Dispositivos conectados são uma fonte crescente de risco, já que muitos são deixados sem patches de correção e sem gerenciamento, afirma estudo
Os dispositivos médicos representam um grande risco para as organizações de assistência médica e têm o dobro da probabilidade de os dispositivos de rede padrão serem invadidos via Bluekeep, vulnerabilidade de software que possibilita atacar o sistema do Remote Desktop Protocol (RDP), protocolo da Microsoft que permite que usuários do Windows assumam remotamente o controle de uma área de trabalho do computador.
O relatório, da empresa de segurança cibernética CyberMDX, intitulado “Visão de Segurança em Saúde 2020”, revela que um terço (30%) das organizações de assistência médica dos Estados Unidos sofreu um ataque cibernético nos últimos 12 meses.
Os dispositivos conectados são uma fonte crescente de risco, já que muitos são deixados sem patches de correção e sem gerenciamento, afirma o relatório. Por exemplo, 55% dos dispositivos de imagem executam versões do Windows sem patches ou desatualizadas, o que pode deixá-los vulneráveis ao Bluekeep.
Essa é uma falha do Remote Code Execution (RCE) no Remote Desktop Services (RDS) que pode permitir que um invasor assuma o controle completo de uma máquina para espalhar malware ou iniciar ataques de roubo de informações. Ela afeta computadores com Windows XP atualizados para Windows 7 e Server 2003 atualizados para Server 2008 R2 e pode se espalhar sem a interação do usuário de maneira semelhante à exploração EternalBlue que permitiu ao WannaCry causar tanto dano ao serviço nacional de saúde.
A CyberMDX descobriu uma série de problemas de segurança entre as organizações de assistência médica, alegando que 11% não corrigem dispositivos e que um hospital típico terá corrigido apenas 40% ou menos dispositivos vulneráveis quatro meses após a divulgação de um bug.
Há mais: um quarto (25%) não possui um inventário completo de dispositivos conectados, enquanto outros 13% admitem que os deles não são confiáveis. Um terço (34%) diz que não identifica, perfila ou monitora continuamente dispositivos médicos e outros 21% fazem isso manualmente, o que não é sustentável, dada a explosão nesses pontos finais.
Talvez não seja surpresa que os hospitais de médio porte tenham perdido o controle de 30% de seus dispositivos, de acordo com o relatório. Segundo o estudo, os desafios se estendem ao treinamento e conscientização da equipe sobre segurança cibernética: 23% dos entrevistados disseram não ter esse programa em prática e 17% afirmaram ter, mas ainda não foi lançado. Mais de um terço (36%) ainda não possui uma política formal de BYOD (sigla do inglês bring your own device, ou traga o seu próprio dispositivo).
De acordo com o mais recente relatório de custo de violação de dados da IBM, as organizações de assistência média enfrentaram o custo mais alto de uma violação — quase US$ 6,5 milhões em média — pelo nono ano consecutivo em 2019. A CyberMDX também alegou que pelo menos dez hospitais tiveram que recusar pacientes por último ano devido a ataques de ransomware.
