A Proofpoint, empresa de cibersegurança, e o Ponemon Institute, organização de investigação em segurança informática, divulgaram os resultados do seu terceiro inquérito anual sobre os efeitos da cibersegurança nos cuidados de saúde. O relatório, “Cyber Insecurity in Healthcare: O custo e o impacto na segurança e no atendimento ao paciente 2024”, conclui que 92% das organizações de saúde pesquisadas sofreram pelo menos um ataque cibernético nos últimos 12 meses, um aumento de 88% em 2023, com 69% relatando interrupção no atendimento ao paciente como resultado.

Entre as organizações que sofreram os quatro tipos mais comuns de ataques – comprometimento da nuvem, ransomware, cadeia de abastecimento e comprometimento de e-mail comercial (BEC) – 56% relataram resultados negativos para os pacientes devido a atrasos em procedimentos e testes, 53% viram um aumento nas complicações de procedimentos médicos e 28% dizem que as taxas de mortalidade dos pacientes aumentaram – um aumento de cinco pontos percentuais em relação ao ano passado. Estes resultados indicam que as organizações de cuidados de saúde continuam a debater-se com a redução dos riscos que estes ataques representam para a segurança e o bem-estar dos doentes.
O relatório, que inquiriu 648 profissionais de tecnologia da informação e de segurança em organizações de cuidados de saúde dos Estados Unidos, concluiu que os ataques à cadeia de abastecimento têm maior probabilidade de afectar os cuidados dos doentes. Mais de dois terços (68%) dos inquiridos afirmaram que as suas organizações sofreram um ataque contra as suas cadeias de abastecimento, dos quais 82% afirmaram que perturbaram os cuidados aos doentes, um aumento em relação aos 77% registados em 2023. O BEC lidera o grupo de ataques com maior probabilidade de resultar em resultados maus devido a procedimentos e testes atrasados (69%), seguido por ransomware (61%), que também era mais provável de resultar em maior tempo de internação (58%) e aumento de pacientes desviados ou transferidos para outras instalações (52%).

Outras conclusões importantes do relatório incluem:
Os pagamentos de ransomware aumentam, apesar de as preocupações com o mesmo terem diminuído: Mais da metade (54%) dos entrevistados acredita que as suas organizações são vulneráveis ou altamente vulneráveis a um ataque de ransomware, um declínio de 64% em 2023. As organizações que sofreram ataques de ransomware (59% dos inquiridos) sofreram uma média de quatro desses ataques nos últimos dois anos. Embora menos organizações tenham pago o resgate (36% em 2024 vs. 40% em 2023), o resgate pago aumentou 10% para uma média de US$ 1.099.200 em comparação com US$ 995.450 no ano anterior.
As aplicações móveis inseguras e o comprometimento da nuvem/conta são considerados as maiores ameaças cibernéticas para as organizações de saúde: As preocupações com aplicativos móveis inseguros (eHealth) aumentaram para se tornar a principal ameaça à segurança cibernética na área de saúde, aumentando de 51% em 2023 para 59% dos entrevistados em 2024. O comprometimento da nuvem/conta foi a segunda maior preocupação (55%), e as mensagens de texto foram a ferramenta de colaboração mais atacada (61%), seguida pelo e-mail (59%). As organizações estão menos preocupadas com os dispositivos móveis propriedade dos empregados ou BYOD.
São necessários mais progressos para reduzir o risco de intrusão: Mais de nove em cada dez organizações inquiridas tiveram pelo menos dois incidentes de perda ou exfiltracção de dados envolvendo dados sensíveis e confidenciais nos últimos dois anos. 51% dos inquiridos afirmaram que um incidente de perda ou exfiltracção de dados teve impacto nos cuidados prestados aos doentes; destes, 50% registaram um aumento das taxas de mortalidade e 37% registaram atrasos nos procedimentos e testes que resultaram em maus resultados. Nos últimos dois anos, as organizações registaram uma média de 20 incidentes deste tipo, sendo os funcionários a causa principal. A negligência dos funcionários por não seguirem as políticas (31%), a perda acidental de dados (26%) e o envio de PII e PHI a um destinatário não intencional por correio electrónico (21%) foram os três principais motivos.
A falta de uma liderança clara é um problema crescente e uma ameaça à postura de cibersegurança dos cuidados de saúde: Embora 55% dos inquiridos afirmem que a falta de conhecimentos internos das suas organizações é o principal impedimento para alcançar uma forte postura de cibersegurança, a falta de uma liderança clara como desafio aumentou significativamente desde 2023, de 14% para 49% dos inquiridos. Não ter orçamento suficiente diminuiu de 47% para 40% dos entrevistados em 2024.
Os programas tradicionais de treino de segurança baseados em conformidade estão aquém do esperado: funcionários negligentes representam um risco significativo para as organizações de saúde. Embora mais organizações (71% em 2024 vs. 65% dos entrevistados em 2023) estejam a tomar medidas para lidar com o risco da falta de consciencialização dos funcionários sobre o ciberespaço, os programas de treino de segurança tradicionais baseados em conformidade estão aquém do esperado.