Podcast: Reproduza em uma nova janela | Download (Duração: 42:19 – 33,9 MB)
Assine: Podcasts da Apple | Spotify
O CISO da Rede Regional de Saúde da Universidade de Michigan, Greg Sigg, explica por que sobreviver a um ataque cibernético se tornou uma disciplina para toda a organização. Assista abaixo ou no YouTube.
Greg Sigg, CISO, Rede Regional de Saúde da Universidade de Michigan
Há cinco anos, um sistema de saúde afetado por ransomware era frequentemente tratado como se tivesse falhado. Greg Sigg, CISO da Rede Regional de Saúde da Universidade de Michiganconsiderar esta decisão obsoleta. Os atores da ameaça são bem informados, determinados e hábeis na exploração do fator humano por meio de phishing e engenharia social. A questão para a maioria das organizações mudou de se o ataque acontecerá para quando. Num episódio recente do HealthsystemCIO Show, Sieg destacou que a sobrevivência neste momento depende menos da tecnologia e mais de a organização ter praticado trabalhar sem ela.
Sigg apoia a rede regional de saúde da Michigan Medicine, que inclui dois hospitais comunitários em Lansing e Grand Rapids, e sua função centraliza a segurança. A prevenção ainda é importante, disse ele, mas é apenas uma peça. Uma estratégia de defesa profunda captura o resto. Um invasor que elimina um evento de phishing atende à autenticação multifator, e aquele que elimina o MFA encontra o próximo controle abaixo dele. Resiliência, diz ele, significa construir essas camadas para que o evento permaneça pequeno e a recuperação seja administrável.
Esse trabalho vai além da equipe de segurança. Por esta razão, Zieg descreveu a sustentabilidade como uma disciplina de liderança e não como uma disciplina técnica, e leva a conversa directamente para a palavra. Em vez de parar no CNIO ou no CMO, ele conversou com a liderança da enfermagem e com os próprios enfermeiros para compreender seus processos de trabalho. Basta executar uma mesa e você poderá perder de vista o que está acontecendo nas profundezas da organização. Atrair essas perspectivas ao nível do chão altera a qualidade do planejamento.
A sustentabilidade na saúde é um esporte de equipe
Os cenários mais difíceis não são mais simples paralisações. Em muitos casos, o recurso que os líderes presumem não existe. Zieg apontou o artigo como o exemplo mais marcante. Há dez anos, passar para o papel era uma resposta viável ao tempo de inatividade. Hoje, muitas organizações não têm mais o suficiente. Durante um de seus exercícios de ronda, uma enfermeira disse que a equipe iria passar para o papel. Durante os 20 minutos seguintes, todas as enfermeiras que passaram disseram a mesma coisa: nunca tinham feito um gráfico no papel e não conheciam o protocolo.
“Não temos mais protocolos, políticas ou procedimentos para nada disso”, disse Sigg. “É tudo uma questão do que usamos para os backups tecnológicos.”
É por esta lacuna que ele trata a sustentabilidade como um exercício de grupo. Ela trabalha em estreita colaboração com o gerenciamento de emergências, mesmo que essas equipes não tenham conhecimento de TI para entender o que realmente está acontecendo em um evento. Os hospitais já são fortes em resiliência porque operam com base em protocolos construídos com mecanismos de failover. Sieg quer que o planejamento cibernético aprenda com isso. Também incentiva os líderes a continuarem fazendo a próxima pergunta. Se uma unidade planeja mudar para o papel, há estoque suficiente para dois ou três dias? Caso contrário, alguém pode obter mais da Costco? Estas respostas só surgem quando os líderes financeiros, clínicos e operacionais trabalham juntos no roteiro.
A segurança na saúde traz um equilíbrio que outras indústrias não enfrentam. Numa sala de operações onde já existem outros controles físicos, por exemplo, um computador bloqueado pode não precisar da mesma carga de autenticação que carrega em outros lugares. Bloqueie algo muito difícil na produção e o preço aparecerá em dólares. Faça o mesmo em um hospital e a máquina poderá não enviar a leitura correta ao médico. A Sieg mantém o atendimento ao paciente no centro de todos os compromissos.
Construindo memória muscular com Curveballs
Desenhar cenários é onde esse pensamento se transforma em prática, e Sieg realiza os exercícios de diversas maneiras. As minisessões trazem o cenário para uma unidade onde a equipe fala ao vivo sobre uma interrupção simulada sem desligar nada. As mesas reúnem liderança, às vezes fora do local, para revisar seus planos de resposta. Exercícios completos podem criar uma grade em uma área para testes mais realistas. Em todos os três, ele planta obstáculos. Uma equipe pode acertar a resposta e ainda assim observar o cenário aumentar porque repetições repetidas sob pressão criam os reflexos que o simples passe nunca criaria.
Esses exercícios testam mais as pessoas do que a tecnologia, medindo como uma pessoa reage a uma chamada recebida, se sabe para quem ligar e se existe documentação. Sieg faz um rodízio de participantes, adicionando backups e backups aos backups. Os ataques raramente chegam às terças-feiras às 10h. Eles atacam nos finais de semana e à noite, conforme planejado, quando o pessoal regular está ausente. Os testes devem simular isso e nem sempre ocorrer de segunda a sexta, das 9h às 17h.
Quando os sistemas falham numa organização, o problema já não pertence apenas à TI. As decisões mais importantes devem ser tomadas antes que o evento ocorra. As relações com o FBI, grupos jurídicos e, em Michigan, com a Polícia do Estado de Michigan devem ser estabelecidas antecipadamente. O meio do incidente é o momento errado para estabelecer relacionamento. O mesmo se aplica ao seguro cibernético e comprar uma apólice não é suficiente. Os líderes devem trabalhar em cenários com sua seguradora, muitos dos quais reúnem desktops e parceiros de resposta.
Leve embora
- Tratar a prevenção como uma camada do modelo de resiliência; um plano de como a organização continua a operar quando um ataque passa.
- Ande no chão. Fale diretamente com enfermeiros e funcionários da enfermaria, fora do CNIO ou CMO, para conhecer os fluxos de trabalho do mundo real antes de criar planos de permanência.
- Teste a pressão do papel de reserva. Certifique-se de que os funcionários ainda saibam como fazer gráficos no papel e que os suprimentos realmente existam no local por alguns dias.
- Execute cenários de diversas maneiras, desde minisessões de unidade única até exercícios completos de redução líquida, e adicione desafios ao longo do caminho.
- Faça um rodízio dos participantes do exercício, incluindo backups e backups de backups, à medida que os ataques ocorrem à noite, fins de semana e feriados dentro do cronograma.
- Construa relacionamentos externos com o FBI, a polícia estadual, seguradoras jurídicas e cibernéticas antes de um evento e analise os cenários com sua seguradora com antecedência.
- Certifique-se de que alguém tenha resiliência. Quer se trate de segurança, gestão de emergências ou conformidade, a propriedade dispersa deixa lacunas perigosas.
A propriedade une tudo, mas Sig diz que não existe apenas uma casa para isso. Ele viu a função esgotada pela segurança da informação, pela gestão de emergências e pelo compliance. Os reguladores, incluindo a Comissão Conjunta, levantam-no nos seus inquéritos, tornando mais fácil reivindicar a propriedade. O importante é que alguém reivindique isso.
“Se a TI está tentando gerenciar isso por conta própria, ou o gerenciamento de emergência está tentando gerenciar isso por conta própria, acho que irá falhar porque você não terá a perspectiva correta naquela sala”, disse Sieg.
