NAC para a Saúde: Proteger Dispositivos Médicos e Dados de Doentes

Bem-vindos de volta ao Purple Enterprise IT Briefing. Sou o vosso anfitrião e hoje vamos mergulhar num tema crítico para qualquer diretor de TI ou CTO que gira uma unidade de saúde: Network Access Control, ou NAC, focando-nos especificamente na proteção de dispositivos médicos e dados de doentes. Se gere uma rede hospitalar, sabe que o perímetro morreu. Tem scanners de ressonância magnética, bombas de IV inteligentes, BYOD de funcionários e milhares de dispositivos de convidados, todos a lutar por largura de banda e portas de switch. Hoje, vamos detalhar como bloquear isso sem interromper os fluxos de trabalho clínicos. Comecemos pelo contexto. Por que razão o NAC é tão crítico na saúde neste momento? Tudo se resume à explosão da Internet of Medical Things — IoMT. Há dez anos, a sua maior preocupação era o portátil de um médico apanhar um vírus. Hoje, tem dispositivos sem interface de utilizador — bombas de infusão, monitores de doentes — a executar sistemas operativos legados que não podem correr um agente de antivírus. Se um desses for comprometido, não é apenas uma violação de dados; é uma questão de segurança do doente. E do ponto de vista da conformidade — HIPAA nos EUA, o NHS DSP Toolkit no Reino Unido, GDPR na Europa — se não conseguir provar exatamente quem e o que está na sua rede, está fora de conformidade. Ponto final. Então, vamos entrar na análise técnica detalhada. Como construímos isto na prática? Uma arquitetura NAC moderna assenta em três pilares fundamentais: Identidade, Postura e Segmentação. Primeiro, Identidade. Para os seus dispositivos corporativos — portáteis de funcionários, estações de trabalho — precisa de migrar para 802.1X com EAP-TLS. Isso significa autenticação baseada em certificados. As palavras-passe podem ser alvo de phishing; os certificados de máquina são criptograficamente seguros. Mas e quanto aos dispositivos IoT médicos? Eles não suportam 802.1X. É aí que entra o MAC Authentication Bypass, ou MAB. O switch deteta o endereço MAC e pergunta ao servidor NAC: 'Conheces este dispositivo?' Mas o MAB por si só é fraco — os endereços MAC podem ser falsificados. Isto leva-nos ao segundo pilar: Postura e Criação de Perfis. O seu sistema NAC precisa de agir como um detetive. Não deve apenas confiar no endereço MAC. Precisa de analisar impressões digitais DHCP, strings HTTP User-Agent e padrões de tráfego para dizer: 'Sim, este endereço MAC pertence a um monitor Philips IntelliVue e está a comportar-se como tal.' Se esse monitor começar de repente a executar um varrimento Nmap na sua sub-rede, o sistema NAC precisa de o colocar instantaneamente em quarentena. E isso traz-nos ao terceiro pilar: Segmentação. Uma vez que um dispositivo é autenticado e perfilado, para onde vai? Não pode ter uma rede plana. Precisa de atribuição dinâmica de VLAN. Quando um médico inicia sessão com o seu portátil corporativo, o servidor NAC envia uma política para o switch, colocando-o na VLAN Clínica. Quando uma bomba de IV se liga, vai para uma VLAN IoT altamente restrita que só pode falar com o seu servidor de gestão específico. E quando um doente liga o seu iPad? Vai diretamente para la VLAN de Convidados, gerida por uma solução robusta de Captive Portal — como a plataforma Guest WiFi da Purple — completamente isolada do lado clínico. Falemos sobre a implementação. Como implementar isto sem desativar a UCI? A regra de ouro da implementação de NAC é: Monitorizar primeiro, aplicar depois. Começa em Monitor Mode. Configura os seus switches para enviar pedidos de autenticação para o servidor NAC, mas diz ao servidor NAC para permitir tudo. Deixa-o funcionar durante semanas. Recolhe dados. Constrói um perfil abrangente de cada dispositivo na sua rede. Vai encontrar shadow IT. Vai encontrar dispositivos que nem sabia que existiam. Assim que tiver essa linha de base, passa para a Fase 2: Definição de Políticas. Constrói as suas VLANs, escreve as suas Access Control Lists. Depois, Fase 3: Aplicação. E faz isto gradualmente. Começa com uma aplicação de baixo impacto — bloqueando tráfego sabidamente nocivo. Depois passa para o modo fechado, departamento por departamento. Comece pelos escritórios administrativos. Resolva os problemas. Deixe as unidades de cuidados críticos para o fim. Quais são as armadilhas comuns? A maior que vemos é o 'Dispositivo IoT Silencioso'. Alguns dispositivos médicos entram em modo de suspensão para poupar energia. Quando acordam, nem sempre se voltam a autenticar corretamente e o switch desliga-os. Precisa de ajustar os temporizadores de envelhecimento de MAC e garantir que o seu motor de criação de perfis consegue gerir estas ligações transitórias sem problemas. Outra consideração importante é o seu modo de falha. Se o seu servidor NAC ficar offline, o que acontece? Num escritório corporativo, pode optar por fail-closed — ninguém entra na rede até o servidor voltar. Num hospital, uma política de fail-closed pode significar que uma máquina de imagiologia não consegue enviar um exame crítico para as urgências. Muitas vezes, tem de desenhar uma alternativa de fail-open ou de acesso restrito para VLANs clínicas críticas, confiando em ACLs fortes ao nível da rede para manter a segurança durante uma interrupção. Vamos fazer uma sessão rápida de perguntas e respostas com base nas dúvidas que recebemos dos diretores de TI. Pergunta 1: 'Posso usar apenas WPA3-Enterprise para tudo?' Resposta: Não. O WPA3 é fantástico para a segurança sem fios, mas não resolve o problema da rede com fios, e muitos dispositivos médicos legados ainda não o suportam. Precisa de uma estratégia de NAC holística que cubra o acesso com fios, sem fios e VPN. Pergunta 2: 'Como é que o WiFi de convidados se enquadra nisto?' Resposta: O WiFi de convidados é o tráfego mais perigoso nas suas instalações. Deve utilizar uma plataforma dedicada que faça a gestão do Captive Portal, termos de serviço e limitação de largura de banda, garantindo que esse tráfego está completamente segregado da sua rede clínica. A plataforma da Purple é excelente para isto, e as análises que obtém podem realmente ajudar as operações do espaço a compreender o fluxo de visitantes. Para resumir: O NAC na saúde não é opcional. É a base da segurança zero-trust. Um: Use 802.1X EAP-TLS para dispositivos corporativos. Dois: Use MAB com criação profunda de perfis para IoT médica. Três: Micro-segmente a sua rede dinamicamente. Quatro: Implemente primeiro em Monitor Mode. Nunca apresse a aplicação. Por hoje é tudo no nosso briefing. Para uma análise técnica completa, incluindo diagramas de arquitetura e guias de configuração específicos de fornecedores, consulte o guia de referência completo no nosso site. Obrigado por nos ouvir e mantenha as suas redes seguras.