Complicado versus complexo: por que a saúde moderna exige uma abordagem única para a segurança cibernética

O setor de saúde está passando por um período de transformação sem precedentes. A expansão de soluções virtuais de saúde, aplicativos baseados em nuvem e ferramentas habilitadas para IA usadas em fluxos de trabalho clínicos só aumentará à medida que programas de financiamento federal, como o Programa de Transformação da Saúde Rural, incentivarem a transformação digital. Esta evolução na prestação de cuidados é há muito esperada e muito necessária para que os cuidados de saúde se tornem mais escaláveis ​​e ajudem a reduzir os custos operacionais. No entanto, a rápida adoção da tecnologia pode apresentar um paradoxo potencialmente perigoso: à medida que as organizações se modernizam para apoiar a eficiência operacional e capacitar os médicos para melhorar os resultados dos pacientes, estão simultaneamente a expandir a sua superfície de ataque.

Para abordar estes riscos e vulnerabilidades crescentes, foi proposta uma nova regra de segurança HIPAA para impulsionar novos requisitos, mecanismos de aplicação e responsabilização na indústria. Para que estes novos requisitos sejam adotados com sucesso, é imperativo que compreendamos porque é que o setor da saúde é único em relação a todos os outros setores e é inerentemente mais inseguro. A resposta não é a complacência ou a falta de financiamento (embora estes possam certamente ser factores contribuintes), mas antes a resposta reside na complexidade inata da prestação de cuidados aos pacientes.

A lacuna de insegurança na saúde: por que é diferente

Por que o setor de saúde é o setor mais visado pelos ataques cibernéticos e por que o setor também lidera em custo por violação? A causa tem a ver com a própria natureza da prestação de cuidados de saúde.

1. Disponibilidade de alto risco: Nas finanças ou no varejo, as ramificações de uma violação são financeiras ou de reputação. Nos cuidados de saúde, uma violação que torne os sistemas indisponíveis constitui uma crise operacional crítica – potencialmente atrasando o acesso aos dados dos pacientes e dificultando a prestação de cuidados.
2. Valor dos dados: Informações de saúde protegidas (PHI) são uma mina de ouro para os cibercriminosos. Inclui dados financeiros, informações de saúde, números de previdência social, informações de seguros, histórico acquainted e muito mais. Ele pode ser usado de forma fraudulenta durante anos antes da detecção e não pode ser facilmente cancelado ou alterado como um número de cartão de crédito.
3. O ecossistema interconectado: Os cuidados de saúde não ocorrem num silo. O paciente médio interage com uma rede de hospitais, grupos de médicos, seguradoras, farmácias e 3^terceiro vendedores de festas. Este nível de integração cria uma enorme superfície de ataque onde uma vulnerabilidade na rede pode facilmente se propagar por todo o setor.

A complexidade é inimiga da segurança: como os processos complexos são diferentes dos complicados

Sistemas complicados: Qualquer pessoa que tenha passado algum tempo aprendendo a mentalidade de produção Lean Six Sigma entende que seu objetivo é aumentar o desempenho reduzindo custos, eliminando desperdícios e reduzindo a variação do processo. Nos 20^o século, essa filosofia revolucionou a manufatura. Baseia-se em grande parte na ideia de que qualquer processo, por mais “complicado”, se for repetível, pode ser gerido, medido e melhorado. Construímos foguetes dessa maneira. É também desta forma que protegemos o nosso sistema financeiro – compreendendo a natureza linear das possíveis transações e introduzindo controlos.

Sistemas Complexos: A prestação de cuidados de saúde NÃO funciona de forma linear e previsível. Os cuidados de saúde são frequentemente prestados num ambiente urgente, o percurso de cuidados de cada paciente pode ser individualizado (mesmo que a sua doença e sintomas pareçam semelhantes), as interações com a sua equipa de cuidados podem ser mais advert hoc, dependendo da disponibilidade. Na sua forma mais básica, os cuidados de saúde não são lineares ou previsíveis – são complexos. Independentemente do estado da doença, da especialidade ou da organização, a prestação de cuidados de saúde é complexa – difícil de prever, não linear e pode parecer (superficialmente) desestruturada ou advert hoc.

A investigação determinou que esta complexidade é a principal causa das violações da segurança cibernética. Quando as trocas de informações são advert hoc e não lineares, é quase impossível analisar, testar e controlar a postura de segurança de uma organização. Os sistemas de saúde mais complexos — com a maior variedade de encaminhamentos de serviços de saúde de um hospital para outro — tinham 29% mais probabilidade de serem violados do que a média. ¹

Um labirinto regulatório: preparando-se para a regra de segurança HIPAA de amanhã

A regra de segurança da HIPAA está atualmente a passar pela sua transformação mais significativa em mais de duas décadas, passando de uma mentalidade flexível de “lista de verificação” para um padrão rigoroso de “arquitetura de segurança cibernética”. Em março de 2026, o Departamento de Saúde e Serviços Humanos (HHS) está finalizando uma grande revisão do Regra de segurança HIPAA isso efetivamente elimina a distinção de longa information entre salvaguardas “obrigatórias” e “endereçáveis”. Embora estes novos padrões sejam expansivos e possam parecer esmagadores, uma abordagem sistemática à Zero Belief que leve em consideração a complexidade inerente ao setor da saúde pode fornecer um roteiro para melhorar a maturidade da segurança.²

Abordagem da Cisco

Compreendemos o tamanho do elefante quando se trata de segurança cibernética na saúde, por isso escolhemos uma abordagem passo a passo. Quando olhamos para uma estratégia de Confiança Zero, tendemos a dividi-la em três áreas de foco: Força de Trabalho, Carga de Trabalho e Native de Trabalho.

Essa abordagem de Zero Belief nos permite priorizar e fazer progressos incrementais nos controles e políticas de segurança necessários para escalar. Cada área de foco tem prioridades específicas que são críticas para uma estratégia Zero Belief totalmente desenvolvida:

• Força de trabalho: Na área da saúde, estamos pensando em conectividade remota segura (tanto para prestadores de serviços, quanto para funcionários e 3^terceiro partes), autenticação multifator (MFA), controles de acesso baseados em funções, conectividade dinâmica segura (SASE), monitoramento do uso do modelo de IA, acesso e informações transmitidas.
• Carga de trabalho: Ao combinar fortes controles da força de trabalho com microssegmentação e monitoramento de aplicativos, bem como uma estratégia abrangente de governança de IA que inclui segurança e proteções DevOPs, as joias da coroa podem ser melhor defendidas e, no caso de uma violação, o raio de explosão será bastante reduzido.
• Native de trabalho: Um dos maiores desafios na área da saúde é a visibilidade e o contexto – isto é cada vez mais desafiador quando se trata de dispositivos médicos. Para definir adequadamente os controlos de acesso à rede (NAC), bem como as políticas de segmentação, é basic ter as tecnologias certas e a estratégia de aplicação definidas e implementadas.

A Cisco possui um portfólio abrangente de soluções de segurança para ajudar a atender aos novos padrões de regras de segurança HIPAA. Também oferecemos serviços de consultoria e avaliações para ajudá-lo a avaliar sua postura de segurança e apoiar seus esforços para cumprir suas obrigações de conformidade.

Como podemos ajudar?

A Prática de Saúde do Cliente (CX) da Cisco é composta por indivíduos com experiência em diversas áreas do setor de saúde. Compreendemos os desafios únicos que a indústria enfrenta e trabalhamos para ajudar a alinhar as tecnologias aos resultados específicos da saúde. Se você estiver interessado em discutir a preparação para as regras de segurança da HIPAA, a maturidade geral da segurança cibernética ou nossos outros serviços de consultoria, entre em contato diretamente em: cxhealthcarebd@cisco.com.

1. Tanriverdi, Hüseyin, et al. “Domando a complexidade na segurança cibernética de sistemas multi-hospitalares: o papel das plataformas de análise de dados em toda a empresa.” MIS trimestralmentevol. 48, não. 1, 2024, https://doi.org/10.25300/MISQ/2024/17752.
2. Modernizando a segurança cibernética para a saúde. Cisco, 2026.