Segurança, BYOD e nuvem preocupam CIOs da Saúde

“A troca de dados ocorre sem segurança, querendo ou não, independentemente de quantos controles de segurança estiverem em vigor" afirma participante de um grupo de foco da HIMSS Analytics

Sete executivos sêniores de TI, que participaram de um grupo de foco conduzido pelo grupo de análise da HIMSS Analytics, citaram preocupações com segurança de dados – especialmente os dados relacionados ao crescente uso de dispositivos móveis pessoais – entre os principais desafios que enfrentam. Outras questões urgentes são o crescimento da necessidade por storage de dados e troca de informações de saúde.

Embora fosse um grupo pequeno, o que os participantes disseram reflete as prioridades de infraestrutura de TI da indústria, como foi representado em uma recente pesquisa realizada pela Health Information Management and Systems Society (HIMSS).

Os executivos de TI lamentam a perda do controle sobre gerenciamento de dispositivo em um ambiente “bring your own device” ou BYOD. Como um deles observou, “você não consegue bloquear e-mail pessoal”. Outro participante destacou que com a proliferação de smartphones pessoais e iPads nos hospitais, “a troca de dados ocorre sem segurança, querendo ou não”, independentemente de quantos controles de segurança estiverem em vigor. Os fornecedores tendem a encontrar formas de contornar que colocam os dados em risco, disseram vários deles.

De acordo com uma pesquisa da HIMSS, de Dezembro de 2012, sobre dispositivos móveis, 75% dos hospitais usam capacidades de “limpeza remota” para eliminar dados de dispositivos perdidos ou roubados. Além disso, muitas instalações usam dispositivos móveis para acessar dados, mas não para armazena-los, como observou Jennifer Horowitz, pesquisadora sênior da HIMSS Analytics, em entrevista.

“Na maior parte, as organizações utilizam esses dispositivos como ferramentas de acesso e não necessariamente como ferramentas de armazenamento. Eles não querem que os dados residam no dispositivo”, disse ela.

Os participantes do grupo de foco observaram que o uso de redes sem fio torna difícil, senão impossível, prevenir o uso da Internet por funcionários para fins pessoais. Embora alguns hospitais tentem restringir o acesso a websites como Amazon, Facebook e Twitter, eles sabem que os funcionários conseguem acessar esses sites usando a rede para convidados das instituições.

Quando os médicos estão trabalhando e não brincando, eles podem encontrar “zonas de queda” nas redes sem fio, pontos onde o sinal para dispositivos móveis se perde. Os participantes relataram que usam uma variedade de soluções para lidar com esse problema, incluindo “desktops virtuais”, que permitem que usuários com perda de sinal continuem de onde pararam quando conseguem se reconectar. Um participante disse que sua instituição usa uma rede de micro-ondas para transmitir e receber dados em locais onde o sinal de celular é bloqueado.

Armazenamento de dados foi citado como outra preocupação, principalmente devido à disseminação de arquivos de dados em imagem e sistemas de comunicação (PACS). Entre esses problemas está “a habilidade de armazenar o crescente número de imagens, os desafios na troca de imagens criada por médicos remotos e a segurança de imagens tiradas com uma máquina móvel”, de acordo com o relatório.

Um participante disse que sua organização tinha dificuldades em se conectar com sites remotos porque a única solução disponível era “dolorosamente lenta”. Ainda assim, ele não mencionou a possibilidade de usar um serviço de nuvem para armazenar dados e aplicativos.

Em geral, os participantes “estão abordando o uso da nuvem com cautela”, disse o relatório.

Alguns executivos disseram que estavam confortáveis com o uso de uma nuvem privada hospedada pelo principal fornecedor de TI de saúde. Porém, eles ainda parecem mais dispostos a armazenar dados administrativos na nuvem do que dados clínicos que contenham informações pessoais de saúde.

Um dos maiores obstáculos contra o uso da nuvem, de acordo com Horowitz, é a dificuldade que os fornecedores têm em obter acordos de associados de negócio (BAAs) com as empresas de computação nuvem. Sob as mais recentes regras do HIPAA, os provedores devem ter BAAs com as empresas de computação de nuvem. Se não tiverem, eles podem ter problemas com o governo, já que correm o risco de serem processados em caso de brecha de segurança envolvendo informações pessoais de saúde.

“Se os hospitais colocarem informações na nuvem, e um terceiro tiver acesso ou controle sobre essas informações, os hospitais precisam se sentir seguros quanto aos mecanismos de segurança em vigor”, disse Horowitz. Embora a Microsoft e a Box tenha, recentemente, anunciado que têm BAAs complacentes com o HIPAA, outros fornecedores de nuvens públicas não parecem ter. Não está claro, no entanto, por que qualquer fornecedor de tecnologia que oferece serviço de hospedagem de nuvem privada desenvolvida especialmente para hospitais ou clínicas médicas não assinariam um BAA.

Lisa Gallagher, VP de soluções de tecnologia da HIMSS, disse à InformationWeek EUA que, até pouco tempo atrás, “alguns fornecedores de nuvem relutavam em assinar BAAs”. Mas a nova regra Omnibus, do HIPAA, deixa claro que todos os provedores de serviços de saúde devem ter tal acordo em vigor com fornecedores de nuvem. “Portanto, agora, fornecedores de nuvem devem assinar BAAs quando seus serviços incluem receber e armazenar PHI [informação pessoal de saúde]”.

Por: Saúde Web.