Criptografia Pós-Quântica na Saúde

Criptografia Pós-Quântica na Saúde

Pesquisadores do Forescout Vedere Labs avaliaram a prontidão do setor de saúde para migrar para a criptografia pós-quântica (PQC). Sua análise de mais de 2,5 milhões de dispositivos em mais de 50 organizações de saúde revelou uma lacuna significativa de prontidão entre sistemas tradicionais de TI e dispositivos médicos especializados, muitos dos quais são difíceis de atualizar devido aos seus longos ciclos operacionais.

Os dispositivos médicos ficam significativamente atrás na prontidão para PQC. Nas redes analisadas, 50% dos dispositivos de TI, como estações de trabalho e servidores, executam versões do OpenSSH que suportam PQC. Esse número cai para 16% para dispositivos de tecnologia operacional (OT), como sistemas de automação predial e geradores de backup, e apenas 6% para dispositivos médicos conectados (IoMT). No entanto, executar uma versão de software compatível não significa necessariamente que a PQC já esteja em uso.

Ciclos de vida longos dos dispositivos tornam a migração mais desafiadora. Monitores de pacientes, bombas de infusão, sistemas de diagnóstico e outros dispositivos médicos especializados frequentemente permanecem em serviço por muitos anos. Atualizar suas capacidades criptográficas pode depender dos ciclos de lançamento dos fornecedores, atualizações de firmware, recertificação ou até mesmo da substituição total do equipamento. Como resultado, migrar esses sistemas para PQC provavelmente levará consideravelmente mais tempo do que atualizar a infraestrutura tradicional de TI.

Sistemas de saúde expostos à internet enfrentam desafios semelhantes. Os pesquisadores identificaram mais de 5.500 instâncias de sistemas de informação médica expostos à internet, incluindo plataformas de registro médico eletrônico (EMR) (46%) e sistemas de arquivamento e comunicação de imagens (PACS) (40%). Em média, apenas 31% desses sistemas suportam TLS 1.3, a única versão de TLS que pode acomodar mecanismos PQC padronizados. Enquanto isso, 15% ainda suportam os protocolos obsoletos TLS 1.0 e TLS 1.1.

Os dados de saúde são particularmente vulneráveis a ataques de colher agora, descriptografar depois (HNDL). Atacantes podem interceptar e armazenar tráfego criptografado com a intenção de descriptografá-lo quando computadores quânticos suficientemente poderosos estiverem disponíveis. Diferentemente de senhas ou dados de pagamento, históricos médicos, informações genéticas, resultados de laboratório e imagens de diagnóstico não podem simplesmente ser redefinidos ou substituídos após uma violação. Sua sensibilidade persiste ao longo da vida do paciente.

As prioridades de migração dependem da sensibilidade dos dados, não apenas do tipo de dispositivo. A Forescout identifica cinco categorias de dados de saúde mais em risco com futuros ataques quânticos: registros eletrônicos de saúde, imagens médicas, resultados de laboratório, dados de medicamentos e prescrições, e informações financeiras/de pagamento. Atenção especial deve ser dada aos dados transmitidos por redes externas, especialmente por meio de portais de pacientes, aplicações em nuvem e trocas de informações entre organizações de saúde. _ A migração para PQC na saúde enfrenta um desafio fundamental: os dados dos pacientes devem permanecer protegidos por décadas, enquanto dispositivos médicos podem levar anos para serem atualizados ou substituídos. As organizações de saúde, portanto, precisam avaliar riscos criptográficos, priorizar atualizações e implementar salvaguardas adicionais para sistemas que não podem se tornar compatíveis com PQC no curto prazo._