Providence CISO adiciona função urgente

Podcast: Reproduza em uma nova janela | Download (Duração: 42:52 – 39,2 MB)

Assine: Podcasts da Apple | Spotify

O CISO da Providence, Mike Ratliff, detalha como o gerenciamento absorvente de emergências corporativas está mudando a abordagem de seu sistema de saúde em relação à preparação para ransomware. Assista abaixo ou no YouTube.

Providência testa um novo modelo operacional para segurança de saúde. Um CEO agora é dono da segurança cibernética e do gerenciamento de emergências corporativas. Mike Ratliff, CISO do sistema de sete estados e 50 hospitais, recentemente absorveu o gerenciamento de emergências empresariais em seu portfólio, expandindo seu escopo pela primeira vez desde que assumiu o cargo de CISO, há 14 meses. De acordo com Ratliff, a mudança é uma resposta deliberada ao risco de ransomware e ao aumento das interrupções na cadeia de abastecimento.

Construindo uma função de resiliência unificada

Após 12 anos em Providence, Ratliff assumiu a função de CISO e rapidamente reestruturou a organização cibernética, afastando-a das configurações tradicionais de SecOps, GRC e Office of the CISO. Agora opera com três pilares que abrangem detecção e resposta a ameaças, engenharia de segurança e o que chama de GRAC. Especificamente, GRAC significa governança, risco, gerenciamento de superfície de ataque e conformidade, com o gerenciamento de superfície de ataque incorporado ao GRC tradicional para alinhar melhor a visibilidade do risco com os dados de vulnerabilidade corporativa.

A decisão de assumir a gestão de emergências ocorreu após discussões com o CIDO, COO e Conselho Executivo. A preparação para ransomware foi o principal motivador. Os profissionais de segurança cibernética agora lidam com crises todos os dias, desde estações de trabalho infectadas até violações de terceiros. Como resultado, expandir a função para uma resposta mais ampla a incidentes pareceu natural para a equipe executiva. Além disso, a estrutura abre dois caminhos de carreira distintos para os membros da equipe cibernética interessados ​​em progredir, com um caminho levando ao Diretor de Risco e o outro ao CISO.

“A combinação de crise e recuperação de desastres desempenha um papel na forma como você constrói um sistema de gerenciamento de emergências”, disse Ratliff. “Somos proprietários de tecnologia e lidamos com crises todos os dias. Podem ser estações de trabalho infectadas ou um fornecedor terceirizado com um incidente ou violação de segurança.”

Além disso, as ferramentas de comunicação em massa usadas em ambientes hospitalares podem alimentar diretamente o fluxo de inteligência sobre ameaças cibernéticas. A equipe também pode sinalizar um furacão ou uma ameaça climática regional no mesmo briefing de uma campanha de estado-nação. Modelos de mensagens consistentes e canais de comunicação mais claros tornaram-se uma prioridade de curto prazo para a função combinada. Vários membros da equipa de segurança cibernética também manifestaram interesse em trabalhar em conjunto com o novo pilar de gestão de emergências.

Indo para o andar clínico

A parte mais operacional do trabalho de sustentabilidade de Ratliff é um programa chamado Projeto Oscar, que envia sua equipe aos hospitais para descobrir em que os médicos realmente confiam durante um dia normal. Numa inspeção recente em dois hospitais em regiões diferentes, a sua equipa reuniu-se com pessoal do trabalho de parto e da UTIN. Especificamente, eles acompanharam toda a gama de tecnologias, desde o check-in do paciente até a alta. Várias suposições sobre o que era mais importante não resistiram à observação direta.

Por exemplo, o equipamento de monitorização fetal que parecia depender da rede continuou muitas vezes a recolher dados localmente e a funcionar com capacidade reduzida. Os sistemas de etiquetagem, por outro lado, tendem a falhar quando as redes caem. Como resultado, a equipe enfrentou questões práticas sobre como os enfermeiros e os médicos entram nos quartos dos pacientes durante o tempo de inatividade. As conversas com os médicos também mostraram quanto tempo o trabalho de parto pode manter os prontuários em papel antes que seja necessária uma equipe temporária.

“O que quero dizer é que, como responsável pela segurança cibernética de um sistema hospitalar, se você tiver dúvidas sobre o que está fazendo ou para quem está fazendo isso, vá para a UTIN”, disse Ratliff. “Olhe para um bebezinho do tamanho de uma caixa de sapatos tamanho 9, conectado a cabos e monitores, uma enfermeira lá 24 horas por dia cuidando daquele bebezinho tentando sobreviver. É por isso que fazemos segurança cibernética para um sistema de saúde.”

O plano é reavaliar os planos de continuidade de serviços em todos os 51 hospitais. A metodologia abrangerá também as clínicas e a rede médica. A recolha de dados padronizada em ambientes clínicos deverá criar uma imagem mais precisa do que falha primeiro durante um cenário de interrupção de 30 dias. Como resultado, futuros exercícios de desktop serão baseados em dados reais de fluxo de trabalho, em vez de suposições de SI.

Desktops, riscos de terceiros e gerenciamento de agentes

Um exercício de mesa na sede da Providence em Renton, Washington, serviu como ponto de viragem para o compromisso do executivo. Mais de 30 executivos seniores compareceram. O Associação Hospitalar Americana e o FBI co-facilitou, com John Riggi da AHA liderando a discussão e representantes locais do FBI fornecendo informações sobre o cenário de ameaças durante a sessão. Duas omissões importantes surgiram. Primeiro, a equipe não tinha uma delegação clara de autoridade para ações como desconectar-se da Internet durante movimentos laterais. Em segundo lugar, os líderes clínicos não receberam os relatórios de inteligência sobre ameaças distribuídos a outros líderes. Ambos os problemas já foram resolvidos. Além disso, um novo Programa de Preparação para a Resiliência Cibernética da AHA e da Comissão Conjunta, lançado em maio, estende princípios semelhantes de envolvimento aos sistemas de saúde parceiros.

O risco de terceiros está caminhando na direção errada. De acordo com Ratliff, os ataques à cadeia de abastecimento em Providence passaram de um ou dois por mês para um ou dois por semana. Como resultado, a disciplina de inventário de ativos e o mapeamento de dependência de fornecedores enfrentam novas pressões em toda a empresa. Para responder rapidamente, sua equipe criou uma ferramenta interna que consulta um conjunto consolidado de dados cibernéticos que Ratliff chama de “pântano”. Ele é executado a cada quatro a oito horas, verificando a exposição a explorações recém-descobertas. Em particular, a ferramenta retorna contagens específicas de dispositivos e localizações físicas dentro da empresa em poucos minutos.

Conversar com a IA traz uma nova camada de risco. Em particular, as arquiteturas baseadas em agentes estão surgindo mais rapidamente do que a maioria das organizações consegue gerenciá-las. De acordo com Ratliff, a indústria não está preparada para o volume de contas não humanas que entram em ambientes empresariais. As contas de serviço fazem parte de programas cibernéticos há muito tempo, com interruptores de interrupção e estoques acumulados ao longo dos anos. No entanto, as contas de agentes privilegiados introduzem uma nova variável que requer uma nova reflexão. A documentação, a propriedade e a capacidade de desabilitar um agente em minutos também devem ser incorporadas desde o início de qualquer implantação.

Leve embora

• Alinhe o gerenciamento cibernético e de emergências sob um único proprietário, onde a estrutura organizacional permitir
• Reorganize o GRC em GRAC para mapear o risco corporativo diretamente em relação aos dados de vulnerabilidade
• Envie pessoal de segurança aos hospitais para acompanhar pessoalmente os fluxos de trabalho clínicos
• Documentar a continuidade dos planos de serviço por unidades clínicas, começando com o trabalho de parto e entrega
• Iniciar exercícios de mesa no nível executivo antes de transferi-los para o nível regional
• Rastreie dependências de terceiros e quartos em um inventário consultável
• Exigir registros de propriedade e kill switches para cada agente de IA no ambiente

As capacidades dos atacantes estão se acelerando e o crescimento dos agentes está adicionando nova exposição. Além disso, Ratliff vê a acção colectiva dentro da comunidade CISO como a única resposta viável.

“Não vamos vencer esta batalha ou a guerra sozinhos. Será necessário um coletivo, quer estejamos construindo algo juntos ou ajudando uns aos outros com modelos ou como nossos processos funcionam.

Artigos relacionados

1. Sriraman, do Mass General Brigham, diz que interrupções de SaaS revelam dependências ocultas da nuvem
2. Novo AHA, programa de comissão conjunta ajuda hospitais a determinar sua preparação para interrupções cibernéticas de mais de 30 dias
3. Thomas, da Sentara Healthcare, diz que ambientes de recuperação isolados são um “barco salva-vidas” para eventos de ransomware
4. As lacunas na segurança cibernética requerem atenção, conclui a série de exercícios Health-ISAC 2025.
5. Ataques de ransomware na área de saúde atingem valores recordes no final de 2025, constata HISAC