Os controles de acesso para profissionais da saúde e funcionários do hospital é um ponto de acesso essencial para a proteção de dados sensíveis de pacientes. O Memorial Hermann Health Systems (MHHS), um sistema de saúde comunitário sem fins lucrativos sediado em Houston, no Texas, sabe que as informações de saúde protegidas (PHI) tornam os prontuários médicos um alvo prioritário para agentes de ameaças. Com mais de 63 mil usuários, incluindo funcionários administrativos, profissionais da saúde, voluntários e estudantes, entre outros, distribuídos em 11 hospitais, o MHHS precisa de soluções de tecnologia que ajudem a fornecer atendimento de alto impacto aos pacientes sem colocar os dados deles em risco.
Essa abordagem de tecnologia levou o MHHS a tratar a identidade como parte fundamental de sua estratégia de segurança. “Todos os atributos de identidade podem causar danos materiais se não forem gerenciados adequadamente”, afirma Zach Phillippe, vice-CISO. “Compreender o que os indivíduos podem fazer, o que conseguem ver e como interagem com os nossos sistemas é tão importante quanto qualquer outra forma de cibersegurança.”
Implementar controles de segurança de nível corporativo para proteger os dados dos pacientes
A pilha de tecnologia cresceu junto com a organização e, com mais de 200 aplicativos de software como serviço (SaaS) implantados em todo o sistema, a equipe precisava de uma maneira de manter a visibilidade desses apps baseados em nuvem. O processo existente do MHHS envolvia planilhas dispersas e revisões manuais de acesso, o que era trabalhoso e demorado. “Somos responsáveis por garantir que os controles de acesso estejam atualizados”, acrescenta Padma Sree Ventrapragada, diretora de risco cibernético e IAM. “Porém, quando as revisões eram feitas manualmente, tínhamos que recomeçar do zero quando terminávamos de analisar tudo.”
No entanto, com a expansão do conjunto de apps, as solicitações de redefinição de senha do usuário final eram cada vez mais frequentes. Elas passaram a ser a principal tarefa da equipe de suporte de TI, desviando o foco de problemas mais complexos. A equipe do MHHS sabia que precisava de um parceiro de identidade pronto para o ambiente corporativo, desenvolvido para oferecer suporte ao gerenciamento de identidades local e baseado em nuvem, ajudá-la a dar suporte a uma organização complexa e fornecer autenticação multifatorial (MFA) fácil de usar. “O MFA é uma das cinco melhores soluções de controle de segurança. Sabíamos que a Okta nos ajudaria a implementá-lo e a sanar essas lacunas”, diz Phillippe.
Aprimorando a resiliência e a proteção do usuário no dia a dia
A Okta agora é um pilar fundamental da estratégia de resiliência em nuvem do Memorial Hermann, garantindo que, se a rede local ficar offline (devido a um furacão ou ataque cibernético), os médicos ainda possam acessar os dados dos prontuários eletrônicos e manter os pacientes em segurança. “Graças à forma como a Okta se integra aos nossos sistemas, temos identificação e autorização contínuas, o que aumenta nossa resiliência”, afirma Phillippe. “Esse acesso impacta diretamente o atendimento ao paciente. Se um profissional de saúde tiver que recorrer a formulários em papel, vai atrasar o atendimento. Por isso, precisamos estar preparados tanto para situações de desastre quanto para nosso trabalho diário.”
Ao combinar controles de identidade fundamentais com monitoramento e detecção contínuos utilizando um único parceiro de identidade, o MHHS consegue fornecer segurança de ponta a ponta de maneira mais consistente antes, durante e depois da autenticação. Para os funcionários do MHHS, os recursos Single Sign-On, Adaptive MFA e FastPass tornam o acesso simples e seguro desde o momento em que acessam um dispositivo, mesmo para usuários na rede estendida do sistema. Com mais de 95% das contas ativas do MHHS protegidas por MFA, a organização pode ter certeza de que seus sistemas mais importantes estão protegidos contra ataques de phishing.
A equipe também implementou a redefinição de senhas totalmente por autoatendimento, independentemente da localização ou vínculo com o MHHS. A eliminação desse gargalo, juntamente com outros ajustes de senha, ajudou a reduzir os tíquetes de suporte de TI em mais da metade, permitindo que os profissionais de saúde se concentrassem no atendimento aos pacientes, em vez de se preocuparem com o acesso aos sistemas.
Além dos funcionários principais, os médicos e equipes de pequenas unidades de saúde rurais, que também dependem da solução do MHHS para prontuários eletrônicos para administrar seus consultórios, contam com a segurança da Okta. Com o FastPass, esses consultórios (que de outra forma seriam independentes) podem acessar informações de pacientes e outros dados valiosos de diferentes dispositivos de forma segura e consistente, garantindo que os pacientes recebam atendimento contínuo.
Graças aos logins seguros, a equipe pôde concentrar seus esforços em desenvolver uma maneira de detectar e remediar continuamente os riscos para os usuários. Ela descobriu que o Identity Threat Protection (ITP) e o Identity Security Posture Management (ISPM) ajudariam a abandonar os processos de revisão manual e a adotar o monitoramento contínuo em tempo real. “Além do MFA, a solução que realmente mudou o jogo para nós foi o Identity Security Posture Management”, diz Phillippe. “Se você não está usando, está procurando encrenca.”
Do monitoramento contínuo para a “cura contínua”
Enquanto os profissionais clínicos do MHHS podem manter o foco em seus pacientes, a equipe de segurança também está redirecionando seus esforços para projetos de maior impacto. A substituição das auditorias manuais feitas em planilhas pela combinação de ITP e ISPM tornou possível implementar um sistema automatizado de detecção e resposta a ameaças relacionadas a identidades, com monitoramento contínuo. Essa nova abordagem aproveita a vantagem de uma estrutura de segurança de identidade unificada para fornecer informações contínuas à equipe sobre a postura de segurança de toda a organização.
Enquanto o ITP oferece detecção e resposta a ameaças em tempo real, enriquecendo a telemetria da Okta e corrigindo ameaças ativas, o ISPM monitora e ajuda a solucionar lacunas importantes na higiene da segurança de identidade. “Com o ITP e o ISPM, estamos passando de revisões pontuais para detecção e resposta contínuas e em tempo real em toda a nossa organização”, afirma Ventrapragada. “Eles apresentam todas as informações necessárias de forma antecipada para que possamos lidar imediatamente com os problemas em questão.”
Essa combinação é fundamental para evitar qualquer interrupção operacional. “Se tivermos que desviar o atendimento dos nossos centros de traumatologia porque nossa infraestrutura foi atingida por um ataque cibernético, haverá um impacto material na vida humana”, explica Phillippe. “O valor de uma ferramenta como o ITP é imensurável para nós. Quando nossos sistemas estão seguros, nossos pacientes estão seguros.”
Mantendo o foco da equipe na remediação em vez da detecção, o MHHS consegue eliminar potenciais falhas de segurança assim que elas surgem, em vez de depender da próxima rodada de auditorias. Ventrapragada continua: “O ISPM prioriza os problemas de forma independente para que possamos resolver questões complexas que, na verdade, envolvem vários problemas de menor prioridade. Sem isso, talvez tivéssemos que abordá-los um por um.” Essa mudança de prioridades está ajudando a equipe a identificar e solucionar problemas mais rapidamente do que nunca. O trabalho de higienização de identidade, que antes levava uma semana inteira ou mais para ser investigado em diversas ferramentas, agora requer apenas algumas horas por semana.
Expandindo a automação para dar suporte a agentes de IA seguros para a área da saúde
À medida que os setores se voltam para a integração de agentes de IA em seus fluxos de trabalho, o MHHS vê a oportunidade de avaliar e proteger sua infraestrutura para incorporar esses agentes às experiências de cuidado. “É importante tratarmos os agentes de IA como uma nova classe de identidade”, compartilha Ventrapragada. “Como nossa parceira de identidade, a Okta já nos ajuda a descobrir e proteger nossas identidades humanas e não humanas. Queremos descobrir como podemos continuar essa parceria para proteger a IA.”
Além de monitorar e proteger contas de serviço e agentes de IA, a equipe está buscando novas maneiras de integrar o ISPM com o Okta Workflows para automatizar suas jornadas de gerenciamento do ciclo de vida. “O ISPM detecta lacunas de identidade, enquanto o Workflows pode corrigi-las automaticamente. Juntos, eles nos ajudarão a passar do monitoramento contínuo para a cura contínua da identidade”, afirma Phillippe. “E a equipe da Okta nos mostrou que se importa conosco como parceiros. Nem todas as empresas têm isso. Estamos prontos para descobrir juntos o que mais é possível.”
Sobre o cliente
O Memorial Hermann Health System (MHHS) é um dos principais sistemas integrados de saúde que atende o sudeste do Texas, nos Estados Unidos. Para gerenciar o acesso de mais de 63 mil usuários, ele precisa proteger diversos perfis clínicos e administrativos, incluindo funcionários, equipe médica e pessoas externas à instituição, como residentes e voluntários.
