Por que a segurança cibernética da saúde é tão subfinanciada?

Jun 28, 2023

Tony Fyler

@mais__híbrido

[email protected]

O dinheiro é crucial para tornar os cuidados de saúde seguros novamente.

• A importância da segurança cibernética na saúde é muitas vezes subestimada ou mal compreendida. • Para obter financiamento adequado, é importante enquadrar as conversas sobre segurança cibernética na saúde em termos de risco clínico. • As organizações de saúde têm superfícies de segurança cibernética incrivelmente planas.

Os serviços de saúde estão cada vez mais vulneráveis ​​a ataques cibernéticos. Novos atores, vetores de ataque novos – ou pelo menos recentemente ajustados – e novo foco em vulnerabilidades sempre presentes estão quebrando qualquer resistência ética por parte de atores mal-intencionados em atacar locais destinados a ser refúgios e centros de cura para pessoas que não estão em condições de agir. seu melhor físico.

Se existir um Inferno, naturalmente, os malfeitores que atacam instalações de saúde com vulnerabilidades de segurança cibernética irão, sem dúvida, assar lá por toda a eternidade. Mas para as organizações que não se sentem confortáveis ​​com a ideia de punição retardada e metafísica, é importante parar as maquinações destes desperdícios de pele aqui e agora.

Voltámos a contactar Deryck Mitchelson, CISO de campo da Check Point Research, uma organização especializada em segurança cibernética com muitos riscos quando se trata de impedir tais ataques cibernéticos em infraestruturas nacionais críticas.

Conversamos com Deryck especificamente porque, além de ser um especialista em segurança cibernética, ele tem um histórico de trabalho para o NHS Scotland do Reino Unido e, portanto, possui uma especialização ampla e específica na área de segurança cibernética em saúde.

Perguntamos a ele por que as pessoas ainda, em 2023, tinham como alvo as organizações de saúde.

THQ:

Já falamos antes sobre por que o NHS do Reino Unido é especialmente vulnerável a ataques cibernéticos, mas agora isso também está se tornando um problema maior nos EUA. Onde achamos que se situa a cibersegurança nos cuidados de saúde nas escalas de urgência e vulnerabilidade em termos, por exemplo, de investimento governamental ou organizacional? Na ordem das prioridades de despesas das autoridades, de onde vem a proteção dessas infraestruturas críticas contra ataques cibernéticos?

Mestre:

Se você perguntar a alguém, eles dirão que é uma das três principais prioridades. Absolutamente. Qualquer pessoa sênior no governo, qualquer pessoa sênior na área de saúde dirá que essa é uma das três principais prioridades.

Mas é uma prioridade de caixa de seleção, não uma prioridade real. A razão pela qual dizem que é uma prioridade é porque fica no registro de risco. Isso significa que eles podem conversar com seus conselhos e dizer: “Sim, alguém considera isso uma prioridade”. No entanto, se alguém disser que precisamos de um aumento substancial no investimento para um programa plurianual de segurança cibernética na saúde, a fim de fazer isto ou aquilo, não encontrará o dinheiro.

Isso significa que não é uma prioridade. Obviamente, você sempre encontra dinheiro para coisas que são realmente prioritárias.

THQ:

É mais ou menos assim que você define prioridades reais, não é? Coisas nas quais devemos e gastamos dinheiro real?

Mestre:

Exatamente. A segurança cibernética na saúde é uma das poucas coisas que está no topo do registro de riscos como uma prioridade que não é financiada adequadamente.

Então, sim – se não está a ser devidamente financiado, se não está a obter o nível de investimento de que necessita, como pode realmente ter esse nível de prioridade? Porque outras coisas que estão ao seu redor, como a substituição de equipamentos que estão no fim de sua vida útil, geram dinheiro para investimento.

Quando pretendem colmatar qualquer falta de pessoal, ou mudar os horários, ou fazer quaisquer programas de investimento de capital, essas coisas geram investimento.

É difícil reclamar – eu sei que essas coisas fornecem cuidados de saúde de primeira linha. Mas quando eu desempenhava a função de CIO, o digital e a segurança cibernética eram uma grande parte do fornecimento de atendimento de linha de frente. Não seria possível prestar cuidados de primeira linha sem os serviços digitais e cibernéticos que permitiram às pessoas fazê-lo. Você não consegue um sem o outro.