Acesso que perdura para além do contrato. Estagiários, funcionários temporários e colegas que já saíram da empresa, cujas contas continuam ativas porque o encerramento das contas não é da responsabilidade clara de ninguém.

O que estas situações têm em comum é que são todas decisões humanas tomadas sob pressão, e não falhas técnicas. Não dá para resolver isso com remendos, mas podes treinar para lidar com elas.

Como lidar com isso sem atrasar a prestação de cuidados

As medidas que funcionam na área da saúde são aquelas que se adaptam ao ritmo de trabalho. Tecnicamente, isso significa um sistema de início de sessão único com alternância rápida, para que terminar a sessão já não seja um sacrifício, autenticação multifator no acesso remoto, cópias de segurança testadas e mantidas offline e segmentação da rede, para que uma estação de trabalho infetada não consiga aceder ao equipamento médico.

Do ponto de vista humano, a sessão anual em sala de aula é o formato menos adequado para este setor: quem trabalha por turnos não consegue comparecer, o pessoal temporário nunca aparece e, quando chega a próxima sessão, as ameaças já mudaram. A formação curta e recorrente funciona melhor precisamente porque cabe entre dois turnos, e uma simulação de phishing mostra o que as pessoas fazem realmente, em vez do que responderam num questionário. A forma como uma organização de cuidados de saúde integra isso na sua cultura é algo que explorámos no nosso artigo sobre a cultura de sensibilização para a segurança no setor da saúde holandês.

Há um princípio que é mais importante aqui do que em qualquer outro lugar: os relatórios têm de ser impecáveis e rápidos. Num setor em que um erro parece um fracasso perante um doente, o instinto é ficar calado, e é o silêncio que transforma um simples clique num incidente que chega ao sistema de registos.

Como é que a Guardey apoia as organizações do setor da saúde

A formação em sensibilização para a segurança da Guardey baseia-se em desafios semanais de cerca de três minutos, com gamificação através de tabelas de classificação e séries de dias consecutivos, e conteúdos que acompanham as ameaças que circulam na realidade. É esse formato que faz a diferença no setor da saúde: cabe num intervalo, em vez de exigir uma tarde inteira reservada para isso, e a equipa forma-se na aplicação móvel para iOS e Android ou simplesmente no navegador, o que inclui colegas que nunca se sentam atrás de uma secretária.

As simulações integradas de phishing mostram se o reconhecimento se traduz em comportamento, e os relatórios prontos para auditoria transformam a participação e o progresso em provas para a NEN 7510, a AVG e a NIS2. Organizações de cuidados de saúde, incluindo a Psyned, a Odion e a Roosevelt Kliniek, trabalham com a Guardey, e a nossa página sobre formação em sensibilização para a segurança na área da saúde explica como isso funciona por tipo de organização. A configuração demora apenas alguns minutos.

Perguntas frequentes sobre segurança da informação no setor da saúde

A norma NEN 7510 é obrigatória para todos os prestadores de cuidados?

Funciona como a norma do setor para o tratamento de dados de doentes e, na prática, é o que os supervisores, as seguradoras e os clientes esperam que tu sigas, embora a obrigação exata dependa da tua função e dos acordos que tenhas feito. A certificação é uma escolha à parte de trabalhar de acordo com a norma; muitas organizações fazem o segundo sem o primeiro.

O que se considera uma violação de dados no setor da saúde?

Qualquer situação em que os dados pessoais tenham estado sujeitos a perda ou a um tratamento ilegal: um ficheiro enviado para o destinatário errado, um dispositivo perdido, o acesso não autorizado a um registo ou um sistema que tenha sido encriptado. A necessidade de comunicar o incidente depende do risco para as pessoas envolvidas e, no caso dos dados médicos, esse limiar é atingido rapidamente.

Como é que formamos os funcionários que trabalham por turnos?

Ao deixar de partir do princípio de que toda a gente pode estar na mesma sala. Módulos curtos no telemóvel, disponíveis sempre que for preciso, chegam aos funcionários da agência e do turno da noite, que as sessões presenciais, por uma questão de estrutura, não conseguem abranger. O que importa é o ritmo, e não a duração: uns poucos minutos por semana são melhores do que uma tarde por ano.

Podemos falar sobre os doentes pelo WhatsApp?

As aplicações de mensagens para consumidores não foram concebidas para dados de categorias especiais e, geralmente, não se enquadram nos acordos que uma organização de cuidados de saúde tem de celebrar relativamente ao tratamento e à conservação desses dados. A solução prática não é apenas proibir a sua utilização, mas sim oferecer uma alternativa que seja igualmente rápida, porque uma regra que custa tempo acaba por perder frente à aplicação que o poupa.

A segurança da informação na área da saúde depende, para ter sucesso ou fracassar, do facto de as medidas se adequarem ao trabalho. Uma política que pressupõe uma atenção sem pressa vai ser contornada por quem não tem tempo para isso, enquanto um pequeno hábito que se encaixa entre dois pacientes tem hipótese de se manter. As organizações que acertam nisto não são aquelas com as regras mais rígidas, mas sim aquelas em que comunicar algo estranho é tão normal como lavar as mãos.