A recuperação é a função mais fraca nos programas de segurança cibernética da saúde. Apenas 22% dos CISOs inquiridos classificaram-se nos dois principais níveis de maturidade para operações de recuperação de desastres. Esta descoberta vem do benchmark 2026 CISO relatório de Saúde-ISACque entrevistou 76 executivos de segurança. Os entrevistados abrangeram fornecedores, produtos farmacêuticos, dispositivos médicos, pagadores e TI de saúde. Na verdade, mais de um quarto colocou-se no nível 1 ou 2 do Estrutura de segurança cibernética do NIST Função de recuperação.
Todas as outras funções do CSF obtiveram pontuação mais alta, com Detect liderando com 60% relatando maturidade de nível 4 ou 5, seguido por Protect com 55%, Identifique com 48% e Responder com 44%. O Health-ISAC também observou que mesmo as grandes organizações têm um nível médio de recuperação de 3. Da mesma forma, apenas 6 a 10 por cento dos programas atingem o nível 5 em cada função.
Como o grupo abrange múltiplos segmentos, os números descrevem o setor de forma ampla. A segmentação por tamanho utiliza o número de funcionários e grupos de receita, não o número de leitos.
A maturidade da detecção sem a maturidade da recuperação deixa as organizações incapazes de ver o ataque com clareza, ao mesmo tempo que não têm certeza da rapidez com que podem recuperar os sistemas clínicos. O Health-ISAC descreve esta distância como risco clínico. Assim, ele recomendou elevar os investimentos na continuidade dos negócios e na recuperação de desastres a uma prioridade no nível do conselho.
Os CISOs parecem reconhecer a exposição. Em particular, a continuidade dos negócios e a recuperação de desastres (BCDR) ficaram em segundo lugar entre as iniciativas prioritárias para os próximos 12 a 24 meses, citadas por 74 por cento. O gerenciamento de identidade e acesso lidera com 78%, enquanto a segurança na nuvem segue com 63%. O Health-ISAC atribui a classificação BCDR à relação entre a permanência e a incapacidade do paciente. Esse relacionamento fez com que a função deixasse de cuidar da TI para cuidar da segurança clínica.
O investimento em treinamento acompanha os riscos mais comumente identificados
O relatório identificou uma segunda disparidade na forma como os dólares de segurança são atribuídos. O phishing e a engenharia social foram classificados como o maior risco de segurança cibernética, escolhidos por 81% entre os três primeiros. O risco da cadeia de suprimentos e de terceiros seguiu com 64%, enquanto ransomware e malware atingiram 60%. Contudo, os custos de hardware, formação e outros custos representam, em conjunto, cerca de 4% dos orçamentos.
Os custos trabalhistas exigem 40% dos gastos com segurança, enquanto o software baseado em nuvem representa 25%, a terceirização 20% e o software local 11%. O Health-ISAC descreveu a alocação de formação como a discrepância estratégica mais flagrante nos dados. Especificamente, os investimentos na sensibilização para a segurança funcionam como mitigação direta do risco quando a engenharia social é o principal vetor de penetração.
As próprias condições orçamentais são estáveis. Além disso, 89% dos CISOs esperam orçamentos estáveis ou crescentes em 2026, com 45% esperando aumentos. Quando ocorrem aumentos, eles se concentram em ferramentas de segurança em nuvem, detecção e resposta gerenciadas e gerenciamento de riscos de terceiros. A Health-ISAC também informou que novos dólares estão sendo direcionados para plataformas consolidadas e racionalização de fornecedores, em vez de compras incrementais de instrumentos.
Ainda assim, as restrições orçamentais dominam os desafios da força de trabalho, com metade dos inquiridos a citar o orçamento como um grande obstáculo, o dobro dos 25 por cento que citaram dificuldades de contratação. A incompatibilidade de competências é responsável por 12% e a retenção por 5%. Portanto, o Health-ISAC caracteriza o modelo tanto como uma questão de priorização quanto financeira.
A propriedade da segurança do dispositivo impede recursos
Uma terceira lacuna separa aquilo pelo que os CISOs são responsáveis daquilo em que podem trabalhar. Quase dois terços possuem IoT e segurança de dispositivos médicos. No entanto, esta função recebe 4% dos equivalentes de segurança em tempo integral, a alocação mais baixa medida.
As operações de segurança e a resposta a incidentes ocuparam a maior parcela, com 22 por cento, enquanto governança, risco e conformidade seguiram com 20 por cento e gerenciamento de identidade e acesso, com 19 por cento. A engenharia e arquitetura de segurança reivindicaram 16%, a segurança na nuvem 10% e a segurança de aplicativos 9%. A Health-ISAC identificou o espaço entre a propriedade da segurança do dispositivo e do pessoal como a fonte provável da próxima violação significativa. A escassez reflecte as escassas competências tecnológicas operacionais.
O tamanho da equipe determina o que cada uma dessas funções pode alcançar. Por exemplo, dois quintos das organizações executam programas de segurança com 10 ZPEs ou menos, outros 30% operam de 11 a 30 e apenas 15% têm equipes de campo com 100 ou mais. A maioria dos entrevistados espera um número igual de funcionários em 2026.
Como resultado, as pequenas equipes dependem fortemente de ajuda externa, com SOC e serviços gerenciados de detecção e resposta usados por 82% das organizações e testes de penetração por 79%. Para organizações com menos de 30 FTE, informou o Health-ISAC, a terceirização de MDR e SOC serve como o principal mecanismo para obter cobertura 24 horas por dia.
As linhas de subordinação apoiam a segurança em TI
A maioria dos CISOs de saúde permanece organizacionalmente dependente da TI. Especificamente, 64% reportam-se ao CIO ou CTO, enquanto 8% reportam ao CEO e 3% ao conselho. Outros 19% reportam-se a outros lugares, inclusive ao COO ou ao departamento jurídico.
Health-ISAC apontou para o atrito estrutural que isso cria quando as prioridades do CISO e as prioridades de TI divergem. Entretanto, apenas 11% mantêm contacto direto com o CEO ou o conselho de administração. Num setor onde as violações de segurança têm consequências para a segurança dos pacientes, a organização descreveu esta diferença de altura como estrategicamente significativa.
O envolvimento do conselho seguiu um padrão semelhante, com menos de metade reportando ao conselho trimestralmente ou com mais frequência. Outras medidas de governança obtiveram pontuações mais altas, com estratégias de segurança documentadas alinhadas com os objetivos de negócios atingindo 78%, seguros cibernéticos 82% e planos documentados de resposta a incidentes 91%. É claro que o Health-ISAC observou que a frequência dos exercícios de mesa varia amplamente, mesmo quando existem planos de resposta.
A IA molda a imagem da ameaça que permeia tudo. Os ataques habilitados por IA substituíram o ransomware como a principal preocupação emergente, citada por 80 por cento, enquanto as táticas de extorsão dupla e tripla atraíram 58 por cento e a nuvem ou SaaS comprometeram 47 por cento. Enquanto isso, 40% classificam a IA defensiva como crítica, e os entrevistados acreditam que a IA praticamente dobrou a taxa de surgimento de novas variantes de ataque.
Leve embora
- Compare sua pontuação de recuperação do LCR do NIST com os 22% relatados no nível 4 ou 5 e trate qualquer pontuação de nível 1 ou 2 como uma descoberta de risco clínico.
- Compare os gastos com conscientização de segurança com a classificação de phishing em seu próprio registro de risco antes do próximo ciclo orçamentário.
- Compare quem é o proprietário da IoT e da segurança de dispositivos médicos com quantos FTEs realmente a suportam.
- Se sua equipe opera abaixo de 30 FTE, trate a terceirização de MDR e SOC como uma arquitetura de cobertura primária.
- Acompanhe a frequência dos briefings do conselho como uma métrica de gestão, já que menos da metade dos CISOs pesquisados fazem briefings trimestrais.
A Health-ISAC concluiu que o sector está a investir e a amadurecer, citando a adopção quase universal do NIST CSF e a implantação activa da IA. Ainda assim, a questão em aberto é se as capacidades de recuperação, os investimentos em formação e o pessoal em dispositivos estão a acompanhar as ameaças que o estudo identifica como mais prementes.
