IoT na Saúde: A sua segurança não é exatamente o que o doutor receitou!

IoT na Saúde: A sua segurança não é exatamente o que o doutor receitou!

NÃO SE ASSUSTE! Ok, você pode se assustar um pouco, é normal! Riscos em IoT (internet das coisas) não é exatamente uma novidade, mas marca-passos, bombas de insulina, desfibriladores e qualquer outro tipo de equipamento médico inteligente e interconectado representam uma das mais atemorizantes fontes de ameaça no cenário atual de cibersegurança.

A preocupação mais óbvia é com a proteção do paciente que pode ser vítima, por exemplo, de uma bomba de insulina hackeada, usada para dispensar uma dose literalmente fatal, ai não tem backup que dê jeito. A segunda grande preocupação é com a infraestrutura tecnológica de grandes hospitais e centros de saúde, que se tornam cada vez mais vulneráveis devido a quantidade de conexões, usualmente inseguras, de hardware médico embarcado com uma infinidade de sensores e monitores.

Iot, Cibersegurança e medicina

IoT na medicina: Estamos seguros?

Esse tipo de conexão insegura pode muito bem ser usado como uma porta de entrada para disseminação de códigos maliciosos ou sequestro de informações sensíveis como, por exemplo, registros médicos. Por enquanto ainda não existem registros de ciberataques fatais a pacientes, mas em 2016 não faltou exemplo de hospitais comprometidos com ransomwares.

Como esse cenário não é novo, seguimos com a vã esperança que as empresas que fabricam dispositivos médicos estejam atentas as boas práticas de cibersegurança. Preciso mesmo dizer que isso ainda não acontece? Pois é.

O atual nível de exposição de equipamento médico é bem fácil de ser comprovado. Faça uma busca simples no Shodan usando termos como “cardiologia” ou “radiologia”. É bem fácil encontrar alguns exemplos aqui do Brasil. Se você expandir a busca para termos em inglês, bem é estimado que pelo menos 40.000 equipamentos americanos estejam expostos atualmente. É difícil acreditar que todos sejam realmente seguros.

Iot, Cibersegurança e medicina

Shodan.io: Busca por cardiologia

Iot, Cibersegurança e medicina

Shodan.io: Busca por radiologia

Acredito que nem todo mundo pense em uma máquina de tomografia ou equipamentos similares como plataforma de  disseminação de um ataque, mas quando você descobre que uma parte significativa desses equipamentos ainda usa sistemas operacionais como Windows XP ou Windows Server 2003, fica fácil imaginar por que ataques como o MedJack usavam malware literalmente ancião para atacar especificamente dispositivos hospitalares.

Para o ambiente corporativo hospitalar a solução é bem conhecida, razoavelmente simples, mas talvez não seja algo exatamente fácil de implantar. Com um bom programa de gestão de riscos, você pode identificar todos os equipamentos vulneráveis e quais seriam os tratamentos adequados. O problema vai ser conseguir o apoio de fabricantes para o desenvolvimento de atualizações e correções.

Se o sequestro de informações médicas já é algo extremamente delicado, imagine que um cracker literalmente “roubou” seu coração marca-passo e está exigindo uma “doação” de bitcoins nas próximas horas para não te enviar um ataque cardíaco remoto? Não é uma situação nada agradável. Acesso wireless, monitoramento remoto, NFC, são todas conveniências que beneficiam o paciente, permitem que profissionais de saúde façam ajustes sem procedimentos invasivos, mas sem proteção adequada, se tornam pontos de alta exposição que podem literalmente acabar com vidas.

E quando o alvo for você? Será que é sensato confiarmos nossa existência aos escassos controles de segurança dos equipamentos médicos inteligentes instalados em nosso frágil e já debilitado corpo? Pelo menos por enquanto, não consigo acreditar que seja uma boa ideia. Que tal um pouco de Segurança em Camadas?

Iot, Cibersegurança e medicina

Seu corpo, suas regras de segurança!

Gestão de Continuidade de Negócios x Plano de Recuperação de Desastres: Entenda a diferença!

MESMO HOJE, ALGUNS PROFISSIONAIS AINDA CONFUNDEM CONTINUIDADE DE NEGÓCIOS COM RECUPERAÇÃO DE DESASTRES.

O Plano de Recuperação de Desastres (PRD) visa restaurar, o mais rápido possível e mesmo com desempenho reduzido, a TIC que sustenta processos críticos do negócio. O PRD só é concluído quando tudo já foi completamente recuperado e a empresa pode voltar ao seu “estado de normalidade”.

Mesmo entendendo que a maioria dos processos de negócio são dependentes da TIC, existem outros componentes que são essenciais a uma boa Gestão de Continuidade de Negócios (GCN). Esse é o caso com o Plano de Comunicação em Crise, que define pontos vitais como: A forma como a organização deve se comunicar, o tom da mensagem e quem deve estar a frente da comunicação. Tudo isso de acordo com o nível/tipo de crise.

PRD - Plano de Recuperação de Desastres, PCO - Plano de Contingencia Operacional, PCOM - Plano de Comunicação, PGC - Plano de Gestão de Crises
PRD – Apenas uma parte da Gestão de Continuidade

Ainda ontem um dos meus alunos de uma turma do curso CISA em BSB me perguntou: O que acontece quando a empresa faz um “Plano de Continuidade” somente para TIC?

Bem, a resposta é obvia, sua Gestão de Continuidade de Negócios – reduzida exclusivamente ao PRD – fica míope. Cuidado apenas de um aspecto, mesmo dos mais relevantes, parte significativa dos riscos/impactos a organização não será tratada, e seu resultado para o negócio pode ser catastrófico.

Para fechar o exemplo, perguntei: “O que a TIC pode fazer, no caso de uma crise como a da Ellus, que lançou uma campanha estratégica com o tema “ABAIXO ESTE BRASIL ATRASADO“, e foi imediatamente detonada quando um colunista do Estadão lembrou que – apesar da marca considerar o governo culpado pelo atraso do Brasil – a Ellus é acusada de utilizar mão de obra escrava em sua produção?”

O que a TI pode fazer neste cenário de crise? Praticamente NADA. No máximo se preparar para eventuais ataques de hacktivistas. A campanha segue amplamente difundida em vários sites, associando a marca ao trabalho escravo. Acho que esse não era o objetivo inicial da turma do marketing!

Eis o provável resultado quando se limita a GCN apenas ao Plano de Recuperação de Desastres. Não custa nada lembrar que no mundo corporativo, crises são inevitáveis. O quão preparado você está, incluindo a abrangência em todos os aspectos de Continuidade, é que vai definir o nível de impacto para sua organização, e até a sobrevivência da mesma.

Malaysia Airlines: Comunicação em crise – COMO NÃO FAZER!

Começar um artigo com um tema sensível, o desaparecimento do voo MH370 da Malaysia Airlines, com uma piada (de mau gosto) do Joãozinho talvez não seja a coisa mais sensata. Entretanto, garanto que a realidade consegue ter um humor ainda mais ácido.

malaysia-airlines-boeing-777

A tal Piada do Joãozinho

“Conta-se que ambos os pais do Joãozinho morreram subitamente em um acidente de carro. Como estava no horário de aula, coube a Professora dar a infeliz notícia.

Sem saber como proceder, falou a todos os alunos:

– Quem tiver os pais vivos, por favor, fique de pé

Ao que prontamente seguiu:

– Não Joãozinho, você pode ficar sentado.”

Uma boa Comunicação é talvez uma das mais importantes disciplinas dentro da Gestão de Crises, e a forma escolhida pela Malaysia Airlines me faz pensar que talvez a Professora do Joãozinho tenha passado alguns anos ministrando cursos no exterior.

Comunicação em Crise

Desde o dia 8 de março, quem acompanha a ampla cobertura midiática teve oportunidade de ver a angustia dos parentes de passageiros e tripulantes do MH370. Sem informações conclusivas, famílias ficavam presas entre um fio de esperança e o amargor do fatalismo.

Apesar das inúmeras teorias conspiratórias (Sequestro, Terrorismo, NSA, Illuminati, Aliens, LOST, dentre outras), após amplas investigações os fatos apontam – além de qualquer dúvida razoável – que o Boeing 777 caiu ao sul do Oceano Índico, sem chances de sobreviventes dentre as 239 pessoas a bordo.

ALIENS

No que pode ser considerado um dos piores momentos na Comunicação em Crise, a Malaysia Airlines resolveu divulgar a confirmação da morte de todos os passageiros do vôo MH370 aos seus familiares através de uma mensagem de texto (SMS):

“A Malaysia Airlines lamenta profundamente admitir que, acima de qualquer dúvida razoável, o voo MH370 foi perdido e nenhum dos que estava a bordo sobreviveram. Conforme você ouvirá daqui à uma hora do Primeiro-Ministro da Malásia, devemos agora aceitar que todas as evidências confirmam de que o avião caiu ao sul do Oceano Índico.”

Comunicação fria e sem tato. Imagine ser um familiar e receber esse SMS.
Comunicação fria e sem tato. Imagine ser um familiar e receber esse SMS.

Mesmo considerando uma ampla diferença cultural, a frieza e completa falta de tato demonstra o total despreparo da equipe responsável. A provável urgência e ansiedade em notificar os principais afetados pelo desastre, não são justificativas plausíveis para agir de um modo que beira o descaso.

Espero sinceramente que a professora do Joãozinho não faça escola, e que Gestores de Crise e Comunicação entendam melhor o impacto negativo que uma mensagem pode ter tanto para sua organização, quanto na vida das pessoas afetadas.

O vôo 370 seguia de Kuala Lumpur para Beijing com 239 pessoas a bordo e desapareceu no dia 8 de março. Embora existam fortes indícios de uma tentativa de sequestro, a causa do desvio da rota e do acidente ainda não foi completamente esclarecida. As últimas notícias apontam o avistamento de 122 objetos que seriam vestígios do avião. As operações de busca continuam.

O incêndio da Boate Kiss em Santa Maria e o preço de sermos reativos

O incêndio da Boate Kiss em Santa Maria e o preço de sermos reativos

O incêndio ocorrido no último domingo (27) na boate Kiss em Santa Maria/RS foi um desastre que chocou todo o Brasil. Naturalmente o assunto recebeu todos os holofotes da mídia focados especialmente na série de falhas que levaram a uma quantidade intolerável de fatalidades de jovens e universitários.

As estatísticas assustam ainda mais quando comparamos com outros incidentes desastrosos como no caso do naufrágio do  transatlântico Costa Concórdia em 2012 quando foram vitimados um total de 34 pessoas.

Incêndio Boate Kiss (19,67% de fatalidades) e Naufrágio Costa Concórdia (0,68% de fatalidades)
Incêndio Boate Kiss (19,67% de fatalidades) e Naufrágio Costa Concórdia (0,68% de fatalidades)

Obviamente qualquer número de fatalidades é inaceitável, mas a taxa de mortalidade é assustadoramente maior na boate Kiss: 19,67% de um total estimado em 1200 pessoas enquanto no Costa Concórdia apenas 0,68% de um total de aproximadamente 5.000 entre passageiros e tripulação.

A tragédia que tem o maior número de mortos nos últimos 50 anos no Brasil e já é considerada a terceira mais fatal em boates no mundo levou a uma série de questionamentos e enquanto alguns pontos são quase uma piada de mau gosto como recomendar aos pais inspecionar o local para onde seus filhos saem, também estamos presenciando uma série de ações em diversas cidades para evitar que outro incidente similar ocorra.

É o que está acontecendo no Rio de Janeiro onde de acordo com a reportagem veiculada hoje (01/02) no Bom dia Brasil da TV Globo,  serão fechados ‘preventivamente’ todos os espaços culturais como teatros e museus que estavam funcionando sem autorização dos bombeiros.

É interessante apontar que a maior parte dos mais de 30 estabelecimentos fechados são administrados diretamente pelo governo e prefeitura do estado e que boa parte das autorizações estão vencidas desde 2008 e 2009.

Mais incessante ainda é a declaração do Cel. Sergio Simões, comandante dos bombeiros do RJ que afirmou , mesmo sem as autorizações: “Não diria que estávamos correndo risco, por que o público que frequenta um teatro é um público diferente do que frequenta uma boate, por exemplo”. Concordo até que os frequentadores sejam diferentes, mas ausência de risco? Esta não é a realidade.

Cel. Sérgio Simões - Comandante Bombeiros RJ: "Não diria que estávamos correndo risco, por que o público que frequenta um teatro é um público diferente do que frequenta uma boate"
Cel. Sérgio Simões – Comandante Bombeiros RJ: “Não diria que estávamos correndo risco, por que o público que frequenta um teatro é um público diferente do que frequenta uma boate”

Qualquer ambiente fechado como bares, boates, teatros, cinemas, shoppings e similares sempre contará com sua cota de indivíduos com dificuldade de locomoção, crianças, idosos e – no caso de um incidente sério como incêndio e fumaça – pessoas em pânico que instintivamente adotam o comportamento de manada.

Infelizmente pagamos pelo erro de viver na cultura onde o padrão é ser reativo. Os estabelecimentos no Rio de Janeiro e em outros lugares não estão sendo fechados “preventivamente”. Se o incêndio em Santa Maria não tivesse ocorrido dificilmente qualquer ação teria sido tomada e ainda existe o grave risco de nos acomodarmos novamente assim que a mídia passar para outro assunto “mais interessante”. Nesse caso o preço foi a vida dos 236 jovens, sem contar nos mais de 70 feridos na tragédia que estão em estado crítico e correm risco de morrer. Este é o custo do comodismo e de pensar apenas de forma reativa.

Postura Proativa

A postura reativa também é a mesma em empresas privadas, diversos projetos de Segurança da Informação ou Continuidade de Negócios começam apenas após a ocorrência de um incidente maior ou mesmo desastre. Como diz William H. Webster: “Security is always seen as too much until the day it’s not enough.”

A dura lição que temos de tirar deste trágico evento é a clara necessidade de adotarmos uma postura proativa. A outra opção é apenas aguardarmos o próximo desastre e lamentarmos mais uma vez perguntando: “Será que isto não poderia ter sido evitado?”

O mundo não acabou, mas desastres realmente acontecem.

Bem, aparentemente os Maias são o mais novo membro do clube dos Profetas do Apocalipse que erraram a mão em sua previsão. Ok, isso não é novidade, desde por volta do ano 400 com Hilário, bispo de Poitiers, passando pela época de Melchior Hoffman não existe mais exclusividade. O clube aceita basicamente qualquer um que clame seu lema: “The end is near!“.

Bem vindo ao clube!
– Meu caro Maia! Seja bem vindo ao clube!

Claro – como era de se esperar – não foi pequena a quantidade de pessoas que levou a sério a previsão dos Maias, se preparou para o pior e chegou ao ponto de lotar cidades como Bugarach na França onde daqui a pouco extraterrestres devem passar para coletar sobreviventes da humanidade a polícia está tendo bastante trabalho para controlar o fluxo exacerbado de visitantes. Ah, nada vende tão bem como o fim do mundo!

Gesto de Riscos, Crises e Desastres

Bem, para nossa alegria o mundo não acabou, mas se você já atuou em áreas como Gestão de Riscos, Continuidade de Negócios ou mesmo Segurança da Informação, sabe como é fácil se sentir um Profeta do Apocalipse anunciando corporativamente a eminencia de um possível desastre.

Previsão: Crise a frente!
Previsão: Crise a frente!

Ah, diferente dos Maias, seguimos utilizamos metodologias quantitativas e qualitativas para identificar, analisar e classificar o nível de risco e identificar a melhor opção de tratamento, mas aparentemente o método científico é bem menos interessante que a prática da profecia, já que boa parte dos gestores ainda prefere simplesmente ignorar resultados da análise de riscos e adotar a atitude de achar que o “isso não vai acontecer em nossa empresa”.

Crises são bastante reais e quando uma organização não está preparada para lidar adequadamente com esta situação o único resultado é o desastre como nos casos do muro de uma fábrica em Sorocaba que desabou e matou pelo menos sete pessoas ou da explosão em uma delegacia em Maceió que vitimou uma policial e deixou mais quatro feridos e me lembrou um post bem antigo de um caso parecido em Recife, felizmente sem vítimas fatais.

Muro desaba em Sorocaba - Sete vítimas fatais
Muro desaba em Sorocaba – Sete vítimas fatais

Felizmente, ao contrário do Apocalipse Maia, temos ampla evidência da necessidade de uma gestão efetiva e com uma abordagem holística para tratar todos os riscos a Continuidade do Negócio e os últimos anos vem mostrando que a alta direção está dando cada vez mais atenção e recursos para GRC.

Se você ou sua organização ainda não acreditam nisso, tenho apenas uma declaração: “The end is near!”.

Profissional de GRC
Profissional de GRC