Como criar uma cultura security awareness nos cuidados de saúde neerlandeses

Nenhum setor na Holanda tem tantos casos de violação de dados quanto o da saúde. Só em 2024, foram 6.873 casos relatados.

Recentemente, um ataque de ransomware à Clinical Diagnostics Nederland resultou no roubo de 300 GB(!) de dados, incluindo números de segurança social e resultados de exames médicos.

Muitos destes dados acabaram mesmo na dark web. O incidente também afectou o Bevolkingsonderzoek Nederland e vários hospitais e médicos de clínica geral. Os cibercriminosos tiveram acesso a dados de 850 000 pessoas. O caso foi suficientemente grave para suscitar perguntas parlamentares.

Claramente, há muitas razões para o sector da saúde investir seriamente numa cultura de segurança forte. Uma cultura em que todos os funcionários compreendam o potencial impacto de um ciberataque e o papel que desempenham na sua prevenção. No entanto, em muitas organizações de cuidados de saúde, security awareness continua a ser uma prioridade baixa ou simplesmente um desafio demasiado grande.

Todos os hospitais, prestadores de cuidados de saúde mental e laboratórios dos Países Baixos estão a um clique de distância dos mesmos cabeçalhos. Não porque os seus sistemas sejam fracos, mas porque os seus funcionários não estão preparados.

Neste artigo, vamos analisar o estado da security awareness nos cuidados de saúde, a razão pela qual muitas iniciativas não conseguem arrancar e como corrigir essa situação.

Em primeiro lugar, qual é o aspeto de uma cultura security awareness saudável?

Nos cuidados de saúde, uma forte cultura security awareness é essencial para proteger dados médicos sensíveis, manter a confiança dos doentes e assegurar a continuidade dos cuidados.

Porquê? Porque uma fuga de dados dos teus dados médicos pode ser muito mais prejudicial do que possas imaginar.

Como disse Stefan Behrens, diretor-geral de uma organização de cuidados de saúde psicológicos: "Os dados médicos estão entre os dados pessoais mais sensíveis, mas prefiro encontrar a minha radiografia dentária online do que as notas do meu terapeuta. Este nível de vulnerabilidade é muito mais profundo".

A melhor forma de combater o erro humano que leva a uma fuga de dados é criar uma cultura forte. Uma mentalidade partilhada por toda a organização que diga que a segurança é da responsabilidade de todos e não apenas das TI.

Eis o que te parece na prática:

• A segurança faz parte do dia a dia. Os funcionários pensam duas vezes antes de clicar num link, enviar dados confidenciais ou fazer login numa rede pública. Eles sabem o que devem relatar e se sentem seguros para fazê-lo.
• Os erros são discutidos, não punidos. Em ambientes de elevado stress, os erros são inevitáveis. O que importa é a forma como são tratados. Em culturas fortes, as pessoas assumem a responsabilidade e comunicam os seus problemas. Não porque tenham medo, mas porque se preocupam.
• A consciencialização é visível nas reuniões e nas métricas. As equipas analisam regularmente os temas de segurança que necessitam de mais atenção, discutem os riscos recentes e partilham sugestões. Já não se trata de um exercício de assinalar a caixa. Faz parte da semana de trabalho.

Em última análise, uma cultura saudável security awareness nos cuidados de saúde é aquela em que todos, desde as equipas de cuidados de saúde ao pessoal administrativo, compreendem que a proteção dos dados dos doentes faz parte da prestação de cuidados seguros e de elevada qualidade.

Ou como diz Behrens da Psyned: "Com todas as medidas técnicas implementadas, o comportamento humano incorreto é um dos nossos maiores riscos de segurança e a security awareness dos nossos colaboradores para security awareness é um fator crítico."

Quais são as maiores ameaças aos cuidados de saúde nos Países Baixos?

O mais recente relatório Cyber Threat Landscape da Z-CERT apresenta uma imagem clara das ameaças cibernéticas mais prementes que os cuidados de saúde enfrentam atualmente:

• Ataques de ransomware, especialmente em laboratórios, hospitais e organizações de cuidados a jovens
• Espia as instalações de investigação
• Ataques de ransomware dirigidos a fornecedores
• Ataques DDoS a fornecedores
• Phishing com desvio do MFA, uma vez que muitas organizações confiam cegamente no MFA para segurança
• Malware
• Ameaças internas
• Fraude financeira
• Fugas de dados causadas pela utilização incorrecta de ferramentas de IA - por exemplo, o pessoal que introduz dados sensíveis dos doentes no ChatGPT

Algumas destas ameaças só podem ser mitigadas se garantires que os teus funcionários têm um forte sentido de security awareness. Independentemente do número de salvaguardas técnicas que implementes, um local de trabalho ciberseguro começa e termina com um comportamento humano responsável.

Porque é que security awareness nos cuidados de saúde é única

Os cuidados de saúde diferem de outros sectores em vários aspectos. Um ciberataque não perturba apenas as operações comerciais, pode ter um impacto direto na saúde dos doentes. Pensa em cirurgias atrasadas, medicação incorrecta ou diagnósticos temporariamente interrompidos.

Há também muito em jogo quando se trata de confiança. A fuga de dados médicos prejudica a reputação de um hospital e destrói a confiança que os doentes depositam na segurança das suas informações mais sensíveis.

Depois, há o custo. Desde a recuperação até às reclamações legais e às multas regulamentares, as consequências financeiras são enormes. Em muitos casos, os prémios de seguro aumentam drasticamente após uma violação, se é que é oferecida alguma cobertura.

Como é que os cuidados de saúde diferem de outros sectores

Muitas organizações debatem-se com a security awareness, mas os cuidados de saúde enfrentam os seus próprios desafios:

• Continuidade: enquanto um banco ou uma fábrica podem interromper as operações, os hospitais não podem - funcionam 24 horas por dia, 7 dias por semana.
• Dados sensíveis à privacidade: os dados médicos são muito íntimos e, por isso, valiosos, o que os torna um alvo privilegiado para os criminosos.
• Cultura de trabalho: os enfermeiros e os médicos vêem-se principalmente como prestadores de cuidados e não como "funcionários que têm de seguir protocolos de cibersegurança". Esta mentalidade torna a sensibilização mais difícil de incorporar.
• Elevada carga de trabalho e stress: durante os turnos noturnos ou em situações de crise, é mais provável que as pessoas cometam erros que normalmente não cometeriam.

Porque é que security awareness é um desafio tão grande nos cuidados de saúde

Security awareness é um tema quente em todos os sectores, mas os cuidados de saúde enfrentam os seus próprios obstáculos.

Ritmo clínico vs. ritmo de consultório

A maioria dos programas de sensibilização são concebidos para ambientes empresariais - pessoas que trabalham das 9 às 5, com horários flexíveis, computadores pessoais e acesso a plataformas de e-learning.

Nos cuidados de saúde, raramente é esse o caso. Os funcionários trabalham em turnos noturnos, deslocam-se entre locais e enfrentam emergências a qualquer momento. Muitas vezes não têm um computador dedicado. Encontrar o tempo e o local para uma formação regular é difícil.

A formação não se adapta à realidade dos cuidados de saúde

Muitos programas assumem um contexto empresarial. Não abordam situações específicas dos cuidados de saúde, como o tratamento de dados dos doentes, a confidencialidade médica ou a discussão de casos com colegas. Estes pormenores são importantes - e ignorá-los limita os resultados.

Falta de propriedade

Security awareness afecta todos, mas a responsabilidade deve recair sobre uma pessoa ou equipa. É aí que as coisas muitas vezes correm mal. Em muitas organizações, a responsabilidade é partilhada entre as TI, a conformidade, os RH ou os chefes de departamento, o que significa que ninguém é verdadeiramente responsável.

Cansaço regulamentar

Enquanto alguns pequenos prestadores de cuidados de saúde estão intrinsecamente motivados para reforçar a sensibilização security awareness, outros mostram resistência. Vêem normas como a NEN 7510 como burocracia. As iniciativas de sensibilização aumentam a carga administrativa, para além de outros requisitos de segurança, como a segurança contra incêndios ou a gestão de agressões.

Pontos cegos da cadeia de abastecimento

Em 2024, a empresa holandesa de comunicações com clientes AddComm foi vítima de um ataque de ransomware que afectou muitos dos seus clientes, incluindo o ABN Amro e a Infomedics. Este ataque mostrou como as cadeias de abastecimento são vulneráveis e porque é que a segurança dos fornecedores deve fazer parte da estratégia. Os fornecedores devem ser obrigados a cumprir normas mínimas.

A nível interno, existe frequentemente o mesmo ponto cego: os estudantes e os freelancers com acesso a dados sensíveis são excluídos dos programas de sensibilização.

Política sem prática

De acordo com o relatório de violações de 2024 da Autoridade Holandesa para a Proteção de Dados, 40% dos incidentes cibernéticos comunicados não se deveram à falta de políticas, mas sim ao facto de estas não terem sido implementadas ou monitorizadas.

Muitas vezes, tudo parece bem durante uma auditoria de conformidade, mas a consciencialização desaparece quando a auditoria termina. As políticas permanecem no papel. É por isso que a liderança deve ver a consciencialização como algo mais do que a conformidade.

Como criar uma cultura security awareness nos cuidados de saúde

A maioria dos profissionais de saúde já está a afogar-se em protocolos, auditorias e módulos obrigatórios de aprendizagem eletrónica. Mais regras ou plataformas maiores não resolverão o problema.

O que funciona é tratar a sensibilização como um produto vivo - algo que é fornecido regularmente, medido continuamente e constantemente adaptado a situações reais de cuidados de saúde.

Formação semanal, móvel e baseada em funções

O pessoal de saúde não tem tempo para longas sessões em sala de aula ou para e-learning genérico. A formação deve ser curta, prática e relevante - 3-5 minutos por sessão - adaptada à sua função. Os médicos e os enfermeiros precisam de cenários diferentes do que o contabilista ou o profissional de marketing comum.

Fornece formação onde for mais adequado: no telemóvel, durante um intervalo ou diretamente no Microsoft Teams. A aprendizagem deve integrar-se perfeitamente nas rotinas diárias.

→ Conhece o programa de security awareness para a security awareness do Guardey para os cuidados de saúde

KPIs centrados no comportamento

Há dois objectivos aqui. Primeiro, manter o pulso no nível de consciência dentro da tua organização. Segundo, ser capaz de provar a conformidade com os requisitos da NEN 7510. As principais métricas incluem:

• Taxa de comunicação: quantos empregados comunicam ativamente incidentes phishing ou suspeitos?
• Tempo para comunicar: com que rapidez actuam depois de se aperceberem de algo invulgar?
• Rácio phish-to-report: quantos ataques simulados são corretamente reconhecidos e comunicados?

Estas métricas mostram se estás a construir uma verdadeira cultura de segurança.

Relatórios fáceis e feedback instantâneo

A apresentação de relatórios deve ser tão fácil como clicar num botão. Com um botão de relatório incorporado no Outlook ou no Teams, os colaboradores podem reencaminhar instantaneamente mensagens de correio eletrónico suspeitas. O feedback imediato é crucial, não semanas mais tarde num relatório. Torna a denúncia positiva: um momento de sucesso, não uma repreensão.

Coaching na hora certa

Esperar por avaliações semestrais não funciona num ambiente 24 horas por dia, 7 dias por semana. Quando alguém clica num e-mail phishing - ou denuncia corretamente um e-mail - o feedback deve ser rápido. Dicas curtas e pessoais mantêm as pessoas alertas, especialmente contra ataques avançados como AiTM ou roubo de credenciais.

Inclui todo o ecossistema

A sensibilização não se deve limitar aos empregados permanentes. Voluntários, estagiários, contratados e fornecedores têm frequentemente o mesmo acesso ao sistema. Os criminosos não fazem distinção - e o teu programa também não deve fazer.

Uma governação que funciona

A consciencialização não deve ser um passatempo de TI, mas sim uma prioridade de cima para baixo. Atribui um responsável executivo, define responsabilidades RACI claras e discute o progresso mensalmente. É assim que a sensibilização se mantém viva e faz parte da agenda da liderança.

Se aprendemos alguma coisa ao longo dos anos, é que todos os programas security awareness que não são totalmente apoiados pela gestão falham numa questão de meses.

Ligação à continuidade da atividade

Um programa de sensibilização só tem valor real quando aparece durante uma crise. Cria cenários em que a sensibilização desempenha um papel fundamental: o que acontece se um fornecedor for atingido por ransomware, se um DDoS derrubar os sistemas do teu laboratório ou se o teu EHR estiver offline durante horas?

Se a consciencialização não é visível na resposta à crise, é porque nunca foi verdadeiramente incorporada.

Conclusão: Da tarefa de conformidade à mudança de cultura

Os cuidados de saúde estão no topo da lista de violações de dados e ciberataques, com consequências que vão muito além das multas ou da má publicidade. A segurança dos doentes, a continuidade dos cuidados e a confiança do público estão em causa.

Security awareness não pode ser um exercício anual de verificação. Requer uma cultura em que o pessoal compreenda o seu papel, possa cometer erros e aprender com eles, e em que a liderança trate a cibersegurança com a mesma seriedade que os cuidados com os doentes ou a saúde financeira.

A chave está em passos pequenos e práticos: formação curta e relevante, relatórios fáceis, feedback instantâneo e integração da sensibilização na gestão de crises. É assim que a sensibilização evolui de uma obrigação para uma parte natural dos cuidados de saúde profissionais.

O que podes fazer hoje

1. Adopta um programa de sensibil ização para security awareness - encontra um programa que ofereça conteúdos de formação específicos para os cuidados de saúde, como o Guardey.
2. Mede o comportamento, não o conhecimento - começa a seguir KPIs como a taxa de comunicação e o tempo de comunicação.
3. Torna a comunicação fácil e gratificante - adiciona um botão de comunicação e dá feedback imediato.
4. Inclui todos os que têm acesso - estagiários, voluntários e fornecedores também fazem parte da tua cadeia.
5. Atribui a responsabilidade executiva - sem o apoio da liderança, a sensibilização continua a ser um projeto secundário.

→ Sabe mais sobre o programa de security awareness para a security awareness do Guardey para os cuidados de saúde