O uso de criptografia para proteção de dados em repouso ou de meios de comunicação é uma realidade para as instituições de saúde e os usuários de serviços como armazenamento em nuvem, troca de mensagens e muitos outros.
Entretanto, para os responsáveis por estes serviços são apresentadas muitas opções de mecanismos criptográficos e, consequentemente, há muitas escolhas a serem feitas.
Escolhas inadequadas podem resultar em pouco ou nenhum ganho, até mesmo perdas, criando uma falsa sensação de segurança nos dados de uma instituição de saúde. Por exemplo: criptografar uma base de dados e manter a chave criptográfica em um arquivo no servidor.
Neste artigo pretendemos abordar alguns aspectos relevantes para a segurança da informação de dados na área da saúde que estão relacionados às chaves criptográficas.
Com isso mostraremos a importância do correto gerenciamento delas para a programação dos serviços criptográficos.
Para facilitar o entendimento, dividiremos o artigo em três partes. Iniciando com os conceitos básicos sobre criptografia, serviços criptográficos e, por último, gerenciamento de chaves criptográficas.
1. Conceitos básicos de criptografia de dados
A criptografia consiste em um conjunto de princípios utilizados para garantir a segurança da informação de uma instituição na área da saúde.
Para isso, emprega técnicas para transformar uma informação (cifrar) em outra (criptograma) que é legível apenas para quem conheça o segredo (chave secreta).
Mantendo este segredo seguro, impedimos que pessoas não autorizadas tenham acesso à informação original (decifrar).
Segredo
A segurança dos serviços criptográficos é baseada no segredo da chave criptográfica, que permite cifrar e decifrar, e não no método de transformar a informação, ou seja o algoritmo utilizado, que deve ser público.
Chaves simétricas e assimétricas
Em criptografia existem dois tipos básicos de algoritmos: os de chave simétrica e assimétrica. Os primeiros utilizam uma única chave para cifrar e decifrar os dados, enquanto os segundos adotam par de chaves, sendo uma para cifrar e a outra para decifrar.
2. Serviços criptográficos
Não há, de fato, um método 100% nem para área da saúde ou qualquer outra, mas algumas orientações podem ajudar a reduzir ou prevenir ataques.
Um dos primeiros passos a ser levado em consideração é a confidencialidade dos dados de cada paciente. Usar uma rede em que somente pessoas autorizadas tenham acesso.
A busca por um armazenamento especial dos seus dados também é uma das formas de evitar o vazamento de dados. Existem armazenamentos que podem ajudar a segurança digital na área da saúde neste quesito.
Tenha um sistema que reforce sua segurança digital. Como citamos acima, fica claro que a criptografia é uma das maneiras mais eficientes de prevenção a roubos de dados na área da saúde.
Seja para proteger os dados em repouso, ou seja, que estão armazenados, ou mesmo para proteger dados em trânsito, ou seja, que trafegam na rede, aliados a um rígido controle de acesso são essenciais para ajudar o hospital a manter os dados protegidos.
Vale lembrar que é super importante a proteção de perímetro com firewall em sua rede e também a proteção de desktop/servidores com antivírus, dentre tantas outras ferramentas.
Confidencialidade
Segundo estudos ataques por email cresceram 473% de 2017-2019 só para a área da saúde. A manutenção de sistemas legados desatualizados é uma das razões para esse volume intenso de ataques.
Já outro estudo realizado estima que os gastos apenas com publicidade, por conta do risco de imagem, aumenta 64% em hospitais que sofrem vazamento de dados.
A confidencialidade tem que começar com a adoção de um Prontuário Eletrônico do Paciente (PEP), que além de centralizar os dados médicos de cada atendimento (histórico completo), facilita o alcance de acreditações de prestígio no setor, como HIMSS (Health Information and Management Systems Society), ligada às boas práticas de TI em saúde.
É preciso de treinar sua equipe permanentemente para evitar acessos indevidos e usos inadequados das aplicações fornecidas dentro da instituição.
A confidencialidade dos dados por meio de criptografia e com o devido controle de acesso, também garante que as informações não possam ser visualizadas por terceiros e que apenas pessoas autorizadas tenham acesso a elas.
Integridade
O técnica para garantir a integridade é em resumo, quando uma determinada informação não seja modificada de maneira não autorizada após a sua criação, durante a transmissão ou o armazenamento.
Seja a alteração acidental ou intencional, a inserção, remoção ou substituição de dados deve ser detectada. Mecanismos criptográficos como o resumo criptográfico, também conhecido como hash e a assinatura digital fornecem o suporte para este serviço.
Autenticação
O serviço de autenticação verifica a identidade de um usuário com objetivo de ter uma certa segurança de que a pessoa é quem diz que ela é mesmo. Existem diversos mecanismos de autenticação, usuário e senha é um modelo bem conhecido, mas também é a autenticação utilizando um certificado digital.
No modelo de certificado digital, pode-se utilizar o protocolo SSL, ou mesmo a assinatura do login como um modelo de autenticação. O certificado digital é interessante que use do modelo ICP-Brasil ou outra que a organização confie, tal como, Autoridade Certificadora Interna.
Nas Autoridades Certificadoras ICP-Brasil, é no processo de emissão do certificado digital que a pessoa necessita comparecer a uma validação presencial, agora também há a modalidade remota, com documentos originais que comprovem a identidade do requerente.
 |
Irretratabilidade
O serviço de irretratabilidade fornece os meios para garantir que quem criou uma informação não possa negar a autenticidade dela, ou pelo menos que seja difícil de negar.
Neste sentido, está ligada à assinatura digital, na qual o proprietário da chave privada não pode negar que a realizou para um determinado fim.
Autorização
Adicionalmente, após a autenticação, é possível utilizar a informações do usuário autenticado no sistema para definir a autorização as informações. O serviço de autorização fornece a aprovação ou permissão para a execução de uma atividade.
Como exemplo, o serviço de autorização pode ser empregado para definir as permissões de uso de uma chave criptográfica que, consequentemente, permitiria o acesso a uma determinada informação.
3. Gerenciamento de chaves criptográficas
As chaves criptográficas são o fundamento da criptografia e nestas reside a segurança dos dados cifrados. Brechas podem levar ao comprometimento das chaves e, consequentemente, ao vazamento de informações sigilosas como o prontuários de pacientes.
O aumento no uso da criptografia para proteção de dados nas instituições da área de saúde, principalmente devido à regulamentação do governo, faz com que estas tenham que lidar com múltiplas soluções para cifrar dados, vide a LGPD.
Por conta da diversidade de fornecedores, as organizações também precisam definir vários procedimentos para gerenciar as chaves criptográficas, sendo que nem sempre eles são adequados.
O gerenciamento de chaves criptográficas consiste em armazenar, proteger, organizar e garantir o uso adequado delas, gerir seu ciclo de vida e manter cópias de segurança de forma segura e consistente.
Armazenamento seguro das chaves
As chaves devem ser armazenadas de forma segura, ou seja, cifradas e com controle de acesso.
A criptografia deve ser preferencialmente realizada por meio de chaves (KEY) protegidas em um hardware criptográfico, de preferência.
Identificação das chaves
Deve ser possível identificar uma chave, seu tipo, sua finalidade, quem está autorizado a utilizá-la e o período de uso.
Ciclo de vida das chaves criptográficas
O ciclo de vida das chaves criptográficas deve ser controlado para que elas sejam utilizadas de forma adequada durante o período de validade — ou seja, somente pessoas ou sistemas autorizados podem utilizá-las durante um tempo pré-definido e com mecanismos seguros para que não haja comprometimento.
Assim descreveremos o ciclo de vida das chaves, segundo recomendação NIST.
O ciclo de vida de uma chave inicia com a geração e finaliza com a destruição, passando por um ou mais dos estados descritos a seguir:
- geração: momento de criação da chave, que ainda não está pronta para uso;
- pré-ativação: a chave foi gerada, mas ainda não está pronta para uso, porque aguarda o período de utilização ou a emissão de um certificado;
- ativada: a chave está disponível para uso;
- suspensa: o uso da chave está suspenso temporariamente. Neste estado, ela não pode mais realizar operações de cifra ou assinatura, mas pode ser utilizada para recuperação de dados ou verificação de assinaturas realizadas anteriormente.
- inativada: a chave não pode ser mais utilizada para cifra ou assinatura digital, sendo mantida para o processamento de dados cifrados ou assinados antes da inativação.
- comprometida: indica que a chave tem a sua segurança afetada e não pode mais ser usada em operações criptográficas. Em alguns casos, como nas chaves simétricas, pode ser utilizada para recuperar os dados cifrados para posterior cifra com outra chave.
- destruída: este estado indica que uma chave não é mais necessária. A destruição da chave é o estágio final e pode ser atingido devido ao fim do ciclo de uso dela ou do comprometimento de sua segurança.
De uma maneira geral, tanto as instituições de saúde e todas as organizações devem se concentrar na melhoria contínua e, ao mesmo tempo, gerenciar seus riscos a um preço compatível com sua realidade.
As empresas devem avaliar criticamente a forma como proteger seus sistemas. Devem também considerar as “causas-raiz” dos incidentes de segurança em seus ambientes como parte de uma avaliação de riscos.
À medida que os sistemas se tornam mais seguros e as instituições adotam medidas efetivas para gerenciar seus processos, a gestão de chaves se torna cada vez mais essencial. Proteger os dados de uma instituição de saúde é fundamental para a segurança das informações de seus pacientes.
Sobre a Eval
A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.
Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.
Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.
Eval, segurança é valor.
