Aumentando a Cibersegurança na Saúde Dentro e Além do Firewall

O setor de saúde continua sendo o principal alvo de ataques cibernéticos. De acordo com o 2023 Ping Identity Breach Report (anteriormente ForgeRock), a saúde tem sido o setor mais visado por criminosos cibernéticos por mais de cinco anos.¹ Essa tendência persiste em 2024, com ataques de grande repercussão que causaram ampla interrupção.² Uma violação, orquestrada pelo grupo de ransomware Blackcat, afetou até um terço dos americanos e gerou impactos financeiros e operacionais significativos, com interrupções custando aos prestadores de serviços de saúde até US$ 1 bilhão por dia. Outro ataque interrompeu serviços em 140 hospitais, cortando o acesso a registros eletrônicos de saúde e atrasando o atendimento aos pacientes.

Falta de Preparação do Setor de Saúde

De acordo com a KLAS, "as organizações [de saúde] são geralmente mais reativas do que proativas em sua abordagem à cibersegurança." Apesar do cenário de ameaças cada vez mais intenso, mais de um terço das organizações de saúde continuam despreparadas para ataques cibernéticos. Essa falta de prontidão é preocupante, especialmente considerando que 34% das organizações que sofreram ataques de ransomware não conseguiram recuperar os dados dos pacientes. As consequências desses ataques são graves. Segundo o Journal of mHealth, "das 88% das organizações de saúde que sofreram ataques cibernéticos em 2023, aproximadamente 20%-30% relataram mais fatalidades como resultado."⁴

Acesso Não Autorizado como Inimigo Número Um

O acesso não autorizado continua sendo o principal vetor de ataque que contribui para violações de dados no setor de saúde. O 2024 Verizon Data Breach Investigations Report informa que o "uso de credenciais roubadas continua a dominar o padrão de Intrusão de Sistema."⁵ A violação mais significativa no setor de saúde em 2024 é um exemplo notável, em que a ausência de Multi-Factor Authentication (MFA) facilitou o acesso não autorizado, levando a uma interrupção em nível nacional e à exposição de dados sensíveis de pacientes. No momento da publicação deste white paper, estima-se que essa única violação custará à organização mais de US$ 2,45 bilhões.⁶

¹ 2023 ForgeRock Identity Breach Report: It Only Takes One Exposed Password

² https://www.pingidentity.com/en/resources/blog/post/healthcare-cyberattacks-security.html

³ https://www.healthcaredive.com/news/healthcare-ransomware-cyberattack-impacts-patient-care-software-advice/716971/#:~:text=from%20your%20inbox.,More%20than%20a%20third%20of%20healthcare%20organizations%20aren't%20prepared,new%20survey%20from%20Software%20Advice.

⁴ https://thejournalofmhealth.com/the-link-between-health-care-cyberattacks-and-patient-mortality/

⁵ https://www.verizon.com/business/resources/reports/dbir/

⁶ https://www.beckershospitalreview.com/cybersecurity/change-healthcare-cyberattack-costs-soar-may-hit-2-45b.html#:~:text=UnitedHealth%20Group%20expects%20costs%20associated,at%20%241.6%20billion%20this%20year.

⁷ https://www.beckershospitalreview.com/cybersecurity/change-healthcare-cyberattack-costs-soar-may-hit-2-45b.html#:~:text=UnitedHealth%20Group%20expects%20costs%20associated,at%20%241.6%20billion%20this%20year

Ameaças Internas e de Terceiros

De acordo com a Morningstar, 55% das organizações de saúde permitem que funcionários acessem mais dados do que o necessário para suas funções. Essa é provavelmente a razão pela qual os insiders são a segunda principal causa de violações,⁸ destacando a necessidade de medidas mais rigorosas de governança de identidade e dados.⁹

Além disso, 90% das maiores violações de dados na área da saúde em 2022 estavam relacionadas a fornecedores terceirizados, de acordo com o 2023 Breach Report da Ping.¹⁰ A natureza interconectada dos ecossistemas e serviços digitais de saúde exige uma gestão de riscos robusta para evitar violações que possam se propagar por endpoints de terceiros.

⁸ https://www.verizon.com/business/resources/reports/dbir/

⁹ https://www.verizon.com/business/resources/reports/dbir/

¹⁰ 2023 ForgeRock Identity Breach Report: It Only Takes One Exposed Password

Lacunas de Capacidade de Segurança em EHR

Os sistemas de Electronic Health Records (EHR) são ferramentas indispensáveis para gerenciar informações de pacientes e otimizar processos de saúde. No entanto, depender exclusivamente dos EHRs para acesso e autorização expõe as organizações de saúde a riscos significativos. Os recursos nativos de segurança dos EHRs carecem de capacidades avançadas de gerenciamento de identidade e acesso (IAM) essenciais para proteção contra violações e fraudes. Por exemplo, não oferecem verificação abrangente de identidade nem recursos avançados de detecção de ameaças, como detecção de bots e detecção de dispositivos suspeitos. Também não fornecem a granularidade e a flexibilidade necessárias para lidar com as necessidades dinâmicas de acesso dos ambientes modernos de saúde. Portanto, as organizações de saúde devem integrar os EHRs com soluções de IAM desenvolvidas especificamente para esse fim a fim de garantir segurança abrangente. Consulte a seção de Integração para mais detalhes.

Uma Estratégia Unificada de Segurança de Identidade é Imperativa para a Defesa Cibernética na Saúde

As violações significativas em 2024 destacam as vulnerabilidades do setor de saúde e reforçam a necessidade crítica de estratégias robustas e unificadas de gerenciamento de identidade e acesso (IAM) e governança e administração de identidade (IGA).

No ambiente de saúde atual, os modelos tradicionais de segurança são insuficientes para defender contra ameaças cibernéticas sofisticadas. O cenário de ataques cibernéticos em constante evolução exige uma abordagem moderna em que a confiança implícita nunca seja concedida, mas continuamente avaliada por meio de soluções avançadas de identidade. É fundamental que líderes da área de saúde adotem uma plataforma abrangente de IAM que inclua IGA para proteger suas operações, resguardar dados sensíveis e cumprir regulamentações e diretrizes como:

• The Health Insurance Portability and Accountability Act (HIPAA)
• The 21st Century Cures Act
• The CMS Interoperability Mandate
• Health Information Technology for Economic and Clinical Health Act (HITECH)
• Trusted Exchange Framework and Common Agreement (TEFCA)
• NIST CSF and NIST SP 800-83
• Center for Internet Security (CIS) Controls

¹¹ https://newsroom.accenture.com/news/more-than-80-percent-of-healthcare-executives-expect-the-metaverse-will-have-a-positive-impact-on-their-organizations-according-to-a-new-accenture-report.htm

A abordagem unificada da Ping Identity para IAM e IGA é a escolha ideal para organizações de saúde que buscam prevenir ataques cibernéticos sem comprometer a experiência do usuário, graças às suas soluções abrangentes, adaptativas e baseadas em políticas.

A Plataforma Ping Identity oferece proteção de ponta a ponta, escalável e em tempo real contra ameaças cibernéticas em constante evolução, tornando-se indispensável para manter a integridade e a confidencialidade das informações de saúde em um cenário cada vez mais digital.

Alcance Resultados Tangíveis com a Ping Identity

Cinco Pilares da Segurança de Identidade para a Saúde

Para que líderes da área da saúde se defendam plenamente contra violações, fraudes e ransomware, tanto dentro quanto fora do firewall, os cinco pilares a seguir de cibersegurança habilitada por identidade são indispensáveis.

1. Integrar e Aprimorar Sistemas e EHRs Dispersos

O Problema
A TI na área da saúde, composta por sistemas fragmentados, soluções pontuais e múltiplos EHRs, é repleta de vulnerabilidades, como múltiplos pontos de entrada para cibercriminosos. Silos de dados dificultam a implementação de políticas de segurança consistentes e o monitoramento do acesso de usuários em toda a organização. Essa falta de visibilidade e controle sobre o acesso pode levar a provisionamento excessivo, acessos não autorizados e ameaças internas.

A Solução
A plataforma unificada de IAM de nível empresarial da Ping Identity integra ambientes de TI híbridos e soluções pontuais dispersas. A plataforma inclui autorização dinâmica e controle de acesso granular para garantir acesso seguro e em conformidade aos sistemas de EHR, apoiando as disposições de privacidade e segurança do HITECH. Além disso, o controle de acesso baseado em políticas (PBAC) e os recursos de integração possibilitam a troca de dados segura e contínua, alinhando-se às metas de interoperabilidade do TEFCA. Adicionalmente, as soluções de segurança de API e gerenciamento de acesso da Ping Identity garantem a troca segura de dados e controle de acesso granular às informações eletrônicas de saúde (EHI), atendendo aos requisitos de interoperabilidade e proteção de dados do CMS e do Cures Act.

Com a Ping Identity, você pode:

• Acelerar a implementação de segurança e garantir que cada endpoint esteja protegido.
• Participar de um ecossistema digital Community Connect.
• Reduzir a sobrecarga e os custos de desenvolvimento ao diminuir significativamente o tempo para criar, testar e implantar integrações.
• Garantir flexibilidade para implementar tecnologias e adaptar jornadas do usuário para atender a necessidades futuras.
• Otimizar todos os serviços de identidade e reduzir processos duplicados e os custos de manutenção de múltiplas plataformas de produtos e suas integrações.
• Consolidar os custos de gerenciamento de identidade e acesso em uma única plataforma em todos os ambientes de implantação e múltiplas linhas de negócios para aumentar o ROI e reduzir o TCO.

Principais Recursos de Integração a Considerar

item-1-icon

item-1-icon-alt

ícone decorativo

item-1-title

1. Identity Gateway

item-1-description

Um identity gateway atua como um ponto de acesso centralizado, gerenciando autenticação e autorização e, assim, unificando múltiplos sistemas sob uma única estrutura de identidade. Isso garante que profissionais de saúde possam acessar com segurança prontuários de pacientes, aplicações clínicas e outros serviços essenciais sem comprometer a segurança ou a experiência do usuário. Ao utilizar protocolos e APIs padronizados, como OAuth, OpenID Connect e SAML, o identity gateway facilita a interoperabilidade e o compartilhamento de dados entre sistemas diversos, aumentando a eficiência operacional e a qualidade do atendimento ao paciente.

item-2-icon

item-2-icon-alt

ícone decorativo

item-2-title

2. Diretório Centralizado

item-2-description

Um diretório centralizado de usuários ajuda a integrar sistemas de TI dispersos ao fornecer um repositório unificado para gerenciar identidades de usuários e permissões de acesso. Ao consolidar as informações dos usuários em um único local, garante dados consistentes e atualizados em todos os sistemas integrados, simplificando o gerenciamento de usuários e reduzindo a sobrecarga administrativa. Essa centralização permite processos contínuos de autenticação e autorização, pois aplicações e serviços podem consultar o mesmo diretório para verificação de identidade. Como resultado, aumenta a segurança e a eficiência ao possibilitar single sign-on (SSO), aplicar políticas de acesso consistentes e facilitar o provisionamento e desprovisionamento de contas de usuários em diversos sistemas, criando assim um ambiente de TI coeso e interconectado.

item-3-icon

item-3-icon-alt

ícone decorativo

item-3-title

3. Gestão de Ciclo de Vida

item-3-description

A gestão de ciclo de vida na área da saúde refere-se ao processo abrangente de gerenciamento de todo o ciclo de vida das identidades, desde a criação e o provisionamento até a modificação e eventual desprovisionamento. Essa capacidade é essencial para provisionar de forma eficiente colaboradores, profissionais de saúde e pacientes, garantindo que cada indivíduo tenha acesso adequado aos recursos necessários em todos os momentos. Uma gestão eficaz do ciclo de vida oferece suporte a múltiplas interfaces para registros eletrônicos de saúde (EHRs) e Fast Healthcare Interoperability Resources (FHIR), possibilitando troca de dados contínua e interoperabilidade entre sistemas. Isso não apenas aumenta a eficiência operacional, mas também fortalece a segurança, a conformidade e a qualidade geral do atendimento ao paciente.

item-4-icon

item-4-icon-alt

ícone decorativo

item-4-title

4. Conformidade com Padrões

item-4-description

Padrões abertos são especificações publicamente disponíveis que garantem interoperabilidade e compatibilidade entre diferentes sistemas e tecnologias. Para organizações de saúde, trabalhar com um provedor de IAM que ofereça suporte a padrões abertos é fundamental para integração contínua e troca segura de dados. O suporte completo ao SAML legado e a flexibilidade para oferecer suporte a integrações SAML personalizadas garantem que sistemas existentes possam se comunicar de forma eficaz com novas aplicações. Além disso, o suporte completo a OpenID Connect (OIDC) e OAuth facilita um gerenciamento de acesso seguro e escalável. O suporte abrangente aos padrões FHIR e SMART on FHIR permite a troca eficiente e interoperável de dados de saúde, aprimorando a prestação de cuidados e a eficiência operacional.

item-5-icon

item-5-icon-alt

ícone decorativo

item-5-title

5. Controle de Acesso Baseado em Políticas (PBAC)

item-5-description

O Controle de Acesso Baseado em Políticas (PBAC) é um método de regular o acesso a recursos com base em políticas definidas pela organização. Essa abordagem é mais flexível e sensível ao contexto em comparação com métodos tradicionais de controle de acesso, como Role-Based Access Control (RBAC) ou Attribute-Based Access Control (ABAC). O PBAC utiliza políticas para determinar direitos de acesso, que podem considerar diversos fatores, como funções do usuário, atributos, condições ambientais e ações.

item-6-icon

item-6-icon-alt

ícone decorativo

item-6-title

6. Single Sign-On

item-6-description

Single Sign-On (SSO) é um processo de autenticação que permite aos usuários acessar múltiplos sistemas e aplicações de TI com um único conjunto de credenciais de login. Ao permitir que os usuários façam login uma única vez e obtenham acesso contínuo a todos os sistemas integrados, o SSO simplifica a experiência do usuário e aumenta a produtividade, pois não é necessário lembrar e gerenciar várias senhas. Esse mecanismo de acesso unificado não apenas melhora a segurança ao reduzir o risco de violações relacionadas a senhas, mas também permite que administradores de TI gerenciem e apliquem políticas de segurança de forma centralizada em sistemas diversos. Ao utilizar protocolos de federação de identidade como SAML, OAuth e OpenID Connect, o SSO facilita a integração de sistemas de TI distintos, criando um ambiente de autenticação coeso e eficiente.

item-7-icon

item-7-icon-alt

ícone decorativo

item-7-title

7. Segurança de API

item-7-description

A segurança de API é essencial para proteger aplicações e dados, envolvendo estratégias como autenticação robusta, autorização e criptografia. A utilização de padrões como OAuth, API Keys e JWTs garante acesso seguro e transmissão segura de dados. A implementação de limitação de taxa, validação de entrada e registro abrangente ajuda a mitigar ameaças e monitorar o uso de APIs. Ferramentas como gateways de API centralizam o gerenciamento de segurança, enquanto práticas de codificação segura e auditorias regulares previnem vulnerabilidades.

item-8-icon

item-8-icon-alt

ícone decorativo

item-8-title

8. Segurança de IoMT / Edge

item-8-description

Segurança de edge refere-se à proteção de dados e aplicações na borda da rede, mais próxima de onde os dados são gerados e utilizados, como dispositivos da Internet of Medical Things (IoMT). Para organizações de saúde, trabalhar com um provedor de IAM que ofereça segurança de edge é fundamental para proteger informações sensíveis e garantir a integridade de dispositivos médicos conectados. Ao proteger dados e operações na borda, as organizações podem assegurar que informações sensíveis estejam protegidas à medida que circulam entre diferentes sistemas e dispositivos, facilitando a integração de sistemas de TI distintos. A segurança de edge ajuda a manter a integridade e a privacidade dos dados em uma rede distribuída, permitindo comunicação contínua e segura entre diversas aplicações e serviços.

2. Suporte a um Framework de Segurança Zero Trust

O Problema
O trabalho remoto, IoMT como o monitoramento remoto de pacientes (RPM) e o aumento de endpoints tornam obsoletos os modelos tradicionais de segurança na área da saúde. Abordagens de segurança baseadas em perímetro não são suficientes para impedir agentes mal-intencionados. As organizações de saúde precisam de uma abordagem moderna de segurança, na qual a confiança implícita não seja mais concedida, mas continuamente avaliada com identidade moderna.

Para complicar ainda mais, a falta de visibilidade no gerenciamento de identidades também cria pontos cegos organizacionais significativos na compreensão e no controle do acesso de usuários em todo o ambiente de TI. Essa ausência de supervisão pode levar a anomalias de acesso não detectadas, privilégios não autorizados e maior vulnerabilidade a vetores de ataque, como ameaças internas.

A Solução
Elimine a complexidade para alcançar o Zero Trust com a Ping Identity Platform, integrando novas soluções de fornecedores com facilidade, aumentando a supervisão de acesso em toda a organização e incorporando metodologias de gerenciamento de acesso best-of-breed. Por exemplo, as soluções de autenticação multifator (MFA), autenticação sem senha e single sign-on (SSO) da Ping Identity garantem acesso seguro a PHI, ajudando as organizações a atender aos padrões de controle de acesso e proteção de dados da HIPAA. A autorização dinâmica e o controle de acesso granular também garantem acesso seguro e em conformidade a sistemas de TI híbridos, apoiando as disposições de privacidade e segurança da HITECH. Além disso, ferramentas avançadas de monitoramento e recursos de integração ajudam as organizações de saúde a detectar e responder a atividades suspeitas, apoiando os requisitos de monitoramento contínuo e melhoria descritos na NIST SP 800-83.

Com a Ping Identity, você pode:

• Estabelecer a identidade como o novo perímetro
• Simplificar a integração de fornecedores na jornada rumo ao Zero Trust
• Facilitar a adoção de novas tecnologias Zero Trust com centenas de serviços pré-integrados de terceiros e workflows prontos para uso
• Obter supervisão abrangente do gerenciamento de identidades para visibilidade centralizada e controle de segurança

Principais Capacidades de Zero Trust a Considerar

item-1-icon

item-1-icon-alt

ícone decorativo

item-1-title

1. Autenticação Multifator (para todos os tipos de usuários)

item-1-description

A Autenticação Multifator (MFA) aumenta a segurança ao exigir que consumidores, funcionários e parceiros forneçam formas adicionais de identificação, como uma senha e uma impressão digital ou um token de segurança. Essa abordagem em camadas garante que, mesmo que uma credencial seja comprometida, o acesso não autorizado ainda seja impedido sem os outros fatores necessários.

A implementação de MFA pode fortalecer significativamente a segurança dentro de um framework de zero trust, o que é crucial para proteger dados sensíveis. Ao exigir múltiplas credenciais específicas do usuário, a MFA dificulta consideravelmente as tentativas de hackers. Eles precisariam contornar várias camadas de segurança, como uma senha, uma verificação biométrica e um token físico de segurança, tornando a entrada não autorizada exponencialmente mais difícil. Esse nível elevado de segurança é essencial para proteger informações de saúde e manter conformidade com rigorosos padrões regulatórios.

item-2-icon

item-2-icon-alt

ícone decorativo

item-2-title

2. Autenticação sem Senha (para todos os tipos de usuários)

item-2-description

A autenticação baseada em senha apresenta alto risco e não oferece uma ótima experiência ao usuário. A autenticação sem senha é uma forma de consumidores, funcionários e parceiros da área da saúde acessarem contas digitais sem utilizar senha, aprimorando tanto a segurança quanto a experiência do usuário. Senhas tradicionais, conhecidas como "fatores de conhecimento", são vulneráveis a compartilhamento, armazenamento inseguro, phishing e malware. A autenticação sem senha elimina esses riscos ao depender de "fatores de posse" (algo que o usuário possui, como um dispositivo móvel) ou "fatores de inerência" (algo que o usuário é, como uma impressão digital). Essa abordagem não apenas melhora a segurança ao remover os riscos associados às senhas, mas também aprimora a experiência do usuário ao eliminar a necessidade de lembrar e inserir senhas. Além disso, reduz a carga e os custos de TI associados ao gerenciamento de senhas e às chamadas ao help desk para redefinição de senhas, oferecendo um método de autenticação mais eficiente e seguro para organizações de saúde.

item-3-icon

item-3-icon-alt

ícone decorativo

item-3-title

3. Single Sign-On

item-3-description

Single Sign-On (SSO) é um processo de autenticação que permite aos usuários acessar múltiplos sistemas e aplicações de TI com um único conjunto de credenciais de login. Ao permitir que os usuários façam login uma única vez e obtenham acesso contínuo a todos os sistemas integrados, o SSO simplifica a experiência do usuário e aumenta a produtividade, pois não é necessário lembrar e gerenciar várias senhas. Esse mecanismo de acesso unificado não apenas melhora a segurança ao reduzir o risco de violações relacionadas a senhas, mas também permite que administradores de TI gerenciem e apliquem políticas de segurança de forma centralizada em sistemas diversos. Ao utilizar protocolos de federação de identidade como SAML, OAuth e OpenID Connect, o SSO facilita a integração de sistemas de TI distintos, criando um ambiente de autenticação coeso e eficiente.

item-4-icon

item-4-icon-alt

ícone decorativo

item-4-title

4. Verificação de Endpoint

item-4-description

A verificação de endpoint é uma prática de segurança crítica em uma estratégia zero trust para o setor de saúde, garantindo que cada endpoint seja controlado pela pessoa apropriada. Isso envolve tanto o usuário quanto o endpoint apresentando credenciais à rede, adicionando uma camada extra de autenticação. Os usuários devem se autenticar antes de acessar qualquer endpoint, e cada endpoint também deve se autenticar antes de obter acesso à rede. A rede envia uma solicitação de verificação ao dispositivo, solicitando que o usuário responda. Os dados recebidos são usados para determinar a validade do endpoint, e a verificação bem-sucedida concede ao dispositivo o status de "confiável". O Unified Endpoint Management (UEM) centraliza o gerenciamento da infraestrutura de TI ao fornecer um único conjunto de ferramentas para gerenciar diversos endpoints. Além disso, o Endpoint Detection and Response (EDR) aumenta a segurança ao escanear continuamente os endpoints, identificar ameaças e tomar as ações necessárias para proteger o dispositivo e a rede, funcionando de forma semelhante a um antivírus avançado. Essa abordagem abrangente é essencial para manter uma segurança robusta e proteger dados sensíveis de pacientes em ambientes de saúde.

item-5-icon

item-5-icon-alt

ícone decorativo

item-5-title

5. Acesso com Privilégio Mínimo

item-5-description

No setor de saúde, adotar um modelo zero trust com acesso de privilégio mínimo é crucial para proteger dados sensíveis de pacientes e infraestruturas críticas. Essa abordagem garante que usuários e dispositivos recebam acesso apenas aos recursos necessários para suas tarefas específicas, reduzindo significativamente os possíveis pontos de entrada para hackers. Ao limitar o acesso dessa forma, as organizações de saúde podem dificultar a infiltração de usuários não autorizados em seus sistemas. Além disso, a implementação de acesso com privilégio mínimo pode gerar economia de tempo e recursos ao minimizar a necessidade de extensas medidas de autenticação multifator, reduzindo assim o volume de credenciais que precisam ser emitidas e gerenciadas. Isso não apenas aumenta a segurança, mas também otimiza a eficiência operacional, permitindo que os prestadores de serviços de saúde se concentrem mais no atendimento ao paciente.

item-6-icon

item-6-icon-alt

ícone decorativo

item-6-title

6. Controle de Acesso Granular

item-6-description

O controle de acesso granular é uma abordagem de segurança que permite o gerenciamento preciso e detalhado das permissões de usuários, garantindo que o acesso aos recursos seja concedido com base em atributos específicos e fatores contextuais. Diferentemente do controle de acesso de granularidade ampla, que normalmente concede acesso abrangente com base em funções ou grupos, o controle granular avalia uma série de critérios, como funções do usuário, o recurso acessado, a ação realizada e o contexto da solicitação (por exemplo, horário, localização, dispositivo). Esse método aumenta a segurança ao aplicar políticas rigorosas e reduzir o risco de acesso não autorizado, garantindo que os usuários tenham apenas as permissões mínimas necessárias para desempenhar suas tarefas.

item-7-icon

item-7-icon-alt

ícone decorativo

item-7-title

7. IoMT / Segurança de Edge

item-7-description

A segurança de edge é fundamental para a gestão eficaz da Internet das Coisas Médicas (IoMT), como dispositivos de Monitoramento Remoto de Pacientes (RPM). Esses dispositivos, que operam na borda da rede, coletam e transmitem dados sensíveis e devem ser gerenciados com segurança para evitar violações. Implementar segurança de edge garante que cada dispositivo seja autenticado e autorizado antes de obter acesso à rede, protegendo assim as informações dos pacientes. Recursos como registro automático de dispositivos e autenticação zero-touch simplificam esse processo, assegurando que apenas dispositivos verificados possam se conectar à rede de saúde. Além disso, recursos de gerenciamento de configuração e gerenciamento de certificados permitem que os provedores de saúde mantenham protocolos de segurança atualizados em todos os dispositivos, inclusive aqueles em locais remotos com conectividade intermitente. Ao tratar dispositivos IoMT como identidades de primeira classe dentro de uma plataforma de identidade abrangente, as organizações de saúde podem garantir segurança robusta, aprimorar o atendimento e manter conformidade com rigorosos padrões regulatórios.

3. Previna fraudes sem impactar a experiência

O problema

O setor de saúde está sob ameaça constante de fraudadores que usam dados de identidade roubados ou sintéticos para criar novas contas ou assumir contas existentes (chamado de Account Takeover ou ATO). ATO ocorre quando fraudadores usam credenciais comprometidas para fazer login em um aplicativo ou serviço online se passando por um cliente legítimo. Uma vez dentro, podem roubar PII, PHI, informações de cartão de pagamento e/ou pontos de fidelidade, no caso de varejistas de saúde. Também podem iniciar transações, usar informações de pagamento armazenadas, transferir saldos para suas próprias contas e muito mais.

O resultado da fraude inclui danos reputacionais e financeiros, além de uma experiência terrível para o usuário legítimo cujas credenciais foram comprometidas.

Infelizmente, as medidas antifraude geralmente envolvem adicionar fricção às sessões dos usuários, e esforços rigorosos de prevenção a fraudes podem ser bloqueados por equipes de experiência digital que se preocupam com os impactos negativos de uma experiência ruim.

A solução
A Ping Identity ajuda você a combater o account takeover, o acesso não autorizado e a fraude em novas contas ao integrar a prevenção de fraudes diretamente à jornada do usuário. Incorpore fricção quando e onde for necessário, criando jornadas adaptativas que avaliam e atuam sobre sinais de risco sem frustrar usuários legítimos com etapas de segurança excessivas.

Com a Ping Identity, você pode:

• Detectar e prevenir account takeovers e fraudes em novas contas
• Interromper fraudadores logo no início, antes que possam causar danos
• Reduzir fricção desnecessária para clientes legítimos
• Obter visibilidade sobre a postura e as tendências de risco e fraude
• Aproveitar ao máximo suas ferramentas de fraude existentes

Principais recursos de prevenção a fraudes a considerar

item-1-icon

item-1-icon-alt

ícone decorativo

item-1-title

1. Verificação de identidade

item-1-description

A verificação de identidade é o processo de confirmar que uma pessoa é quem afirma ser no momento do registro e/ou durante a autenticação. O objetivo é prevenir fraudes e garantir que apenas as pessoas certas possam registrar uma nova conta e acessar determinados serviços ou informações. Para eliminar o abandono por parte do usuário, esse processo deve ser rápido e simples. A verificação de identidade pode ser otimizada usando uma combinação de Mobile Match (MM) e Dynamic Knowledge Based Authentication (KBA) para alcançar até 95% de taxa de verificação. A verificação de documentos, o processo de validar a autenticidade de um documento de identidade do usuário, como passaporte ou carteira de motorista, e biometria de voz podem ser adicionadas para maior garantia.

item-2-icon

item-2-icon-alt

ícone decorativo

item-2-title

2. Biometria comportamental

item-2-description

À medida que as ameaças cibernéticas no setor de saúde se tornam mais sofisticadas, medidas tradicionais de segurança, como PINs, estão se tornando menos eficazes. A biometria comportamental, que analisa gestos humanos interativos, como a forma como seguramos nossos dispositivos, padrões de rolagem e dinâmica de digitação, está emergindo como uma ferramenta poderosa para diferenciar usuários legítimos de fraudulentos. Esses microgestos são únicos para cada indivíduo e difíceis de replicar, tornando-os uma forma eficaz de sinalizar atividades suspeitas. Quando o comportamento de um profissional de saúde se desvia de seu padrão estabelecido ou se assemelha ao de um bot, as ferramentas digitais podem detectar isso e solicitar verificação adicional, aumentando a segurança e protegendo dados sensíveis dos pacientes.

item-3-icon

item-3-icon-alt

ícone decorativo

item-3-title

3. Detecção e gerenciamento de bots

item-3-description

Muitos bots são projetados para causar danos, mas nem todos são maliciosos. No setor de saúde, por exemplo, bots legítimos são usados para automatizar tarefas administrativas, gerenciar o engajamento de pacientes e analisar dados médicos. Ferramentas de detecção e gerenciamento de bots visam distinguir entre bots bons e ruins, determinando quais podem acessar sistemas de saúde. Essa capacidade é crítica: tão importante quanto bloquear bots maliciosos que realizam atividades como violações de dados ou interrupções de sistemas, também é permitir bots benéficos que aumentam a eficiência operacional e o atendimento ao paciente. Ferramentas de detecção e gerenciamento de bots usam machine learning e inteligência de ameaças para diferenciar usuários humanos, bots bons e bots maliciosos, prevenindo efetivamente atividades fraudulentas como roubo de dados e acesso não autorizado a informações de pacientes.

item-4-icon

item-4-icon-alt

ícone decorativo

item-4-title

4. Device ID

item-4-description

A identificação de dispositivos no setor de saúde concentra-se nos dispositivos, e não nos usuários. Informações como tipo de dispositivo, endereço IP, fuso horário local e idioma do navegador formam uma "impressão digital" que ajuda a detectar fraudes. Por exemplo, se um dispositivo específico estiver vinculado a várias contas tentando acessar registros de pacientes, as ferramentas de Device ID podem sinalizar isso como atividade potencialmente fraudulenta. As vantagens de usar ferramentas de Device ID na área da saúde incluem não exigir dados pessoais do usuário e a capacidade de bloquear fraudadores recorrentes com base no dispositivo que usaram anteriormente. Isso aumenta a segurança ao impedir o acesso não autorizado a informações sensíveis de pacientes e garantir conformidade com padrões regulatórios.

item-5-icon

item-5-icon-alt

ícone decorativo

item-5-title

5. Ferramentas de autorização

item-5-description

No setor de saúde, após autenticar os usuários, as organizações concedem diferentes níveis de acesso aos seus sistemas usando ferramentas de autorização. Essas ferramentas utilizam configurações e parâmetros definidos pelas equipes de segurança e tokens de acesso para permitir ou negar ações dos usuários. Enquanto algumas ferramentas se concentram exclusivamente na autorização, outras integram recursos de autenticação e autorização. Ao implementar essas ferramentas, os provedores de saúde podem gerenciar acesso e permissões tanto para usuários externos quanto para equipes internas. Ferramentas avançadas de autorização, conhecidas como attribute-based access control (ABAC) ou externalized authorization management (EAM), superam métodos tradicionais ao permitir a avaliação de qualquer conjunto de dados e a aplicação de decisões baseadas em políticas sobre ações permitidas, aumentando assim a segurança e a conformidade nas operações de saúde.

4: Eleve o nível de Identity Governance and Administration (IGA)

O problema
Segundo a Morningstar, 55% das organizações de saúde permitem que funcionários acessem mais dados do que o necessário para suas funções.16 Além disso, um número significativo de ataques contra grandes organizações de saúde tem origem em engenharia social e outros vetores de ameaça internos. Agentes mal-intencionados buscam explorar vulnerabilidades nas políticas de acesso de colaboradores, contratados e parceiros.

A solução
A solução de IGA da Ping Identity ajuda organizações de saúde a mitigar ameaças internas comuns ao longo de todo o ciclo de vida de identidade de colaboradores, contratados e parceiros, além de aplicar o princípio de menor privilégio como parte de uma estratégia geral de segurança zero trust. Esses recursos também permitem que as organizações cumpram as exigências da HIPAA para proteger a confidencialidade, integridade e disponibilidade de protected health information (PHI), com governança de identidade que controla quem tem acesso à PHI e em quais condições.

Com a Ping Identity, você pode:

• Reduzir vulnerabilidades de acesso com segurança reforçada em todas as solicitações de acesso de colaboradores, contratados e parceiros, eliminando processos manuais propensos a erros.
• Automatizar a engenharia e a governança de funções, juntamente com solicitações de acesso self-service, para reduzir os custos de acesso da força de trabalho.
• Alcançar uma compreensão completa de todos os seus cenários e necessidades de provisionamento de identidade, administração, conformidade e gestão de acesso de funcionários em toda a organização.
• Identifique comportamentos anômalos antes que representem uma ameaça e habilite soluções para identificar proativamente riscos de acesso e destacar privilégios excessivos.
• Aproveite as identidades da força de trabalho para fortalecer a segurança em toda a empresa no perímetro.

Principais Recursos de IGA a Considerar

item-1-icon

item-1-icon-alt

ícone decorativo

item-1-title

1. Suporte a Aplicações Legadas

item-1-description

No setor de saúde, muitas organizações dependem de sistemas e aplicações legadas que armazenam dados críticos de usuários e credenciais. Uma plataforma de Identity Governance and Administration (IGA) deve gerenciar o ciclo de vida do usuário e garantir governança para essas aplicações a fim de manter conformidade e segurança. Isso é alcançado por meio do suporte tanto a conectores de aplicações legadas quanto a conectores baseados em padrões. Oferecer suporte a aplicações legadas permite que organizações de saúde ampliem seus investimentos existentes, aumentando assim o ROI e reduzindo custos sem a necessidade de grandes reformulações de sistemas. Isso garante que dados críticos permaneçam seguros e em conformidade com normas regulatórias.

item-2-icon

item-2-icon-alt

ícone decorativo

item-2-title

2. Segregação de Funções

item-2-description

No setor de saúde, a segregação de funções, combinada com a capacidade de agendar avaliações de políticas, permite que as organizações examinem proativamente todos os dados de identidade para detectar contas irregulares ou acessos inadequados de usuários. A automação da aplicação de políticas reduz os riscos de acesso à segurança e garante conformidade regulatória em toda a organização. Essa abordagem proativa ajuda os provedores de saúde a manter a integridade e a segurança de dados sensíveis, ao mesmo tempo em que cumprem rigorosos padrões regulatórios.

item-3-icon

item-3-icon-alt

ícone decorativo

item-3-title

3. Mineração de Papéis

item-3-description

A mineração de papéis é um processo crítico dentro da Identity Governance que analisa automaticamente permissões e atividades de usuários para identificar padrões comuns. Ao revelar esses padrões, a mineração de papéis ajuda organizações de saúde a criar estruturas de controle de acesso mais eficientes e seguras. Essa abordagem proativa aprimora a conformidade, simplifica o acesso de usuários e mitiga riscos de segurança ao alinhar permissões a funções e responsabilidades específicas de trabalho, garantindo que profissionais de saúde tenham o acesso adequado a dados e recursos sensíveis, mantendo segurança robusta e conformidade regulatória.

item-4-icon

item-4-icon-alt

ícone decorativo

item-4-title

4. Arquitetura Orientada à Segurança

item-4-description

Para atender de forma eficaz aos requisitos de segurança de grandes organizações de saúde, uma solução de governança de identidade deve oferecer mais do que apenas criptografia e certificações do setor. Ela deve disponibilizar recursos diferenciados em nível de arquitetura e plataforma, como isolamento de tenant e soberania de dados, para mitigar problemas comuns de plataformas em nuvem, como vizinhos curiosos e ruidosos. Esses recursos garantem que dados sensíveis permaneçam seguros e em conformidade com regulamentações do setor de saúde, mantendo privacidade robusta e integridade operacional em toda a organização.

item-5-icon

item-5-icon-alt

ícone decorativo

item-5-title

5. Análise de Identidade com AI/ML

item-5-description

Os recursos de análise de identidade fornecem insights valiosos sobre o comportamento do usuário e padrões de acesso, essenciais para gerenciar o grande volume de dados de identidade e acesso gerado por grandes organizações de saúde. Métodos tradicionais de análise são inadequados para lidar com esse volume de dados, tornando essenciais mecanismos especializados de AI e machine learning (ML). Esses sistemas avançados são ajustados para reconhecimento rápido de padrões e podem atribuir níveis de confiança, além de fornecer explicações detalhadas ao sinalizar determinados acessos ou usuários como fora do padrão, garantindo decisões precisas e bem fundamentadas. AI e ML elevam a Identity Governance ao identificar rapidamente outliers em grandes conjuntos de dados. Essas tecnologias geram níveis de confiança para auxiliar gestores e aprovadores na realização eficiente de revisões e aprovações de acesso. Plataformas modernas de IAM que integram AI e ML para identidade e IGA aumentam significativamente a eficiência, permitindo que equipes de TI e aprovadores de acesso se concentrem em direitos de acesso identificados como arriscados ou anômalos. Isso resulta em maior segurança e redução da carga administrativa, promovendo, em última análise, um ambiente de saúde mais seguro e em conformidade.

5. Seja um Adotante Inicial de Identidade Descentralizada

O Problema
A fraude de identidade no setor de saúde é generalizada, causando perdas financeiras substanciais e aumentando os custos de verificação de identidade. Os esforços atuais para mitigar riscos, aliados às exigências regulatórias, dificultam a agilidade dos negócios. Consumidores, colaboradores e parceiros da área da saúde enfrentam verificações de identidade demoradas, inserção repetitiva de dados e desafios relacionados ao compartilhamento seguro de informações de identidade verificadas, o que frequentemente envolve processos manuais e integrações complexas. Além disso, dados fragmentados espalhados por diversos sistemas dificultam o compartilhamento seguro de informações e o controle do consumidor sobre seus dados pessoais. E repositórios de dados centralizados são vulneráveis a violações, colocando informações sensíveis de saúde em risco.

A Solução
Os pilares fundamentais da identidade descentralizada (DCI) incluem verificação de identidade, credenciais digitais reutilizáveis e tecnologia de carteira digital. Organizações de saúde podem aproveitar identidade descentralizada e credenciais verificáveis para atender a uma ampla gama de casos de uso de consumidores, colaboradores e parceiros.

DCI oferece aos indivíduos controle sobre suas próprias identidades digitais sem depender de uma autoridade central. Essa abordagem utiliza identificadores descentralizados (DIDs) e credenciais verificáveis, permitindo que os usuários criem, gerenciem e compartilhem suas informações de identidade diretamente com um provedor de serviços. Por meio de chaves criptográficas, os indivíduos podem verificar suas credenciais e comprovar sua identidade para terceiros sem a necessidade de uma entidade intermediária para autenticar as informações. Isso aumenta a privacidade, a segurança e a autonomia do usuário, reduzindo o risco de violações de dados e acesso não autorizado a informações pessoais.

Com a Ping Identity, você pode:

• Reduzir a possibilidade de fraude em transações e fraude de identidade ao verificar instantaneamente identidade, autenticidade, precisão da emissão e integridade dos dados no momento da apresentação.
• Permitir que os usuários compartilhem apenas os atributos de identidade necessários para uma transação específica, como confirmação de idade em vez da data de nascimento.
• Coletar, armazenar e proteger apenas os dados de usuário necessários, eliminando informações sensíveis que são alvo de agentes mal-intencionados.
• Facilitar a interoperabilidade com terceiros ao fornecer um padrão comum para gerenciamento de identidade usando credenciais verificáveis.
• Usar DCI para cumprir regulamentações como HIPAA, TEFCA e o 21st Century Cures Act

Principais Recursos de DCI a Considerar

item-1-icon

item-1-icon-alt

ícone decorativo

item-1-title

1. Verificação de Identidade

item-1-description

A verificação de identidade confirma que a identidade online de um usuário corresponde à sua identidade real, utilizando documentos como carteira de motorista ou passaporte. Esse processo assegura às organizações de saúde que as pessoas que interagem com seus negócios são quem dizem ser, e não impostores ou bots automatizados. A verificação de identidade é comumente utilizada em interações iniciais com novos usuários, como durante a criação de conta ou envio de solicitações, ou antes de fornecer ao usuário credenciais digitais seguras e reutilizáveis.

item-2-icon

item-2-icon-alt

ícone decorativo

item-2-title

2. Credenciais Verificáveis

item-2-description

Uma credencial verificável (VC) é a versão digital de uma credencial física, como carteira de motorista ou diploma, que pode ser armazenada e apresentada eletronicamente com segurança. Ela é inviolável e pode ser verificada instantaneamente devido às suas assinaturas criptográficas. VCs permitem que indivíduos comprovem sua identidade, qualificações ou outros atributos sem revelar informações pessoais desnecessárias, aumentando a privacidade e o controle sobre seus dados. Para organizações de saúde, firmar parceria com um provedor de IAM que ofereça credenciais verificáveis é essencial para manter a integridade e a confiabilidade das identidades digitais. Isso garante que colaboradores, prestadores, parceiros e consumidores possam apresentar e autenticar suas credenciais de forma eficiente e segura. O uso de credenciais verificáveis reduz o risco de fraude, simplifica processos administrativos e aumenta a conformidade com requisitos regulatórios.

item-3-icon

item-3-icon-alt

ícone decorativo

item-3-title

3. Captura de Consentimento

item-3-description

Captura de Consentimento é o processo de obter e documentar a concordância ou permissão explícita de um usuário para uma ação ou finalidade específica. Nesse modelo, o consentimento explícito do titular da credencial é necessário para compartilhar uma credencial verificável, garantindo que o indivíduo mantenha o controle sobre suas informações pessoais. Além disso, credenciais verificáveis oferecem consentimento seletivo, permitindo que o titular compartilhe apenas atributos de identidade específicos que autoriza. Esse processo aumenta a privacidade e a segurança, proporcionando aos usuários maior autonomia sobre seus dados de identidade, ao mesmo tempo em que garante conformidade com requisitos regulatórios e promove confiança em interações digitais.

item-4-icon

item-4-icon-alt

ícone decorativo

item-4-title

4. Gerenciamento Centralizado do Ciclo de Vida

item-4-description

Gerencie todo o ciclo de vida das credenciais, da definição à revogação, a partir de um único console de gerenciamento. Assim como uma credencial física, credenciais digitais verificáveis também podem ter uma data de expiração ou ser revogadas. A revogação de identidade descentralizada ocorre em tempo real. Dessa forma, os Verifiers sempre sabem se o emissor decidiu que os dados expiraram ou se o usuário removeu o consentimento para o uso dos dados.

item-5-icon

item-5-icon-alt

ícone decorativo

item-5-title

5. Inspeção Automatizada de ID

item-5-description

A Inspeção Automatizada de ID refere-se ao processo de verificação automática da autenticidade de documentos de identificação utilizando tecnologias avançadas. A solução da Ping Identity se destaca nessa área por ser capaz de autenticar mais de 3.000 tipos de IDs de cerca de 200 países. Essa solução vincula identidades verificadas a um dispositivo, a uma aplicação e a uma presença física, garantindo um processo robusto e seguro de verificação de identidade. A Inspeção Automatizada de ID aumenta a confiança e a segurança ao reduzir o risco de fraude e otimizar o processo de verificação, tornando-se especialmente valiosa para organizações de saúde que precisam gerenciar com segurança as identidades de pacientes, prestadores e colaboradores.