É notório como a convergência entre tecnologia e saúde tem avançado rapidamente, trazendo inovações que revolucionam desde o cuidado ao paciente até a gestão de sistemas de saúde. Entretanto, o que também não faltam são novos desafios, principalmente no que tange à segurança da informação e aos dados pessoais dos pacientes.
No Brasil, assim como globalmente, a ampla transformação digital nos serviços de saúde tem sido acompanhada por um crescimento significativo no número de ataques cibernéticos, tornando a cibersegurança um tema de urgente discussão e necessidade de ação.
Infelizmente, diversos casos recentes deixam claro que as práticas adotadas por muitas instituições ainda não são compatíveis com os riscos aos quais estão expostas, resultando em paralisações em serviços de saúde críticos e até mesmo na exposição de dados pessoais sensíveis de pacientes.
Em meio a uma onda de crimes cibernéticos, empresas no segmento de saúde que negligenciam essa realidade tornam-se alvo prioritário de grupos de criminosos digitais, resultando em impactos que não só afetam a imagem e os resultados financeiros da instituição, mas que, em casos extremos, podem até mesmo pôr em risco vidas humanas.
Cibercrime na saúde
O setor de saúde enfrenta uma crescente ameaça de cibercriminosos em todo o mundo, com um custo estimado de cibercrime para as organizações de saúde ultrapassando US$ 6 bilhões globalmente, de acordo com a pesquisa da Cybersecurity Ventures.
No Brasil, a digitalização acelerada durante a pandemia de COVID-19 aumentou a exposição de dados sensíveis dos pacientes, com uma significativa parcela dos ataques cibernéticos em instituições de saúde. De acordo com um estudo da empresa especializada em risco cibernético Tenable, entre novembro de 2021 e outubro de 2022, 43% dos vazamentos criminosos vieram de endereços brasileiros.
Esse cenário coloca o Brasil como líder em incidentes desse tipo, destacando a urgência de medidas de proteção. Além disso, nos Estados Unidos, as investidas aumentaram 94% em 2021 em comparação com 2020, de acordo com um relatório da reputada companhia de segurança informática Sophos.
Quanto às ameaças enfrentadas, é importante destacar o conceito de "double extortion". Essa técnica envolve não apenas criptografar os dados, como ocorre no ransomware tradicional, mas também roubar os dados e ameaçar divulgá-los publicamente caso o resgate não seja pago. Essa estratégia cria uma pressão adicional sobre as instituições de saúde, que se veem obrigadas a ceder às demandas dos criminosos para evitar consequências legais e de reputação.
Desafios para o setor de saúde no Brasil
O setor de saúde no Brasil enfrenta desafios singulares em termos de cibersegurança, impulsionados pela sensibilidade dos dados e pela intrincada rede de serviços. A variedade de sistemas, frequentemente antiquados e diversos, obstaculiza a aplicação de medidas de segurança eficazes, elevando o potencial de incidentes graves.
A introdução de novas tecnologias, como telemedicina e dispositivos conectados, amplia os pontos de vulnerabilidade, enquanto a falta de conscientização sobre cibersegurança entre os profissionais de saúde e as limitações orçamentárias complicam ainda mais a manutenção de defesas sólidas. Apesar dos avanços legislativos, como a Lei Geral de Proteção de Dados (LGPD), sua implementação no setor é desafiadora devido à complexidade das informações e às peculiaridades técnicas de cada instituição.
Estratégias de mitigação e proteção de dados
Para enfrentar os desafios de cibersegurança, é essencial adotar uma abordagem abrangente. Isso inclui implementar medidas como criptografia de dados, autenticação multifator e monitoramento contínuo de atividades suspeitas. Essas medidas visam proteger as informações de contra-ataques cibernéticos, garantindo que os dados sensíveis dos pacientes permaneçam seguros e inacessíveis a terceiros não autorizados.
Além disso, a conscientização dos funcionários sobre práticas seguras de TI e os riscos associados aos ataques cibernéticos são fundamentais. Através de programas de treinamento regulares e testes de phishing, os colaboradores podem ser educados e preparados para identificar e responder adequadamente a tentativas de engano. Isso fortalece significativamente a segurança da informação, reduzindo o risco de violações de dados causadas por ações inadvertidas.
Por fim, é importante desenvolver e manter planos de resposta a incidentes cibernéticos que incluam procedimentos de notificação rápida e medidas de contenção. Além disso, garantir a conformidade com a LGPD é uma obrigação legal e moral das instituições de saúde. Ao seguir estas medidas, as instituições podem proteger não apenas a si mesmas, mas também a confiança dos pacientes, garantindo a segurança e privacidade de seus dados de saúde.
*Cláudio Dodt é Sócio e Líder de Prática na Daryus Consultoria, sendo responsável pelos times de consultores de Segurança da Informação, Cibersegurança, Privacidade & Proteção de Dados.
