Podcast: Reproduza em uma nova janela | Download (Duração: 42:38 – 39,0 MB)
Assine: Podcasts da Apple | Spotify
O CISO Sahan Fernando da Rady Children explica por que compreender as operações hospitalares é a verdadeira base para uma resiliência cibernética e continuidade duradouras. Assista abaixo ou no YouTube.
Sahan Fernando, CISO, Hospital Infantil Rady – San Diego
A resiliência cibernética na área da saúde não depende tanto da tecnologia, mas sim de a equipe de segurança realmente entender como o hospital realmente funciona no dia a dia. Essa crença norteia o trabalho de Sahan Fernando, Diretor de Segurança da Informação da Hospital Infantil Rady – San Diego. Para Fernando, um profundo compromisso operacional está no centro de qualquer programa construído para apoiar a continuidade dos cuidados.
Falando em um episódio recente do HealthsystemCIO Show, Fernando descreveu como a função do CISO evoluiu. Mais especificamente, tornou-se um verdadeiro parceiro de negócios, muito além do antigo cargo de gestor técnico de riscos. À medida que a tecnologia se tornou central em todas as partes da experiência do paciente, disse ele, os líderes de segurança não podem manter a continuidade operacional a menos que primeiro compreendam como os médicos realmente realizam o seu trabalho.
“É difícil ser eficaz na manutenção da continuidade das operações se você não entende as operações”, disse Fernando. Ele passa grande parte do seu tempo reunindo-se com as partes interessadas em toda a organização, desde a sala de cirurgia até o processamento esterilizado e o refeitório. Como resultado, sua equipe pode mapear os riscos de cada função e implementar os planos e controles corretos.
UM Saúde-ISAC Conselheiro, Fernando participou da Operação Sinais Vitais, exercício de resiliência liderado pelo Health-ISAC e pelo Conselho Coordenador do Setor Saúde. Ele descreveu o programa como uma grande bancada, e as bancadas agora fazem parte de sua abordagem. Sua equipe gerencia vários a cada ano e pelo menos um, é claro, está focado em um desastre de TI como o ransomware.
Mesmo um evento cibernético, observou ele, é praticamente semelhante a uma queda de energia. As luzes permanecem acesas, mas os computadores e aplicativos escurecem e os médicos devem recorrer a rotinas de tempo de inatividade bem ensaiadas. Este enquadramento também reforça uma cultura de responsabilidade partilhada, onde todos compreendem o propósito de estar ao lado do paciente quando os sistemas falham.
Abordando operações
Para os profissionais de segurança que consideram o âmbito clínico intimidante, Fernando ofereceu alguns conselhos simples: ouçam primeiro. Muitos surgiram através de funções técnicas e iniciar conversas com médicos seniores nem sempre é algo natural. Ainda assim, a recompensa é significativa quando a abordagem é genuína.
Seja curioso e ouça de verdade, disse ele, porque todo mundo aprende muito mais ouvindo do que falando. Mostrar interesse autêntico realmente cria a confiança que transforma os médicos em parceiros. Alguns se tornam campeões proativos. Fernando credita ao atual CMIO de sua organização, na época um médico informático, a abertura das portas para enfermeiros e médicos que se tornaram aliados valiosos para o programa.
Ele também insiste em comparecer pessoalmente. Como funcionário híbrido, ele viaja regularmente para o sul da Califórnia. Sempre que alguém deseja fazer isso, eles observam os médicos para observar como eles cuidam dos pacientes e onde os controles de segurança podem reduzir o atrito. Esse tempo cara a cara, disse ele, constrói relacionamentos que são mais difíceis de formar por meio de videochamadas.
Da mesma forma, ganhar tempo de executivos ocupados para coisas como desktops exige o mesmo trabalho. Em vez de ir diretamente ao CEO em busca de adesão e apoio, Fernando depende dos relacionamentos e da estrutura de comando de incidentes que sua organização utiliza. Esta estrutura, em particular, dá às partes interessadas um claro sentido de responsabilidade de participação. Ele também trabalha em estreita colaboração com assistentes executivos, que considera o caminho mais confiável para o calendário de um executivo sênior. Fazer essa preparação com antecedência significa que ele raramente terá que insistir para que alguém apareça.
Reduzindo a divisão entre as operações de TI
A divisão psicológica entre TI e operações ainda existe, disse Fernando, embora pareça diferente do antigo estereótipo de médicos que resistem à tecnologia. Na Rady Children’s, em particular, o apetite por novas tecnologias é especialmente elevado entre os médicos. O atrito tende a ocorrer apenas em torno de novos controles, como a autenticação multifatorial, que introduzem mudanças.
O desafio mais difícil é a tradução. Na verdade, os líderes que explicam o risco técnico em termos densos e com muitos jargões aumentam a lacuna à medida que o impacto nos negócios se perde. Para isso, Fernando trabalha na sua própria entrega, pausando em vez de usar palavras extras e controlando o ritmo para que a mensagem chegue com clareza a cada público. O objetivo é levar as partes interessadas a um nível de compreensão onde confiem no seu julgamento sobre o que precisa de ação.
Entretanto, a tecnologia de consumo acrescenta outra fonte de atrito. Ferramentas que beneficiam as pessoas nas suas vidas pessoais, desde assistentes de IA até computadores Apple, estão a criar pressão para trazer as mesmas capacidades para as empresas. Quando os funcionários aceitam software não autorizado, Fernando trata isso como um sinal útil. Se uma ferramenta de sombra já é espelhada por um produto sancionado, a lacuna está na conscientização. Por outras palavras, quando não existe nada comparável, a organização identificou uma necessidade não satisfeita que vale a pena abordar.
Da mesma forma, os recursos estão no centro destas compensações. A procura de TI é virtualmente ilimitada, enquanto o orçamento e o pessoal não o são, pelo que a organização deve decidir constantemente o que financiar. Fernando vinculou essa disciplina à resiliência. O trabalho envolvido em manter as luzes acesas molda o risco de tempo de inatividade tanto quanto qualquer cenário de ransomware.
Por exemplo, ele apontou para uma recente onda de falhas de switch. Sua equipe de rede detectou a deterioração precocemente e preparou substitutos, depois trabalhou com as operações para agendar uma janela de interrupção em torno dos pacientes e procedimentos afetados. Compreender esse impacto clínico, disse ele, é o que transforma uma única peça de hardware numa questão de sustentabilidade mais ampla. Esta questão, por sua vez, vincula custos, gestão e priorização diretamente à segurança do paciente.
Leve embora
- Tratar a compreensão operacional como uma competência essencial de segurança; você não pode defender a continuidade que você não entende.
- Ouça antes de resolver problemas ao construir relacionamentos com médicos e compareça pessoalmente quando puder.
- Trabalhe por meio de assistentes executivos e da estrutura de comando de incidentes para garantir tempo e colaboração de líderes ocupados.
- Traduza o risco técnico em resultados de negócios e controle sua entrega para que a mensagem não se perca.
- Leia a Shadow IT como uma análise de lacunas que traz à tona necessidades não atendidas, em vez de tratá-la apenas como uma ameaça.
- Vincule o trabalho de manter as luzes da infraestrutura acesas à resiliência, porque a manutenção de rotina molda o risco de interrupção.
Para Fernando, a disciplina começa e termina nas pessoas que se preocupam com a missão. “Eles dirão se você é apaixonado e se você se importa, e responderão a isso”, disse ele.
