Muitas violações de dados de saúde começam com credenciais roubadas pertencentes a um não funcionário. Novo relatório by Health-ISAC expõe como os sistemas de saúde podem preencher esta lacuna tratando a identidade de terceiros como um ciclo de vida gerenciado.
A exploração de fornecedores continua a crescer. Os dados do SecurityScorecard citados no relatório vincularam 35,5% das violações ao acesso de terceiros, sendo a saúde responsável por 24,2% desses ataques.
O relatório atribui o problema a uma realidade estrutural. Os sistemas de saúde dependem de uma ampla rede de parceiros para gerir plataformas de imagiologia, processar reclamações, suportar dispositivos conectados e gerir o ciclo de receitas. Toda conexão requer acesso, e os invasores perceberam. Grupos como o Scattered Spider agora têm como alvo específico parceiros menores, já que essas empresas geralmente oferecem um nível de segurança menor em comparação com os sistemas que atendem. O comprometimento de credenciais continua sendo o ponto de entrada mais comum, sendo responsável por 50% a 80% das violações, dependendo do estudo.
A gestão vem em primeiro lugar
Uma governação forte constitui a base para qualquer outro controlo, afirma o relatório. Sem ele, as correções individuais ficam desalinhadas com o tempo. A orientação organiza as suas recomendações em torno de quatro princípios de gestão que se aplicam aos fornecedores e, cada vez mais, aos agentes de IA que estão agora envolvidos na manutenção de rotina.
O menor privilégio está no centro. Um técnico que atualiza um sistema EHR não precisa de plataformas de cobrança, e-mail ou aplicativos não relacionados. As funções devem ser rigorosamente cobertas pelo trabalho atual. O controle de acesso baseado em função amplia esse princípio com conjuntos de permissões projetados para cada terceiro. Revisões regulares confirmam que essas permissões permanecem apropriadas, enquanto o registro contínuo sinaliza qualquer tentativa de acessar sistemas fora dos limites acordados.
O relatório também pressionou os sistemas de saúde a incluir avaliações de segurança nas aquisições e a repeti-las anualmente. Antes de assinar, as organizações devem confirmar se o fornecedor oferece suporte à autenticação multifator, revisar as certificações SOC 2, HITRUST ou ISO 27001, quando apropriado, e escrever os termos de notificação de violação no contrato. Prova de identidade de alta segurança também é importante. O relatório observa um aumento no número de intervenientes estrangeiros que utilizam identidades roubadas ou falsas para conseguir empregos como vendedores. A verificação de identidade contratual tornou-se uma defesa prática.
A Federação como o controle mais forte
Uma identidade federada combinada com autenticação resistente a phishing é a melhor abordagem que uma organização de saúde pode adotar, afirma o relatório. A Federação permite que um parceiro use as credenciais nas quais já confia para seus próprios sistemas, portanto, não há uma senha separada para armazenar no sistema de saúde ou para o técnico esquecer. Protocolos padrão como SAML ou OIDC carregam a asserção depois que as funções são concedidas.
O benefício de segurança é claro, uma vez que os ataques de phishing e de fadiga de MFA atingiram duramente os prestadores de serviços terceirizados nos últimos anos. Métodos resistentes ao phishing, como senhas vinculadas a dispositivos ou sincronizadas, fazem com que esses ataques falhem diretamente. Algumas organizações não estão preparadas para reunir todos os parceiros, por isso o relatório aponta para medidas provisórias, como a correspondência de números em aplicações de autenticação, com base nas orientações de CISA. A autenticação do agente adiciona uma novidade, já que os padrões de verificação do agente de IA permanecem imaturos. Essa lacuna torna menos privilégios, funções definidas e registro mais importantes onde quer que os agentes trabalhem.
Um caso de uso mostra o modelo na prática. Um sistema de saúde que antes criava contas locais para cada técnico em um fornecedor de imagens mudou para acesso federado, permitindo que os técnicos se autenticassem usando as credenciais de login de seus próprios empregadores. O sistema de saúde verifica a identidade através de uma conexão confiável, concede acesso apenas aos sistemas necessários para uma função e registra cada sessão. O Provedor continua responsável por verificar seus próprios funcionários e desativar contas quando os funcionários saem.
Construindo muros em torno do acesso do fornecedor
A segmentação da rede oferece aos sistemas de saúde uma camada de segurança quando o controle de identidade por si só é insuficiente. O relatório descreve um provedor regional que historicamente fornece aos provedores de ciclo de receita amplo acesso remoto por VPN. Um certificado comprometido pode então expor grandes partes da rede interna. O fornecedor redesenhou o ambiente em torno de uma área de tráfego restrita e dedicada.
No novo modelo, os funcionários do provedor estão conectados através de um portal seguro. Ele apenas os direciona para um segmento controlado onde podem acessar o aplicativo de faturamento e nada mais. Os sistemas clínicos, as plataformas EHR, os dispositivos médicos e os ambientes de investigação permanecem completamente isolados. Quando a equipe de segurança do fornecedor descobriu mais tarde que a conta do fornecedor estava procurando outros sistemas, a segmentação persistiu. A atividade permaneceu limitada, os alarmes soaram e o atendimento ao paciente continuou enquanto a equipe investigava.
A segmentação também fortalece a posição regulatória. Acesso aos cartões liberados de acordo com os requisitos mínimos. Os auditores podem ver uma linha clara entre as redes de prestadores e clínicas, e a resposta a incidentes é simplificada porque as linhas são bem definidas.
Leve embora
- Trate a identidade de terceiros como um ciclo de vida completo, desde a contratação até a rescisão.
- Defina o escopo de cada fornecedor e agente de IA com privilégios mínimos, com funções criadas para o trabalho contratado.
- Torne a identidade federada com autenticação resistente a phishing o alvo padrão para acesso peer.
- Use mapeamento numérico e outras proteções temporárias de MFA quando a federação completa ainda não for viável.
- Avalie a identidade do fornecedor e a maturidade da segurança na entrega e recertifique anualmente com as condições aplicáveis.
- Segmente as conexões dos provedores em áreas restritas para que as credenciais comprometidas não possam chegar aos sistemas clínicos.
O ponto comum em todos os três casos de uso é que os controles funcionam melhor quando se reforçam mutuamente. Tal como o relatório conclui, a complexidade da TI na área da saúde torna inevitáveis as parcerias com terceiros e os controlos de identidade adequados impedem que estas parcerias se tornem o ponto de entrada mais utilizado na indústria.
