Perda de dados na saúde

Sendo uma das informações pessoais mais sensíveis, os dados de saúde dos pacientes precisam de ser protegidos contra incidentes ou violações de dados. No entanto, quando a maioria dos dados se encontra distribuída por múltiplas aplicações e dispositivos, manter os dados em segurança contra ameaças pode ser bastante desafiante.

Há, contudo, algumas boas práticas que as empresas do setor da saúde podem aplicar de imediato para reforçar a segurança dos dados (e a confiança dos pacientes) — sobre as quais ficará a saber neste artigo.

Como a tecnologia mudou o setor da saúde

O setor da saúde beneficiou da tecnologia de muitas formas. Graças aos registos clínicos digitalizados armazenados na cloud, os médicos não têm de gastar tanto tempo a criar, atualizar e gerir registos em papel. Os dispositivos vestíveis e as aplicações de saúde digital ajudam os médicos a monitorizar pacientes com doenças de longa duração. Existem mesmo aplicações alimentadas por IA que conseguem gravar conversas entre paciente e médico e transformá-las em notas completas, poupando muito tempo aos médicos.

Todas estas aplicações geram também enormes quantidades de dados todos os dias — e isto é, simultaneamente, uma bênção e uma maldição para o setor da saúde. Uma bênção porque os dados provenientes das aplicações podem dar aos profissionais de saúde muito mais informação sobre um paciente do que uma entrevista permitiria. Assim, podem tomar melhores decisões sobre como tratá-lo e prestar, de modo geral, melhores cuidados aos pacientes.

A quantidade de dados gerada todos os dias torna, contudo, cada vez mais difícil acompanhar onde está armazenada determinada informação sensível de saúde e quem lhe pode aceder. Junte a isto dias de trabalho frenéticos, uma conhecida aversão à burocracia entre o pessoal médico e (infelizmente, com demasiada frequência) a falta de formação em cibersegurança, e percebe-se por que motivo a saúde está entre os setores que mais incidentes de dados sofrem. Infelizmente, os ataques à saúde também se tornaram mais comuns. Tal deve-se tanto ao valor que os registos clínicos têm para os criminosos como ao facto de muitas instalações de saúde ainda usarem equipamento desatualizado — tornando muito mais fácil para os criminosos obter os registos.

Qual é o custo médio da perda/violação de dados na saúde?

A saúde tem o custo médio mais elevado de violações de dados, com 10,10 milhões de dólares por incidente.

Mais preocupante ainda é o facto de o custo das violações de dados na saúde estar a crescer rapidamente. Segundo um relatório da IBM Security, o custo médio de um incidente destes no setor da saúde subiu 42 % desde 2020 — e continua a crescer.

Para os criminosos, um destes registos clínicos vale mesmo 50 vezes mais do que um número de cartão de crédito, pois conseguem construir uma persona inteiramente falsa a partir da informação disponível nos registos clínicos. Depois usam a nova persona para comprar equipamento médico através do seguro de saúde da vítima, contrair empréstimos em nome do paciente, abusar do plano de saúde da vítima ou submeter pedidos de reembolso ao seguro. Acresce que, como os registos clínicos (ao contrário, por exemplo, dos cartões de crédito) não podem ser cancelados, bloqueados ou alterados depois de detetada uma comprometimento dos dados, as empresas de saúde têm muito mais dificuldade em conter o problema e minimizar os danos.

Considerando o pouco tempo que os profissionais de saúde têm durante o dia e a facilidade com que os ficheiros (incluindo os mais sensíveis na saúde) podem ser copiados ou partilhados sem ninguém reparar, pode levar muito tempo até uma clínica ou hospital descobrir um incidente de dados.

Infelizmente, quando o descobrem, é muitas vezes tarde demais. Os dados dos seus pacientes (desde números da segurança social a números de cartão de crédito e historial clínico) já foram divulgados na darknet, e a empresa tem agora de lidar com danos reputacionais, perdas financeiras e também consequências legais.

Violações de dados na saúde e consequências legais

As violações de dados na saúde são tão dispendiosas também devido ao número de leis e regulamentações que o setor tem hoje de cumprir — e as sanções por violar essas regras são também bastante pesadas.

A maior sanção até à data por violação da HIPAA , 16 milhões de dólares, foi paga pela Anthem Inc. em 2018, depois de um ciberataque em 2014 ter causado uma violação de dados na saúde que abrangeu 78,8 milhões de registos. Adicionalmente, a Anthem teve ainda de pagar 115 milhões de dólares para encerrar as ações judiciais intentadas em nome das vítimas do incidente e 48 milhões de dólares em coimas.

A segunda maior violação, com a sanção mais elevada, foi imposta à companhia de seguros de saúde Premera Blue Cross em 2020 . A empresa foi multada por negligenciar vários requisitos da HIPAA e provocar um incidente de dados em que hackers obtiveram informação de saúde protegida de 10 466 692 indivíduos. A empresa concordou então pagar uma sanção financeira de 6 850 000 dólares para encerrar o caso e adotou um plano de ação corretiva para responder a todas as áreas de incumprimento.

Para além disso, a Premera Blue Cross encerrou uma ação multiestadual por 10 milhões de dólares e uma ação coletiva intentada em nome das vítimas por 74 milhões de dólares.

Os dados de saúde, genéticos e biométricos são também considerados categorias especiais de dados ao abrigo do Regulamento Geral sobre a Proteção de Dados (GDPR). Por isso, espera-se que as empresas de saúde sigam orientações mais rigorosas ao recolher, processar e armazenar informação de saúde — caso contrário, as coimas podem também ser bastante pesadas.

A 23 de fevereiro de 2021 , dados de saúde de quase 500 000 pessoas foram divulgados na Internet na sequência de uma violação massiva de dados na empresa DEDALUS BIOLOGIE. Os dados expostos incluíam nomes, números da segurança social, o nome do médico de família do paciente, datas de exames e ainda informação de saúde confidencial relacionada com VIH, cancros, doenças genéticas, gravidezes e terapêuticas medicamentosas. A empresa foi multada em 1,5 milhões de euros pela autoridade francesa de proteção de dados (CNIL) por violar os requisitos dos artigos 28.º, 29.º e 32.º do GDPR e provocar a violação. No entanto, a investigação ainda decorre, pelo que o valor final que a empresa terá de pagar pelas violações pode ser muito mais elevado.

Está também a tornar-se mais comum que as pessoas intentem ações judiciais após uma violação dos seus dados. Por exemplo, o escritório de advogados Baker Hostetler analisou mais de 1200 incidentes de segurança de dados de 2021 que a sua empresa ajudou os clientes a gerir e concluiu que 23 % desses incidentes envolveram violações na saúde.

Embora reforçar a segurança de dados nas instalações do centro de saúde exija algum tempo e esforço, vai ajudá-lo a longo prazo, pois facilitar-lhe-á evitar incidentes de dados ou violações de conformidade. Desta forma, pode dar garantias aos seus pacientes e parceiros de negócio de que os seus dados estão seguros consigo, prevenindo, ao mesmo tempo, repercussões financeiras muito dispendiosas resultantes de violações de dados na saúde.

Por onde deve começar?

Eis algumas coisas que pode fazer para reforçar os seus sistemas de saúde:

• Realize uma avaliação de risco de segurança

Tanto o GDPR como a HIPAA exigem que os prestadores de cuidados de saúde realizem uma avaliação anual de risco de segurança para identificar potenciais vulnerabilidades de segurança e ameaças aos dados nas suas redes. Embora normalmente demorem algum tempo, são incrivelmente importantes para as empresas de saúde, pois podem dar-lhes informação suficiente sobre onde os dados do paciente podem ser comprometidos e como deve responder às vulnerabilidades.

Desta forma, conseguirá corrigir quaisquer vulnerabilidades ou problemas na sua rede que possam conduzir a incidentes de violação ou perda no futuro, poupando tempo (e dinheiro).

• Eduque a sua equipa nas melhores práticas de cibersegurança

Sem formação em cibersegurança, os seus colaboradores podem não estar conscientes das políticas de segurança da empresa nem dos ciberriscos, levando-os a tomar ações arriscadas — como enviar o ficheiro de um paciente através de uma aplicação de mensagens de redes sociais. E, no entanto, quase um terço dos colaboradores na saúde (32 %) diz nunca ter recebido formação em cibersegurança no local de trabalho! A falta de consciência das consequências de uma violação pode também levar os colaboradores a saltar procedimentos de segurança apenas para terminar uma tarefa mais depressa. Isto pode rapidamente levar a violações de dados na saúde — de facto, o erro humano foi responsável por 33 % das violações na saúde só em 2020.

Para reduzir o número de incidentes, garanta que os seus colaboradores sabem como devem trabalhar com dados sensíveis e quais as consequências de negligenciar os procedimentos. Entregar-lhes um plano de resposta a incidentes com orientações sobre como reagir quando detetam uma violação de dados na saúde será também muito útil para prevenir e lidar com ameaças aos dados.

• Limite o acesso aos registos clínicos

Com centenas de pessoas e dispositivos numa organização de saúde, é vital que esteja muito atento a quem pode abrir, editar e partilhar os registos clínicos dos pacientes para prevenir o roubo de dados. As permissões de acesso aos ficheiros mais sensíveis de saúde devem ser configuradas para que apenas os profissionais de saúde que necessitam dos registos clínicos específicos os possam aceder e editar.

Quanto menos pessoas tiverem acesso aos registos clínicos, menor será a probabilidade de os dados serem comprometidos — ou divulgados para o exterior.

• Limite o uso de dispositivos pessoais

Os profissionais de saúde podem achar conveniente usar os seus dispositivos pessoais para o trabalho, mas estes dispositivos não são, normalmente, tão seguros como os que têm na clínica ou no hospital. Ter políticas claras que descrevam como os colaboradores podem aceder à sua rede ou aplicações ao usar dispositivos pessoais e como devem lidar com incidentes é essencial se quiser permitir que tragam e usem os seus próprios dispositivos para trabalhar. É também boa ideia estar atento aos dispositivos adicionados à sua rede e restringir ou bloquear o acesso a ficheiros sensíveis para aqueles que não reconhece.

• Mantenha um registo de auditoria de dados

Manter registos de dados é uma parte essencial da conformidade com a HIPAA, pois através deles pode detetar rapidamente quaisquer violações de política e responder-lhes de imediato. Adicionalmente, em caso de incidente, um trilho de auditoria ajudará também os especialistas forenses a identificar o local onde o incidente começou, determinar a causa e sugerir a melhor forma de prevenir incidentes semelhantes no futuro.

Acompanhar e guardar manualmente o registo de auditoria seria moroso e complicado. Felizmente, aqui pode contar com aplicações como a Safetica, que criarão e atualizarão os registos de auditoria por si. Depois, ao lidar com um incidente de dados, terá apenas de consultar os registos de dados e saberá onde e como começou — em vez de ter de pesquisar toda a rede.

• Restrinja as ações que podem ser efetuadas ao trabalhar com dados sensíveis

Para além de monitorizar quais os colaboradores que têm acesso a ficheiros sensíveis, recomenda-se restringir o que pode ser feito com esses ficheiros para impedir divulgações não autorizadas. Por exemplo, limitar ou bloquear envios web de ficheiros sensíveis, captura de ecrã, cópia para discos externos, anexar os ficheiros em e-mails ou imprimi-los pode contribuir muito para reduzir o risco de incidentes. Endpoints de dados monitorizados e protegidos reduzirão também enormemente a probabilidade de ladrões de dados roubarem informação confidencial, pois terão muito menos opções para copiar ou partilhar os dados sem serem apanhados.

• Cifre os dados

A cifragem é um dos métodos mais eficazes de proteger informação sensível. Mesmo que alguém não autorizado obtenha acesso a ficheiros sensíveis, como registos clínicos de pacientes, a informação dentro dos ficheiros estaria ilegível para ele e, por isso, não conseguiria usá-los de forma alguma. Para mais segurança, pode também adicionar mais camadas de cifragem, para que seja necessária mais do que uma chave de cifragem para entrar num sistema, ou combinar a cifragem com a autenticação multifator.

• Destrua a informação sensível corretamente

A HIPAA tem também regulamentações rigorosas sobre como deve destruir ficheiros e dispositivos com dados de pacientes ou outra informação sensível, para garantir que ninguém não autorizado os pode usar. Não destruir corretamente os dados de que já não precisa pode fazer com que os dados sejam expostos e, depois, pode ser multado por incumprimento.

Na verdade, algumas das maiores coimas por violação da HIPAA foram aplicadas por incumprimento das regras de destruição de registos clínicos. Por exemplo, o New England Dermatology and Laser Center teve de pagar 300 640 dólares para encerrar uma investigação à destruição inadequada de registos clínicos.

Recomenda-se contratar serviços de destruição de dados conformes com a HIPAA para eliminar dados sensíveis e os dispositivos onde estavam, garantindo que foram corretamente destruídos e que a informação não pode ser recuperada.

• Faça regularmente cópias de segurança dos dados e armazene-as num local seguro

Quer o seu sistema de saúde tenha falhado, quer um colaborador tenha sobrescrito acidentalmente registos de pacientes, perder o acesso a dados sensíveis pode obrigá-lo a passar mais tempo a restaurar os ficheiros do que a cuidar dos pacientes. Adicionalmente, se tiver de reagendar consultas ou procedimentos por causa de um incidente de dados, arrisca-se a perder a confiança dos pacientes na segurança dos seus dados consigo.

Por isso, a regra final da HIPAA exige que a informação de saúde protegida em formato eletrónico (ePHI) tenha cópias de segurança regulares e seja guardada de forma segura fora do local. Idealmente, deveria ter três cópias de segurança dos dados armazenadas em locais diferentes, pois assim reduz significativamente as hipóteses de perder todos os dados.

Recomenda-se também que as cópias de segurança sejam feitas diariamente, ou pelo menos uma vez por semana. Se não tiver tempo para o fazer, será boa ideia agendar cópias de segurança automáticas em intervalos definidos — por exemplo, todos os dias à meia-noite. Adicionalmente, deve garantir que apenas as pessoas que precisam das cópias para o seu trabalho lhes têm acesso — e ainda que todas as cópias estão cifradas.

Como a Safetica o pode ajudar a proteger os dados?

Cumprir os requisitos de conformidade e de segurança de dados, prestando ao mesmo tempo os melhores cuidados possíveis aos pacientes, não é tarefa fácil — sobretudo se a maioria das tarefas relacionadas com a proteção dos dados é feita manualmente. A Safetica pode assumir as tarefas de segurança de dados e de conformidade para dar aos seus profissionais de saúde mais tempo para cuidar dos pacientes.

Depois de definir as suas próprias políticas e requisitos de privacidade de dados na plataforma, a Safetica monitorizará todos os seus dados de saúde dentro e (mais importante hoje em dia) fora do ambiente de trabalho, 24/7.

O que mais pode a Safetica fazer por si:

• Descobrir, classificar e proteger automaticamente ficheiros sensíveis.
• Analisar o seu ambiente para descobrir locais onde existe risco de violação de dados ou de incumprimento.
• Garantir que todos os colaboradores estão a seguir as políticas internas de segurança e a cumprir os requisitos da HIPAA/GDPR.
• Responder a qualquer atividade suspeita da forma que tiver definido previamente (por exemplo, pode mostrar um aviso a um colaborador quando este está a trabalhar com dados sensíveis).
• Monitorizar todos os dispositivos externos ou remotos para detetar potenciais incidentes ou violações de dados e reportar todos os novos dispositivos adicionados à rede.
• Criar automaticamente registos de atividade de dados para auditorias.

Conclusão

Hospitais, clínicas e prestadores de cuidados de saúde são responsáveis por salvaguardar os dados dos pacientes e a informação clínica crítica, pois as consequências de estes caírem nas mãos erradas podem ser desastrosas. O custo médio de uma violação de dados está também a crescer — pelo que prevenir vários tipos de violações e incidentes é mais crítico do que nunca.

Ao formar o pessoal hospitalar e os profissionais de saúde, restringir o acesso aos dados dos pacientes e cifrar os dados, o número de incidentes e os danos que podem causar podem ser visivelmente reduzidos.

A Safetica pode também tornar mais fácil manter os dados dos pacientes em segurança, ao monitorizar os dados de saúde e protegê-los de ameaças. Combinando as melhores práticas de segurança com a Safetica, pode ter a certeza de que cada dado dentro do sistema da sua organização está seguro e protegido.

Fale connosco