Guia para melhorar a proteção cibernética da prática odontológica

As práticas odontológicas estão se tornando cada vez mais dependentes da tecnologia e, com isso, aumenta o risco de ataques cibernéticos.

O primeiro passo para proteger sua clínica odontológica contra ataques cibernéticos é entender os riscos. Este guia foi criado para auxiliar as práticas a identificar riscos potenciais e desenvolver um plano de segurança cibernética apropriado. Os criminosos cibernéticos estão se tornando cada vez mais sofisticados e mais capazes de atingir consultórios odontológicos vulneráveis, usando uma variedade de técnicas, incluindo phishing, malware e ransomware. Esses ataques podem passar despercebidos por vários anos até que a prática seja comprometida.

No entanto, é possível reduzir o risco de ataques cibernéticos seguindo algumas etapas simples. Este guia fornecerá algumas recomendações práticas de segurança cibernética que você pode implementar imediatamente para proteger seus dados.

Quais são as ameaças mais comuns aos consultórios odontológicos?

De acordo com Instituto Ponemon, em 2017, o custo médio de uma violação de dados foi de US$ 3.62 milhões. O Ponemon Institute também relata que o setor de saúde sofre o maior número de ataques cibernéticos do que qualquer outro setor. Os consultórios odontológicos não estão imunes a ataques cibernéticos e violações de dados.

De fato, um estudo do Centro de Recursos de Roubo de Identidade descobriram que, em 2021, o número geral de violações de dados (1,862) aumentou mais de 68% em relação ao ano anterior. Isso estabeleceu um novo recorde em relação ao recorde anterior registrado em 2017 (1506 casos). Os crimes cibernéticos relacionados a ransomware dobraram nos anos subsequentes a partir de 2020. No ritmo em que as coisas estão indo, os ataques de ransomware devem superar o phishing como a principal causa de violações de dados em 2022.

A seguir, exemplos das ameaças cibernéticas comuns às práticas odontológicas:

Malware transmitido por e-mail

Aproximadamente 30% das violações de dados são causadas por malware transmitido por e-mail. Esse tipo de malware pode ser baixado de um site de phishing e o software malicioso pode infectar um computador por meio de anexos ou links de e-mail.

Ataques de phishing

Um ataque de phishing, também conhecido como ataque de “spear-phishing”, é uma tentativa de obter informações confidenciais, como senhas, números de cartão de crédito e números de identificação pessoal, enviando e-mails que parecem ser de uma fonte legítima.

Ransomware

Os ataques de ransomware estão se tornando mais comuns com a ameaça de criminosos cibernéticos visando consultórios odontológicos. Esses ataques têm maior probabilidade de afetar pequenos escritórios e práticas que não possuem tecnologias de computador robustas, pois podem ser difíceis de detectar e remediar.

SpywareMalware

Isso pode ser espalhado por meio de unidades flash USB e outras mídias portáteis. Ele pode ser instalado por meio de um anexo de e-mail ou link infectado.

Extensões de navegador maliciosas

Essa extensão de navegador maliciosa geralmente é um tipo de adware que oculta a barra de URL e a substitui por anúncios, redirecionamentos ou outros anúncios indesejados.

Vírus

Um vírus é um tipo de software malicioso que pode causar danos a um computador ou dispositivo eletrônico corrompendo arquivos, espalhando-se por uma rede ou mesmo alterando o sistema operacional.

Worms

Um worm é um tipo de malware que se propaga replicando-se em outros computadores na Internet. Um worm pode ser escrito para explorar vulnerabilidades de segurança e se propagar usando táticas de engenharia social, técnicas de exploração de rede ou via e-mail.

Métodos de melhores práticas para sua prática odontológica para proteger seus dados

Use aplicativos seguros

Baixe e use apenas aplicativos das lojas oficiais. Se não for mais necessário, exclua os aplicativos completamente.

Como as lojas de aplicativos oficiais (Apple App Store ou Google Play Store) submetem os aplicativos a pelo menos um certo nível de controle antes de serem oferecidos, a probabilidade de contenção de riscos de segurança é significativamente menor. 

No entanto, carregue apenas aplicativos em seu dispositivo que você realmente precisa e desinstale todos os aplicativos que você não precisa mais completamente.

Sempre instale a versão atual do aplicativo

Sempre instale as atualizações imediatamente para evitar vulnerabilidades.

Assim como os sistemas operacionais, as atualizações geralmente contêm os patches de segurança mais recentes, além de novas funções, para que quaisquer falhas de segurança que possam existir anteriormente possam ser fechadas.

Armazenamento seguro de dados de aplicativos locais

Use apenas aplicativos que criptografam documentos e os salvam localmente.

Observe que, se possível, nenhum dado é armazenado na nuvem. Crie backups de seus dispositivos móveis e use a opção oferecida pelo sistema operacional para criar backups criptografados e salve-os apenas em dispositivos sob seu próprio controle. Evite usar backups na nuvem, mesmo que sejam oferecidos de forma criptografada.

Não envie dados confidenciais por meio de aplicativos

Para evitar a saída indesejada de dados possivelmente confidenciais, use configurações de proteção de dados tão restritivas quanto possível, nas quais o acesso não controlado a outros dados confidenciais no smartphone (por exemplo, acesso geral ao catálogo de endereços e, portanto, todos os dados de contato armazenados, fotos álbum, etc.) não é possível pode ser evitado não deve ser usado.

Isso também se aplica a mensageiros comuns e aplicativos de mídia social, por exemplo.

Sem armazenamento em nuvem de dados pessoais

Sem uso do armazenamento em nuvem integrado aos produtos Office para armazenar informações pessoais.

Novamente, evite usar o armazenamento em nuvem. Especialmente quando se trata de dados pessoais, esses dados não devem ser armazenados na nuvem sem uma base legal e as especificações lá definidas.

Autenticação para aplicativos da web

Use apenas aplicativos de Internet que protejam estritamente seu acesso (página de login e processo, senha, conta de usuário, etc.).

Para isso, deve ser protegido pelo menos com um login com nome de usuário e senha. Se isso for oferecido, eles devem ativar a chamada “autenticação de dois fatores”, que requer um segundo recurso de segurança além de inserir uma senha. Geralmente, é um PIN enviado por meio de um aplicativo separado para um dispositivo confiável especificado anteriormente (smartphone, tablet, PC) ou como um SMS para um número de celular armazenado anteriormente.

Um método particularmente seguro é o registo através de cartão inteligente (por exemplo, cartão e-dentista, cartão ZOD, SMC-B), que também representa uma autenticação de dois fatores, uma vez que, por um lado, a posse do cartão inteligente adequado e, por outro, o PIN associado é necessário.

Não configure ou permita acesso automatizado ou chamadas para aplicativos da web

O acesso à Internet deve ser sempre deliberado e controlado. Portanto, em nenhuma circunstância permita que aplicativos baixados ou outros aplicativos acessem aplicativos da web automaticamente.

Regular permissões e acesso por grupo de pessoas e por pessoa

Preste atenção especial à atribuição clara ao compartilhar pastas na rede. Atribua apenas as pastas que são absolutamente necessárias para pessoas ou grupos e restrinja ainda mais as pastas atribuídas. Determinar quais os direitos (ler, escrever, apagar,...) que as pessoas ou grupos têm.

Os suportes de dados removíveis devem ser verificados quanto a malware com um programa de proteção atualizado cada vez que são usados.

Se você usar mídias removíveis, como um pendrive, verifique-as com o software antivírus instalado em seu computador antes de cada uso, principalmente se forem trocadas entre sistemas diferentes e antes de repassá-las.

Sempre apague os suportes de dados de forma segura e completa após o uso. Seu computador oferece várias opções para isso

Dependendo do sistema operacional usado, você tem várias opções aqui. Com a ajuda de aplicativos especiais adicionais, pode ser realizada uma exclusão mais intensiva que pode ser necessária, pois um processo de exclusão “normal” geralmente não exclui os dados em si, mas apenas a referência a eles, para que não sejam mais exibidos pelo sistema. 

No entanto, os dados podem ser restaurados com relativa facilidade com alguns programas disponíveis gratuitamente. Programas de exclusão adequados geralmente substituem os dados a serem excluídos várias vezes para que não possam ser restaurados posteriormente.

A autenticação apropriada deve ser usada para acesso de gerenciamento a componentes de rede e informações de gerenciamento

Componentes usados ​​na rede, como firewalls, roteadores, switches, etc. devem ser protegidos pelo menos por senhas seguras. O acesso a esses dispositivos e, portanto, à configuração ou às informações neles armazenadas não deve ser possível sem uma senha ou outra autenticação segura.

Backup e recuperação de desastres

O backup e recuperação de desastres é uma parte fundamental da segurança. Os backups devem ser armazenados em pelo menos dois ou três locais diferentes. Não apenas um sistema de backup deve ser protegido, mas também os arquivos dos quais foi feito backup, para que você possa restaurá-los, se necessário.

Políticas e procedimentos de segurança

As políticas e procedimentos de segurança devem descrever em detalhes como os ativos de informação da organização são protegidos. As políticas e procedimentos devem ser documentados, aprovados e atualizados pelo menos anualmente.

Segurança física

O acesso físico aos sistemas de computador deve ser controlado de perto. Todas as portas devem estar trancadas, cartões de acesso e chaves devem ser usados ​​e todos os cômodos devem ser bem iluminados com luz natural suficiente para ver as informações.

Segurança eletrônica

Todos os sistemas de computador e serviços de rede devem ter medidas de segurança apropriadas. Todos os usuários devem usar seus próprios nomes de login e senhas. As políticas e procedimentos de segurança da informação devem ser integrados aos esforços gerais de gerenciamento de riscos da organização, incluindo recursos humanos, segurança física, planejamento de continuidade de negócios e recuperação de desastres.

Conclusão

A melhor segurança do computador é alcançada adotando uma abordagem em camadas para a segurança da informação. Cada camada fornece um conjunto diferente de controles para garantir que os dados possam ser acessados ​​e usados ​​com segurança, mas cada camada tem suas próprias vulnerabilidades.

É importante reconhecer essas vulnerabilidades e aplicar as medidas de controle apropriadas, conforme compartilhado acima. É importante ter uma política de segurança forte e sólida, pois ajudará a proteger todos os ativos da organização. Uma boa política de segurança ajudará um consultório odontológico a manter um ambiente de rede seguro e confiável.

Os dentistas devem tomar as precauções necessárias para proteger suas práticas odontológicas do crime cibernético. Isso inclui usar senhas fortes, atualizar o software regularmente e treinar os funcionários sobre as melhores práticas. Seguindo as dicas fornecidas neste artigo, os profissionais podem ajudar a minimizar o risco de uma violação cibernética e manter os dados de seus pacientes seguros.