Novos dados revelam que o setor de saúde continua atrasado na preparação para a transição à criptografia pós-quântica, embora computadores quânticos práticos possam, no futuro, conseguir quebrar os algoritmos de criptografia que protegem os dados dos pacientes. O atraso é ainda mais evidente nos dispositivos médicos conectados: apenas 6% deles possuem proteção adequada para enfrentar futuros ataques quânticos, em comparação com 50% dos sistemas de tecnologia da informação.
A unidade de pesquisa de ameaças da Forescout analisou mais de 2,5 milhões de dispositivos distribuídos por mais de 50 instituições de saúde. A análise incluiu dispositivos como bombas de infusão e monitores de pacientes, além de estações de trabalho e servidores. Embora os sistemas de tecnologia da informação representem 66% dos dispositivos conectados em ambientes de saúde, os dispositivos médicos podem constituir um ponto fraco significativo devido à dificuldade de atualizá-los e à dependência direta da assistência em relação a eles.
Dados de longa duração são um alvo atraente
Prontuários médicos, imagens diagnósticas, resultados laboratoriais e histórico de prescrições estão entre os tipos de dados mais vulneráveis, pois permanecem sensíveis e valiosos por longos períodos. O relatório também constatou que apenas 31% dos mais de 5.500 sistemas de saúde expostos à internet, como portais de pacientes e algumas interfaces de programação de aplicações, são compatíveis com um protocolo de criptografia capaz de incorporar a criptografia pós-quântica.
Isso não significa que os invasores usarão computadores quânticos para atacar hospitais amanhã. No entanto, Daniel Trivellato, vice-presidente de soluções de tecnologia operacional e saúde e de riscos de cibersegurança da Forescout, alertou para a estratégia de «coletar agora e decifrar depois», na qual os dados criptografados roubados hoje são armazenados na esperança de decifrá-los quando a computação quântica se tornar capaz de fazê-lo.
O que muda na prática?
A Forescout recomenda que as instituições comecem fazendo um inventário dos ativos e sistemas de alto risco e integrem a preparação para a era quântica aos ciclos de atualização tecnológica, às compras e à substituição de sistemas, em vez de esperar pelo surgimento de computadores quânticos práticos. O Instituto Nacional de Padrões e Tecnologia (NIST) oferece um ponto de partida existente, após publicar o primeiro conjunto de padrões de criptografia pós-quântica em 2024.
Essa medida ganha importância adicional em um setor que já sofre ataques em larga escala. A Forescout identificou, durante o período de janeiro a agosto do ano mencionado, 461 reivindicações públicas de ataques de ransomware contra instituições de saúde em todo o mundo, um aumento de 47% em relação ao mesmo período do ano anterior; mais de 60% delas tiveram como alvo instituições americanas. Segundo a IBM, o custo das violações de dados na área da saúde chega, em média, a cerca de 6,64 milhões de dólares.
A conclusão editorial aqui não é que uma crise quântica seja iminente, mas que a longa vida útil dos dados médicos e a dificuldade de atualizar os dispositivos tornam a transição um processo lento, cujo planejamento não pode ser adiado. Ainda não está definido se os órgãos reguladores imporão requisitos específicos de criptografia pós-quântica ao setor de saúde ou se os integrarão às obrigações de cibersegurança existentes.