Sensibilização para a cibersegurança e o setor da saúde

A sensibilização para a cibersegurança é uma questão empresarial fundamental para todas as organizações. No entanto, é simplesmente essencial no setor da saúde, onde os dados são particularmente sensíveis.

Os grandes volumes de dados confidenciais, combinados com sistemas de segurança muitas vezes vulneráveis e uma extensa rede de dispositivos médicos ligados, fazem do setor da saúde um alvo privilegiado para os cibercriminosos.

O setor da saúde é um dos mais vulneráveis, afetado por uma infinidade de problemas relacionados com a cibersegurança, como incidentes de segurança, violações organizacionais e roubo de dados provenientes de fontes internas e externas.

A cibersegurança no setor da saúde está em estado crítico

No ano passado, as violações de dados e os ataques de ransomware custaram aos prestadores de cuidados de saúde cerca de 4 mil milhões de dólares. Na verdade, 67% das organizações do setor da saúde sofreram um incidente de cibersegurança nos últimos doze meses.

Talvez o incidente mais famoso tenha ocorrido em 2017, quando um ciberataque global devastador paralisou os computadores em hospitais por todo o Reino Unido. O impacto do ciberataque WannaCry foi enorme, tendo o incidente cibernético interrompido os serviços em um terço das redes hospitalares e em cerca de 8% dos consultórios médicos de clínica geral. O custo total estimado para restaurar os sistemas afetados chegou aos 92 milhões de libras, segundo o Departamento de Saúde e Assistência Social.

Mais recentemente, os prestadores de cuidados de saúde e as organizações de investigação médica têm enfrentado um aumento acentuado de ataques de phishing relacionados com a crise da Covid-19. O Hospital Universitário de Brno, na República Checa, que é um dos centros de testagem da Covid-19 do país, foi alvo de um ataque de ransomware, o que levou ao adiamento de todas as cirurgias.

No meio de um aumento acentuado dos ataques de phishing relacionados com o coronavírus em todo o mundo, o Departamento de Saúde e Serviços Humanos dos EUA (HHS) também foi alvo de um ataque de negação de serviço distribuída (DDoS), que tinha como objetivo perturbar a resposta da organização à pandemia da Covid-19.

O Centro Nacional de Cibersegurança do Reino Unido (NCSC) e a Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA) relataram uma série de ataques a entidades médicas, especialmente aquelas que têm estado envolvidas na resposta à pandemia.

Preocupações com a cibersegurança no setor da saúde

É óbvio que os hackers vão continuar a lançar ciberataques contra o setor da saúde enquanto houver lucros a ganhar, seja vendendo dados roubados de doentes, seja mantendo os sistemas de saúde reféns até que as exigências dos criminosos sejam satisfeitas.

O setor da saúde tem passado por uma mudança significativa nos últimos anos, com a adoção de novas tecnologias para facilitar a integração de dados, o envolvimento dos doentes e o apoio clínico.

Com esta transição dos métodos tradicionais em papel, surgem inúmeras oportunidades para os cibercriminosos, desde malware que compromete a privacidade dos dados dos doentes até ataques de negação de serviço distribuída (DDoS) que prejudicam a capacidade de prestar cuidados aos doentes.

No entanto, as organizações estão muitas vezes demasiado preocupadas em defender-se contra ameaças externas para se ocuparem dos riscos muito reais e perigosos que podem existir dentro das suas próprias fileiras.

A ameaça interna

Com uma grande quantidade de informação de saúde altamente confidencial e protegida (PHI) ao seu alcance, os profissionais de saúde têm acesso a grandes volumes de dados de doentes que têm de estar disponíveis para a equipa, tanto no local como remotamente, e em vários dispositivos.

É amplamente reconhecido que os cibercriminosos atacam o ponto mais fraco das defesas de uma organização e, com demasiada frequência, isso significa os seus colaboradores. No ano passado, o Gabinete do Comissário de Informação do Reino Unido (ICO) revelou que o erro humano foi a causa de 90% das violações de dados cibernéticas.

No fim de contas, os profissionais de saúde são os guardiões dos dados e as ameaças cibernéticas representam agora um grande problema de saúde pública.

Para mitigar esse risco, a sensibilização para a segurança tem de se tornar parte integrante da estratégia global de segurança do setor da saúde, de forma a prevenir potenciais ciberataques.

Prevenção em vez de medicação

À medida que os ciberataques se tornam mais sofisticados e direcionados do que nunca, a sensibilização para a cibersegurança no setor da saúde é a arma mais poderosa contra estas ameaças e técnicas em constante evolução. Apesar de existirem várias camadas de segurança implementadas, a sensibilização para a cibersegurança continua a ser um desafio fundamental para muitas organizações. Muitas vezes, adota-se uma abordagem pontual, mas é importante perceber que a sensibilização para a segurança cibernética é mais do que apenas simulações de phishing.

Para mudar de verdade os comportamentos em matéria de cibersegurança, as organizações têm de se comprometer com um programa de sensibilização para a cibersegurança que permita aos colaboradores reconhecer e assumir o papel importante que desempenham na proteção dos dados confidenciais da organização.

Com o setor da saúde cada vez mais vulnerável a ataques cibernéticos maliciosos, a chave para melhorar a sensibilização para a cibersegurança neste setor é implementar uma campanha eficaz de sensibilização e criar uma cultura de sensibilização para a cibersegurança.

Como implementar uma campanha eficaz de sensibilização para a segurança cibernética

• • Começa pela liderança do CEO

A cibersegurança é responsabilidade de todos, mas as organizações resilientes contam com uma liderança forte por parte do CEO. Se o CEO levar a sério a cibersegurança, isso vai espalhar-se por toda a organização e ajudar a criar uma cultura de maior sensibilização para a cibersegurança.

• • Conhece as tolerâncias da tua organização

Dedicar algum tempo a identificar devidamente os riscos pode ajudar a definir a mensagem, a forma de a transmitir e a orientação eficaz do teu programa de sensibilização para a cibersegurança.

• • Defende os teus activos de informação

Tens de determinar quais são os teus ativos de informação mais valiosos, onde estão localizados e quem tem acesso a eles. Cada ativo deve ser classificado (por exemplo, público, privado ou confidencial) e protegido de acordo com o seu valor. Isso é fundamental para identificar riscos e dar prioridade às áreas que precisam de ser defendidas.

• • Foco nos grupos de alto risco

A chave para um programa eficaz de sensibilização para a segurança é garantir que a formação certa seja direcionada às pessoas certas. Todos os utilizadores estão suscetíveis a ameaças cibernéticas; no entanto, certos colaboradores apresentam um perfil de risco mais elevado do que outros. Por exemplo, os teus departamentos de RH e Finanças serão frequentemente alvo de ameaças de phishing devido ao seu acesso privilegiado a dados valiosos.

• • Torna o conteúdo cativante com uma narrativa eficaz

Contar histórias é uma das formas mais eficazes de dar vida à tua campanha de sensibilização para a cibersegurança. Admite, a cibersegurança pode ser um tema um bocado enfadonho, mas é essencial que encontres formas de envolver a tua equipa se quiseres ter um impacto positivo no comportamento dentro da tua organização. A mensagem é demasiado importante para se perder nas comunicações formais e corporativas

• • Actualiza a tua gestão de políticas

As políticas são fundamentais para estabelecer limites de comportamento para as pessoas, os processos, as relações e as transações dentro da tua organização. Elas fornecem um quadro de governação, identificam riscos e ajudam a definir a conformidade, o que é importante no panorama regulatório cada vez mais complexo de hoje em dia.

• • Começa já a preparar-te para uma violação de dados

Já não se trata de saber «se» a tua organização vai ser atacada, mas sim «quando». Tens de começar a preparar-te para o inevitável e a implementar um plano que garanta uma resposta adequada e atempada em caso de violação da segurança.

• • Recruta os campeões da cibersegurança

Nomear defensores da cibersegurança é uma excelente forma de capacitar o pessoal e de o dotar das competências necessárias para evitar um ataque informático.

• • Considera a tua cadeia de fornecimento

Cada fornecedor e entidade externa que se relaciona com a tua empresa representa um risco potencial, por isso é essencial que faças avaliações detalhadas dos riscos associados a terceiros para resolver quaisquer problemas que possam constituir uma ameaça à tua segurança. Isso pode ajudar a determinar quais as medidas de segurança que é preciso implementar para manter os teus dados protegidos.

• • Implementar uma supervisão adequada e revisões regulares

O panorama das ameaças está sempre a mudar, por isso o teu programa de sensibilização para a cibersegurança tem de acompanhar essa evolução. É importante fazer revisões regulares da preparação dos colaboradores para identificar pontos fracos e determinar se as políticas e a formação atuais precisam de ser atualizadas.

Cria uma equipa mais consciente em matéria de segurança

O programa «Sensibilização para a Cibersegurança para Líderes » é um recurso indispensável para promover mudanças de comportamento e criar uma cultura de sensibilização para a cibersegurança.

Neste guia, vais aprender:

• • As ameaças cibernéticas mais comuns que têm como alvo as pessoas hoje em dia, incluindo a usurpação de identidade, o risco interno e os ataques à cadeia de abastecimento

• • Como a gestão de riscos humanos ajuda as organizações a reforçar a sua defesa contra esses riscos

• • Como alinhar a consciencialização cibernética com estruturas como a ISO 27001 e a NIST CSF 2.0

• • O papel da liderança, da cultura e da comunicação na construção da resiliência cibernética a longo prazo

Clica aqui para receberes a tua cópia gratuita do guia «Sensibilização para a Cibersegurança para Líderes».