Os dispositivos da Internet das Coisas (IoT) melhoraram o atendimento ao paciente conectando equipamentos hospitalares, monitorando dados de saúde e automatizando tarefas. De wearables médicos a robôs cirúrgicos, estima-se que 14,3 mil milhões de dispositivos médicos IoT estarão em utilização até 2022. No entanto, muitos destes dispositivos apresentam graves falhas de segurança que colocam em risco a privacidade e a segurança dos pacientes. Os hackers demonstraram que podem explorar vulnerabilidades em equipamentos médicos conectados para alterar configurações, acessar dados pessoais e até desativar dispositivos críticos.
Vulnerabilidades de IoT em sistemas de saúde
À medida que os cuidados de saúde se movem cada vez mais online, as organizações devem reconhecer os perigos ocultos da IoT médica e tomar medidas proativas para proteger os sistemas contra ataques cibernéticos. Este blog explorará vulnerabilidades comuns em dispositivos IoT de saúde, ações que as organizações podem tomar para mitigar riscos e por que a segurança deve continuar sendo uma prioridade à medida que surgem novas tecnologias médicas.
Autenticação e controles de acesso fracos
Autenticação e controles de acesso fracos são grandes problemas de segurança. Eles acontecem quando as empresas não protegem adequadamente as credenciais de login e o acesso aos seus sistemas e dados. Isso facilita a invasão de hackers.
Muitas empresas dependem de senhas simples para autenticação. As senhas podem ser fáceis de adivinhar, quebrar ou roubar. Os hackers usam ferramentas que tentam automaticamente invadir senhas comuns. Os funcionários geralmente escolhem senhas fracas e as reutilizam em várias contas.
A autenticação de dois fatores fornece um login mais forte, exigindo uma senha e um código enviado para um telefone ou e-mail. Mas algumas opções de dois fatores não são muito seguras.
Muitos sistemas possuem amplos controles de acesso. Todos têm o mesmo nível de acesso, independentemente da função. Apenas algumas pessoas têm privilégios de administrador. Mas isso significa que os administradores têm muito acesso.
Violações de dados e acesso não autorizado
Violações de dados e acesso não autorizado acontecem quando criminosos ou pessoas não autorizadas obtêm acesso a informações privadas. Isso pode expor dados confidenciais, como informações de clientes, registros financeiros, propriedade intelectual e muito mais.
Os hackers usam várias táticas para obter acesso não autorizado. Os métodos comuns incluem e-mails de phishing, exploração de vulnerabilidades, roubo de credenciais e ataques de força bruta. Algumas violações acontecem devido a ameaças internas de funcionários atuais ou antigos.
Depois que os invasores obtêm acesso, eles podem roubar rapidamente grandes quantidades de dados confidenciais. Eles podem acessar a rede por meses sem serem detectados. Os dados roubados são frequentemente vendidos na dark web para uso em fraudes e outros crimes.
As violações de dados podem causar grandes problemas para as empresas. Eles prejudicam a reputação da marca, levam a multas e problemas de conformidade e perdem a confiança do cliente. Os custos de resposta a violações aumentam rapidamente.
As empresas tomam medidas para impedir o acesso não autorizado. Eles usam firewalls, sistemas de detecção de intrusões e outros controles de segurança. Os funcionários são treinados nas melhores práticas de segurança e políticas de senha.
Ameaças internas são riscos de segurança que vêm de pessoas dentro de uma organização – funcionários, prestadores de serviços e outros usuários autorizados. Eles podem expor, alterar ou destruir, de forma maliciosa ou acidental, os sistemas de informação de uma organização.
Ameaças internas podem causar danos significativos. Freqüentemente, eles têm acesso legítimo a redes e dados, dificultando a detecção de suas atividades. Eles conhecem os pontos fracos e os controles de segurança da empresa.
A maioria das violações de dados envolve de alguma forma um insider. Pessoas internas intencionais querem roubar dados para obter ganhos financeiros, serem contratados por um concorrente ou por motivos pessoais, como vingança. Insiders acidentais cometem erros que expõem dados. As atividades comuns de ameaças internas incluem roubo de dados, sabotagem, fraude, introdução de malware, acesso não autorizado ao sistema e exposição involuntária de dados.
As organizações combatem ameaças internas por meio de medidas como ferramentas de prevenção contra perda de dados, treinamento de conscientização em segurança, políticas rígidas de senha e monitoramento de atividades de usuários autorizados. Verificações abrangentes de antecedentes podem reduzir ameaças internas de contratação.
Software e sistemas desatualizados
Usar software e sistemas desatualizados é um grande risco de segurança. Programas e dispositivos mais antigos possuem vulnerabilidades não corrigidas que os hackers podem explorar.
À medida que o software envelhece, os desenvolvedores originais param de fornecer atualizações e patches de segurança. Mas vulnerabilidades são sempre descobertas, mesmo nos programas mais utilizados. Os hackers encontram maneiras de tirar vantagem dessas falhas não corrigidas.
Sistemas operacionais desatualizados são especialmente arriscados. Eles não possuem os recursos de segurança mais recentes e não podem ser corrigidos para corrigir novos problemas. Navegadores e plug-ins antigos também apresentam riscos. As empresas muitas vezes atrasam as atualizações de software devido a custos, problemas de compatibilidade e medo de interrupções. Manter aplicativos personalizados mais antigos é caro.
Não atualizar regularmente significa que os sistemas acumulam vulnerabilidades ao longo do tempo. Eles se tornam mais fáceis de serem violados por hackers. As violações de dados geralmente exploram falhas que tinham patches disponíveis há meses ou até anos.
Ransomware é um tipo de software malicioso que criptografa os dados da vítima e exige o pagamento de uma chave para descriptografá-los. Os ataques de ransomware tornaram-se cada vez mais comuns e caros.
Os hackers infectam sistemas com ransomware por meio de e-mails de phishing, anúncios maliciosos e sites comprometidos. Assim que um usuário clica em um link ou abre um arquivo infectado, o ransomware se instala. Em seguida, ele se espalha rapidamente pela rede e criptografa arquivos.
A maioria dos ransomware exige pagamento em criptomoeda para fornecer uma chave de descriptografia. O pagamento garante o anonimato do invasor. O resgate de dados valiosos das empresas pode gerar enormes lucros para os criminosos. Mesmo que as vítimas paguem o resgate, não há garantia de que a chave de desencriptação funcionará. Algumas vítimas nunca recuperam os seus ficheiros encriptados.
Vulnerabilidades de dispositivos médicos
Os dispositivos médicos estão cada vez mais conectados às redes e à Internet. Embora esta conectividade proporcione benefícios, também introduz vulnerabilidades que os hackers podem explorar.
Muitos dispositivos têm uma higiene de segurança deficiente. Eles usam sistemas operacionais desatualizados sem patches críticos. Senhas padrão ou codificadas são comuns. Os dispositivos geralmente não possuem atualizações automáticas de segurança.
Como resultado, os dispositivos médicos estão sujeitos a ataques cibernéticos que podem prejudicar os pacientes. Os hackers demonstraram que podem adulterar as configurações dos dispositivos, acessar dados dos pacientes e até mesmo desativar dispositivos. Equipamentos médicos conectados, como aparelhos de ressonância magnética, tomografia computadorizada e bombas de insulina, são alvos de alto valor. Os ataques podem interromper as operações ou causar danos físicos.
Equipamentos médicos vulneráveis ​​incluem dispositivos que monitoram sinais vitais, administram medicamentos e apoiam funções vitais críticas. Até camas hospitalares e sistemas de segurança foram hackeados.
Ataques de engenharia social
Os ataques de engenharia social induzem as pessoas a fornecer informações confidenciais ou a realizar ações que permitem que hackers acessem os sistemas. Os hackers manipulam ou convencem as vítimas a revelar informações ou conceder acesso voluntariamente.
Phishing é uma técnica comum de engenharia social. E-mails ou mensagens de phishing que fingem ser de fontes confiáveis ​​para fazer com que as vítimas cliquem em links, abram arquivos ou revelem credenciais de login. O pretexto usa cenários inventados para obter informações sob pretextos.
Os hackers exploram a natureza humana e a confiança, curiosidade ou vontade de ajudar da vítima. Muitos ataques envolvem emoções como medo, urgência ou excitação. Treinar os funcionários para reconhecer as tentativas de engenharia social pode ajudar a reduzir os riscos. Os sinais de alerta incluem e-mails não solicitados, telefonemas inesperados, saudações genéricas e mensagens que criam um senso de urgência.
Outras defesas incluem autenticação multifatorial, políticas de senhas fortes e ferramentas de prevenção contra perda de dados. A segmentação de redes limita o impacto de ataques bem-sucedidos.
Criptografia de dados inadequada
A criptografia de dados confidenciais ajuda a impedir o acesso não autorizado caso caiam em mãos erradas. Mas muitas organizações não conseguem criptografar adequadamente, deixando os dados vulneráveis ​​a roubo ou exposição. Algumas empresas criptografam apenas dados “em repouso”, como dados armazenados em servidores ou backups. Mas eles não criptografam dados “em trânsito” à medida que eles se movem pelas redes. Isso deixa os dados expostos quando transmitidos entre dispositivos.
Outros usam métodos de criptografia fracos ou desatualizados. Algoritmos mais antigos podem ser quebrados por computadores modernos. As chaves de criptografia podem ser fáceis de adivinhar ou roubar. Algumas organizações não criptografam todos os tipos de dados confidenciais. Eles só podem criptografar informações financeiras, mas não dados pessoais, como registros de saúde ou informações de clientes.
Quando os dados não são criptografados ou são mal criptografados, fica mais fácil para os hackers interceptarem e roubarem. As violações de dados geralmente envolvem dados não criptografados comprometidos. Para mitigar o risco, as empresas devem ter políticas de encriptação de dados que exijam a utilização adequada de encriptação forte para todos os dados sensíveis, tanto em repouso como em trânsito. Eles devem avaliar regularmente os métodos de criptografia e atualizá-los quando necessário.
Riscos de fornecedores terceirizados
As empresas dependem de fornecedores e terceiros para fornecer serviços e software. Mas estas ligações também expõem as empresas a riscos de segurança fora do seu controlo. Muitas violações de dados têm origem em fornecedores comprometidos e não em sistemas internos. Os hackers têm como alvo os fornecedores como forma de obter acesso a várias empresas.
Muitas vezes, terceiros não têm os mesmos padrões e controles de segurança que as empresas com as quais trabalham. Os fornecedores não podem corrigir vulnerabilidades imediatamente, implementar medidas básicas de segurança ou proteger os dados de maneira adequada. As empresas perdem visibilidade quando os dados saem dos seus sistemas. Eles devem confiar que os fornecedores protegem esses dados. Mas o manuseio incorreto e o vazamento de dados acontecem com frequência.
As empresas tomam medidas para gerenciar os riscos dos fornecedores. Eles avaliam os controles de segurança dos fornecedores, exigem termos de segurança nos contratos e realizam auditorias. Algumas empresas realizam avaliações de risco de todos os terceiros que acessam seus dados. Apesar destas medidas, os compromissos dos fornecedores continuam a ser uma das principais causas de violações de dados.
As empresas enfrentam uma expansão significativa do risco à medida que terceirizam para terceiros. Embora os programas de gerenciamento de fornecedores visem proteger essas conexões, as empresas têm controle limitado sobre sistemas externos. As empresas devem responsabilizar os fornecedores, avaliar continuamente os riscos de segurança e responder rapidamente aos indicadores de potenciais incidentes envolvendo parceiros para limitar os danos de inevitáveis ​​comprometimentos dos fornecedores.
Falta de treinamento e conscientização dos funcionários:
Os funcionários costumam ser o elo mais fraco na segurança de uma organização. Quando os trabalhadores não têm formação e sensibilização adequadas, deixam a rede aberta a ataques, sem o saberem. Os funcionários podem cair em e-mails de phishing e revelar senhas ou dados confidenciais. Eles acidentalmente introduzem malware ao clicar em links suspeitos ou abrir anexos infectados.
Os trabalhadores podem não compreender como identificar tentativas de engenharia social ou outras táticas de engano utilizadas por hackers. Aqueles que não estão preocupados com a segurança podem deixar de seguir os procedimentos adequados, como bloquear telas e proteger dispositivos.
Os funcionários muitas vezes precisam de treinamento regular sobre noções básicas de segurança, como gerenciamento de senhas, protocolos de proteção de dados e como identificar e relatar ameaças. A simples distribuição de políticas de segurança não é suficiente. As empresas usam uma variedade de métodos para aumentar a conscientização, incluindo simulações de ataques de phishing, cursos presenciais e on-line e lembretes e dicas de segurança. Alguns implementam gamificação e incentivos para a conclusão do treinamento.
Os dispositivos da Internet das Coisas (IoT) melhoraram a velocidade, a qualidade e a conveniência dos cuidados de saúde. Mas também introduziram novas vulnerabilidades que ameaçam a segurança dos pacientes e a segurança dos dados. À medida que mais dispositivos médicos ficam online, as organizações de saúde devem priorizar a segurança da IoT para proteger os pacientes. Isto requer recursos orçamentais, implementação de políticas e realização de formação de utilizadores. Os fabricantes de dispositivos devem incorporar a segurança no design do produto desde o início.
Com precauções e supervisão adequadas, a IoT pode transformar a prestação de cuidados de saúde, ao mesmo tempo que minimiza os riscos para a privacidade e os cuidados dos pacientes. No entanto, será necessária vigilância e melhorias constantes para acompanhar a evolução das ameaças aos sistemas médicos de IoT. A segurança deve continuar a ser uma prioridade máxima para desbloquear todos os benefícios da IoT nos cuidados de saúde de forma responsável.