Os hospitais rurais há muito que são tratados como alvos fáceis pelos cibercriminosos. Uma nova rota federal direciona-os agora para as mesmas defesas avançadas de IA que protegem os sistemas de segurança nacional. O presidente Donald Trump assinou ordem executiva em 2 de junho. Intitulado “Promovendo a Inovação e Segurança da Inteligência Artificial Moderna”, liderou Agência de Segurança Cibernética e Infraestrutura facilitar o acesso a ferramentas e serviços de cibersegurança para operadores de infraestruturas críticas. Especificamente, entre eles, o despacho menciona os hospitais rurais. Para os líderes tecnológicos dos sistemas de saúde que observaram instalações mais pequenas absorverem campanhas de ransomware, a disposição marca uma mudança notável na forma como Washington trata a segurança cibernética na prestação de cuidados.
Aceno federal à exposição rural
A ordem coloca os hospitais rurais na mesma sentença que os bancos comunitários e os serviços públicos locais. Este agrupamento sinaliza o reconhecimento federal de quão expostas estas organizações se tornaram. A CISA é orientada a emitir Diretivas Operacionais Vinculativas e outras orientações para acelerar a defesa cibernética dos sistemas federais civis. A administração também deve expandir programas que reforcem as ferramentas de defesa baseadas na IA e facilitem o acesso aos governos estaduais e locais. Os operadores de infra-estruturas críticas também estão envolvidos. Além disso, este acesso poderia ser alargado, quando apropriado, ao que o despacho chama de “modelos de fronteira coberta”, os sistemas de IA mais capazes que estão actualmente a ser desenvolvidos.
Os líderes de segurança em instalações mais pequenas reconhecerão a lacuna. Por exemplo, muitos hospitais rurais possuem infra-estruturas obsoletas com equipas fracas. Freqüentemente, eles atuam como o único fornecedor de quilometragem, o que elimina a possibilidade de desviar pacientes durante uma interrupção. Como resultado, os invasores os isolam cada vez mais. A Ordem não se apropria de dinheiro novo por si só. Ainda assim, ele instruiu o Escritório de Gestão e Orçamento a analisar se os programas de subsídios federais existentes têm financiamento disponível para os candidatos que criam detecção avançada de vulnerabilidades de IA.
Câmara de compensação de dados de coordenação de vulnerabilidades
Uma segunda disposição deve ser do interesse de qualquer pessoa que execute um programa de gestão de vulnerabilidades. Os guias de pedidos Ministério das Finançastrabalhando com a Agência de Segurança Nacional e a CISA para criar uma câmara de compensação de segurança cibernética de IA. Os operadores industriais e de infra-estruturas aderirão numa base voluntária. Em particular, a câmara de compensação coordenará as verificações de vulnerabilidades de software, validá-las-á e, em seguida, priorizará e distribuirá as correções. Para os sistemas de saúde que fazem malabarismos com dispositivos dispersos e software de terceiros, um esforço nacional coordenado poderia aliviar o fardo contínuo.
O despacho também define esses modelos de limites cobertos. Um processo de benchmarking classificado liderado pela NSA avaliará as capacidades cibernéticas avançadas dos modelos de IA. Além disso, definirá o limite no qual o modelo receberá a designação. Os desenvolvedores poderiam então envolver voluntariamente o governo para verificar se o modelo atende aos requisitos. Eles podem fornecer acesso até 30 dias antes de um lançamento mais amplo e ajudar a selecionar parceiros confiáveis. Note-se que o artigo 3.º proíbe o despacho de criar regime de licenciamento compulsório, pré-aprovação ou permissivo. A linha reflete a posição de inovação da administração.
Aprimorando a resposta a ataques baseados em IA
Para as equipes de segurança que acompanham a ascensão da IA como ferramenta de ataque, a seção de implementação tem peso. A ordem orienta o procurador-geral a priorizar os processos de acordo com as leis federais existentes sobre crimes informáticos. Os alvos são aqueles que usam IA para acessar ou danificar sistemas ilegalmente. Incluem também qualquer pessoa que utilize agentes de IA para aceder ilegalmente a dados que são posteriormente utilizados para fins criminosos. A estrutura reforça a narrativa de ameaças à saúde que os CISOs já estão rastreando. Nele, os adversários usam a IA como arma para encontrar e explorar pontos fracos mais rápido do que os defensores humanos conseguem responder.
A maior parte do pedido é executada em relógios rígidos. Várias diretivas contêm prazos de 30 dias, incluindo as diretrizes da CISA e da Treasury Clearing House. O trabalho do modelo de limite e o processo de benchmarking se enquadram em uma janela de 60 dias. A forma como as agências interpretam “quando apropriado” determinará quanto disto realmente chega às instalações rurais. Enquanto isso, quando a NSA definir o limite de um modelo coberto, ela decidirá seu escopo. A designação pode afetar alguns sistemas líderes ou uma banda mais ampla.
Leve embora
- A ordem designa os hospitais rurais como infraestruturas críticas elegíveis para acesso mais fácil às ferramentas federais de segurança cibernética, incluindo modelos de fronteiras cobertas, quando apropriado.
- Uma nova câmara de compensação do Tesouro-NSA-CISA coordenará a verificação de vulnerabilidades, validação e distribuição de patches para operadores de infraestrutura.
- O OMB precisa avaliar se os subsídios federais existentes podem financiar a detecção avançada de vulnerabilidades de IA, portanto, fique atento aos sinais de financiamento sobre novas dotações.
- Um processo de benchmarking classificado da NSA definirá “modelos de borda coberta” e regerá uma janela de acesso antecipado voluntário de 30 dias para desenvolvedores.
- O Departamento de Justiça é orientado a priorizar o processo de acesso não autorizado a sistemas habilitados por IA, aprimorando a resposta legal aos ataques conduzidos por IA.
- A maioria dos regulamentos contém prazos de 30 ou 60 dias, portanto as orientações para implementação devem aparecer rapidamente.
Para os líderes do sistema de saúde rural que passaram anos a provar que as suas instalações merecem as mesmas protecções que as instituições maiores, a ordem merece. Coloca os hospitais ao lado dos bancos e dos serviços públicos como infra-estruturas que vale a pena proteger. Também aponta para ferramentas e coordenação que as equipes de segurança menores raramente conseguem alcançar por conta própria.
