A falta de um inventário técnico detalhado ainda é um problema

Christopher Plummer passou uma década como contratado de segurança cibernética da Marinha dos EUA, apoiando o programa de manutenção de submarinos. Ele agora trabalha como arquiteto sênior de segurança cibernética na Dartmouth Health. A mudança foi chocante. “Garantir segredos nucleares era mais fácil do que garantir cuidados de saúde”, disse Plummer. “E isso só é verdade porque o governo diz o que fazer.”

No mundo da defesa, mandatos federais rigorosos ditam todos os aspectos das operações de segurança. A saúde não oferece essa clareza. A HIPAA rege a proteção das informações de saúde dos pacientes, mas um vasto território de sistemas, dispositivos e operações está fora deste guarda-chuva regulatório, protegido a critério e orçamento de cada organização. O resultado: 6.000 hospitais em todo o país a operar em vários níveis de maturidade em segurança cibernética, alguns sem sequer um responsável de segurança a tempo inteiro. Plummer começou sua carreira na área de saúde como o único FTE cibernético em um hospital menor, por isso ele fala por experiência própria ao descrever o isolamento que os profissionais de segurança enfrentam em organizações com poucos recursos.

Podcast: Reproduza em uma nova janela | Download (Duração: 54:19 — 37,3 MB)

Assine: Podcasts da Apple | Spotify

A lacuna de vulnerabilidade

A recente vulnerabilidade React2Shell reforçou uma verdade inconveniente para as equipes de segurança de saúde: encontrar componentes comprometidos enterrados em ambientes complexos continua sendo um processo manual e meticuloso. Plummer comparou isso à crise do Log4J, observando que sua equipe encontrou outro sistema vulnerável ao Log4J meses depois que essa vulnerabilidade chegou às manchetes. O sistema não representa um risco explorável devido à sua posição profunda na rede, mas a sua persistência ilustra como a detecção ao nível do componente permanece persistente. As equipes de segurança mais capacitadas e bem equipadas podem detectar esses problemas de forma eficaz; um hospital rural sem pessoal de segurança dedicado pode nunca saber que foi exposto.

O problema está diretamente relacionado à promessa bloqueada do SBOM. O conceito de especificação de software gerou anos de discussão na indústria em torno de padrões e mecanismos de entrega, mas a adoção operacional mal se materializou. As ferramentas de segurança difundidas em programas maduros não fizeram muito para abordar a identificação em nível de versão de componentes individuais. “A maioria das equipes de segurança não sabe qual é o objetivo final da implantação do SBOM porque ainda não conseguimos descobrir a entrega”, disse Plummer.

Para dispositivos médicos, ele propôs uma abordagem alternativa: um padrão para toda a indústria que permitiria aos dispositivos inventariarem seus componentes e reportarem essas informações a uma estação de escuta central. Os sistemas de saúde evitam realizar verificações de segurança invasivas em ventiladores, máquinas de raios X e outros equipamentos ligados aos pacientes. Um dispositivo leve executado em uma cadência mensal pode fornecer dados de componentes em nível de versão sem comprometer a segurança do dispositivo. O conceito reflete os padrões de dados de saúde existentes, como HL7 e FHIR, que permitem a interoperabilidade através de um acordo partilhado. Coordenar tal padrão em um enorme ecossistema de fabricantes de dispositivos seria extremamente difícil, mas a alternativa atual de extrair manualmente SBOMs de sites de fornecedores após cada nova divulgação de vulnerabilidade é simplesmente insustentável.

Consolidação, contexto e o problema do aviso

O cenário dos fornecedores de segurança de saúde está passando por uma consolidação agressiva à medida que as empresas correm para se tornarem plataformas completas. Plummer vê valor nesta tendência para organizações menores com recursos limitados que se beneficiam de ferramentas unificadas. Para programas mais maduros, a dinâmica introduz riscos. Os fornecedores que buscam integração entre diversas categorias de produtos geralmente reduzem sua força inicial. “Embora eu aprecie esse esforço para ser uma solução de quatro ou cinco ferramentas, apenas não esqueça o que você fez bem que o colocou no mapa”, disse Plummer. “Apenas acerte isso.”

A melhor abordagem que dominou as decisões de compra durante anos criou um ambiente operacional fragmentado onde os sinais chegam de múltiplas plataformas desconexas, as ações de resposta exigem a utilização de múltiplas alavancas e a telemetria carece de consistência. Plummer tornou-se mais aberto à consolidação da plataforma, especialmente à medida que as APIs amadureceram o suficiente para preencher lacunas de integração entre as ferramentas. A chave é garantir que os fornecedores que expandem os seus portfólios de produtos mantenham a qualidade das capacidades que lhes garantiram uma posição no mercado. A integração mal feita, alertou ele, é tão prejudicial quanto útil.

A fadiga de advertência agrava o desafio. Cada ferramenta em um programa de segurança maduro gera uma cascata de notificações, e equipes com falta de pessoal lutam para separar as ameaças reais do ruído. Plummer enfatizou que você começa do topo: concentre-se primeiro nos três sinais com maior precisão e maior impacto e depois vá descendo. Contextualizar os dados de vulnerabilidade é a principal dificuldade deste processo; a mera presença de um componente em um ambiente não é causa suficiente para alarme sem a compreensão das condições específicas exigidas para operação. A Dartmouth Health conduz uma análise de impacto nos negócios para classificar cada função organizacional por criticidade e, em seguida, mapear as prioridades de segurança de acordo. A vulnerabilidade de um sistema que suporta operações clínicas críticas requer atenção imediata; a mesma vulnerabilidade em um sistema isolado e de baixo impacto, não. Os cálculos de cada hospital serão diferentes, por isso Plummer está avaliando o exercício como uma ferramenta de tomada de decisão que sua equipe seguirá.

IA em ambos os lados da batalha

No lado ofensivo da segurança cibernética, a IA já teve um impacto mensurável. A qualidade das cargas úteis de phishing melhorou drasticamente nos últimos dois a três anos, com menos erros gramaticais, formatação mais persuasiva e engenharia social cada vez mais sofisticada. Plummer apontou para sua própria descoberta de uma vulnerabilidade no Gmail em junho de 2023, quando um invasor aproveitou uma lacuna na implementação do padrão de autenticação de e-mail BIMI do Google para enviar mensagens de phishing com marcas legítimas de verificação de marca. O episódio gerou cobertura mediática mundial e provocou mudanças na infraestrutura da Google, Microsoft e outras grandes empresas tecnológicas, destacando como os atacantes estão constantemente a investigar os sistemas de autenticação em busca de pontos fracos.

Do lado defensivo, a contribuição da IA ​​permanece mais próxima do neutro. Plummer, que está entre os 3% principais usuários do ChatGPT em todo o mundo, se descreve como um ávido aprendiz da tecnologia. Ele viu integrações bem-sucedidas e fracassadas de IA em produtos de segurança. As implantações bem-sucedidas ainda exigem supervisão humana significativa; A IA adota recomendações cautelosas e superprotetoras e luta com as nuances organizacionais necessárias para rejeitar com segurança os falsos positivos. Os problemas profundos de análise de dados comportamentais que as equipes de segurança mais desejam que a IA resolva – detecção de beacons para destinos aparentemente legítimos, identificação de processos importantes que exfiltram dados por meio de telemetria de rede – permanecem fora de alcance por enquanto. A lacuna entre as expectativas e a realidade vai muito além dos cuidados de saúde, mas os hospitais sentem-no profundamente, dados os riscos.

Leve embora

• Junte-se a um ISAC de saúde ou a uma organização regional de compartilhamento de informações para obter acesso à inteligência sobre ameaças, colaboração entre pares e potencial poder de compra de grupo para soluções de segurança.
• Execute uma análise de impacto nos negócios para classificar as funções organizacionais por criticidade e, em seguida, use os resultados para priorizar a triagem de vulnerabilidades, a modelagem de ameaças e os casos de uso de segurança.
• Avalie cuidadosamente a consolidação de fornecedores: a plataforma beneficia equipes com poucos recursos, mas os fornecedores que se expandem em diversas categorias devem manter a excelência em suas capacidades principais.
• Impulsionar padrões da indústria em torno do autorrelato de componentes de dispositivos médicos para preencher a lacuna operacional do SBOM.
• Priorize a contextualização das vulnerabilidades em vez de catalogá-las; a presença de um componente em seu ambiente significa pouco sem a compreensão das condições necessárias para operação.
• Aborde as integrações de segurança de IA com expectativas realistas. As implementações atuais exigem supervisão humana significativa e funcionam melhor como ferramentas focadas que resolvem problemas específicos e bem definidos.

A lacuna de expectativas, como diz Plummer, merece uma metáfora que os líderes da segurança dos cuidados de saúde reconheçam. “Não precisamos que a IA seja toda a caixa de ferramentas”, disse ele. “Só precisamos que seja uma ferramenta realmente boa que uma pessoa realmente inteligente possa usar e fazer um trabalho realmente sério.”