Miguel Gonçalves: “Atrás de cada sistema está um processo” (com vídeo)

Numa sala de crise, surgem indícios de um ataque na rede que liga equipamentos de radioterapia. Ainda não se sabe qual das máquinas foi afetada e desligar o segmento parece a forma mais segura de conter a ameaça. No entanto, à porta do hospital, chegam doentes oncológicos para tratamentos que podem ficar suspensos. Alguns terão de ser transferidos para outra unidade, com novas deslocações e tempos de espera.

Foi este cenário hipotético que Miguel Gonçalves, CISO da CUF, levou à IT Security Conference, na apresentação “The Cybersecurity Paradox: what happens when digital transformation meets an organization that cannot stop”. Dentro do gabinete de crise, a ameaça pode estar controlada. Fora dele, há doentes que dependem dos equipamentos desligados. “A ameaça está contida, mas os cuidados de saúde foram interrompidos”, afirmou, antes de reconhecer que, numa decisão tecnicamente segura, “do ponto de vista humano, teve aqui um custo grande”.

O paradoxo surge do encontro entre uma transformação digital que procura melhorar diagnósticos e tratamentos e uma atividade que não pode simplesmente parar. Para Miguel Gonçalves, “não se pode fazer uma proteção eficaz de um equipamento médico se não se souber exatamente como é que esse equipamento é utilizado”. Assim, a decisão de o isolar exige conhecer o tratamento em curso e as consequências da interrupção para cada doente. É, sobretudo, uma decisão sobre pessoas.

Conter uma ameaça sem comprometer a continuidade dos cuidados exige identificar os equipamentos afetados e determinar quais podem continuar a funcionar em segurança. O caso da radioterapia é apenas um dos exemplos em que esta distinção pode evitar que a suspeita de comprometimento de uma máquina obrigue à interrupção de todos os tratamentos.

Preparar a resposta antes da crise

A segmentação e a gestão das identidades assumem, por isso, um papel decisivo na capacidade de resposta. “A identidade é muito importante”, bem como os acessos e a segmentação, e defendeu controlos ajustados aos processos reais e não apenas à arquitetura técnica dos sistemas.

Se um atacante conseguir comprometer as credenciais de um utilizador, os danos podem depender dos acessos associados a essa conta. Com permissões bem definidas, “esse perfil vai ter limitação até onde pode ir e até onde é que pode estragar”, explicou Miguel Gonçalves, ao destacar a importância de restringir o acesso aos sistemas.

A impossibilidade de impedir todos os incidentes obriga a preparar a resposta. É por isso que a pergunta deixa de ser apenas se a rede está protegida e passa a incluir os serviços afetados e a capacidade que pode ser preservada. O essencial, defendeu o CISO, é “conseguirmos manter esse ataque o mais confinado possível” e dispor de processos treinados que permitam reagir com rapidez. Numa organização com várias unidades, um problema numa delas não deve interromper o funcionamento das restantes.

A continuidade decide-se com as equipas clínicas

A contenção da ameaça não resolve, por si só, a continuidade dos tratamentos. Há serviços que podem funcionar temporariamente com procedimentos manuais, mas outros dependem de equipamentos especializados. Miguel Gonçalves exemplificou que um tratamento de radioterapia não pode ser realizado manualmente e que, nesses casos, “essa alternativa tem de estar coordenada”.

A preparação inclui saber que serviços são essenciais, quais as interrupções toleráveis e durante quanto tempo, bem como decidir quando ativar transferências e quem assume essa responsabilidade. Um doente deslocado para outra unidade precisa também de assegurar a continuidade da informação clínica necessária ao tratamento, não apenas de encontrar um equipamento disponível. “Isso não pode ser uma decisão de equipa de segurança. Tem de ser uma decisão tomada conforme os negócios. No meu caso, com direções clínicas”, salientou.

A distância entre os testes realizados aos sistemas e a realidade da prestação de cuidados continua a ser uma preocupação, uma vez que, segundo Miguel Gonçalves, “ensaia-se muita coisa a nível técnico, mas depois a nível do negócio, daquilo que acontece no dia a dia, não é ensaiado”.

Retomando ao caso da radioterapia, a resposta junta, segundo Miguel Gonçalves profissionais de cibersegurança, arquitetura, operações e equipas clínicas. “Tudo isto tem de ser trabalhado em conjunto”, reforçou, para que as decisões sobre contenção, continuidade e recuperação não fiquem dependentes apenas de critérios técnicos.

Por detrás da tecnologia estão pessoas

A resposta a um incidente exige responsabilidades partilhadas entre diferentes áreas, porque, como recordou, “o CISO é uma equipa”, cabendo ao responsável dar a cara pelas decisões tomadas coletivamente.

A articulação entre a cibersegurança e as equipas clínicas deve estar definida antes de ocorrer um incidente, com alternativas que permitam manter os cuidados em segurança. Para Miguel Gonçalves, a prioridade está em “preparar alternativas conhecidas, responsabilidades claras e menos incerteza na altura dos factos acontecerem”, para que a resposta não dependa exclusivamente de decisões tomadas em plena crise.

“Atrás de cada sistema está um processo”, recordou o responsável, que também acrescentou que atrás desse processo existe um profissional e, à sua frente, uma pessoa. Na saúde, uma resposta de cibersegurança só é suficiente quando protege a infraestrutura sem perder de vista a continuidade dos cuidados.