o Departamento de Assuntos de Veteranos dos EUA administra alguns programas de tecnologia interessantes, mas não é conhecido por ser uma organização flexível ou ágil. E quando se trata de registros médicos eletrônicos, o VA teve um drama lento, mas de alto risco, por anos.
A plataforma de registros do departamento, VistA, instituída pela primeira vez no final da década de 1970, é elogiada como eficaz, confiável e até inovadora, mas décadas de subinvestimento desgastaram a plataforma. Várias vezes ao longo da década de 2010, o VA disse que substituirá o VistA (abreviação de Veterans Information Systems and Technology Architecture) por um produto comercial, e a última iteração desse esforço está em andamento. Enquanto isso, no entanto, pesquisadores de segurança estão encontrando problemas reais de segurança no VistA que podem afetar o atendimento ao paciente. Eles querem divulgá-los ao VA e corrigir os problemas, mas não encontraram uma maneira de fazer isso porque o próprio VistA está no corredor da morte. Em uma conferência em Las Vegas no sábado, Zachary Minneker, pesquisador de segurança com experiência em TI de saúde, apresentou descobertas sobre uma fraqueza preocupante na forma como o VistA criptografa credenciais internas. Sem uma camada adicional de criptografia de rede (como TLS, que agora é onipresente na web), Minneker descobriu que a criptografia caseira desenvolvida para o VistA na década de 1990 para proteger a conexão entre o servidor de rede e computadores individuais pode ser facilmente derrotada. Na prática, isso pode permitir que um invasor na rede de um hospital se passe por um profissional de saúde no VistA e possivelmente modifique os registros do paciente, envie diagnósticos ou até mesmo prescreva medicamentos teoricamente.
“ Se você estivesse adjacente na rede sem TLS, você poderia quebrar senhas, substituir pacotes, fazer modificações no banco de dados. Na pior das hipóteses, você essencialmente seria capaz de se passar por médico”, disse Minneker à WIRED. “Este não é um bom mecanismo de controle de acesso para um sistema de registro médico eletrônico na era moderna.”
Minneker, que é engenheiro de segurança na empresa focada em software Security Innovation , apenas discutiu brevemente as descobertas durante sua palestra na DefCon, que se concentrou principalmente em uma avaliação de segurança mais ampla do VistA e da linguagem de programação de banco de dados MUMPS que a sustenta. Ele vem tentando compartilhar a descoberta com o VA desde janeiro por meio do programa de divulgação de vulnerabilidades do departamento e da opção de divulgação de terceiros da Bugcrowd. Mas o VistA está fora do escopo de ambos os programas.
Isso pode ocorrer porque o VA está atualmente tentando eliminar o VistA usando um novo sistema de registros médicos projetado pela Cerner Corporation. Em junho, o VA anunciou que atrasaria o lançamento geral do sistema Cerner de US$ 10 bilhões até 2023, porque as implantações piloto foram atormentadas por interrupções e levaram a quase 150 casos em que os pacientes poderiam ter sido prejudicados.
O VA não retornou os vários pedidos de comentários da WIRED sobre as descobertas de Minneker ou a situação mais ampla com a divulgação de vulnerabilidades no VistA. Enquanto isso, o VistA não é apenas implantado em todo o sistema de saúde do VA, mas também é usado em outros lugares.
