João Miguel Mesquita
O ciberataque sofrido pela Boston Scientific provocou uma interrupção com consequências para além dos sistemas informáticos. A informação disponível não permite determinar como ocorreu a intrusão, quais os sistemas concretamente afetados ou de que forma os atacantes conseguiram comprometer a operação. O que já é visível são os efeitos.
O NHS (sistema nacional de saúde do Reino Unido) informou que a Boston Scientific conseguiu retomar o processamento e o envio da maioria dos produtos a partir do seu centro de distribuição europeu. A recuperação, porém, ainda não era completa: a produção permanecia por reiniciar e existia uma fila de encomendas por satisfazer.
É esta diferença que ajuda a perceber a dimensão de um incidente desta natureza. Um ciberataque não tem necessariamente de destruir equipamentos ou impedir permanentemente o acesso aos sistemas para criar dificuldades numa cadeia de abastecimento. Basta interromper durante algum tempo processos dos quais dependem a produção, a gestão de encomendas ou a distribuição para que os efeitos continuem depois de parte da operação tecnológica ter sido recuperada.
No caso da Boston Scientific, o NHS começou a preparar informação sobre produtos alternativos para apoiar as decisões clínicas. É nesse momento que o ataque deixa de ser apenas um incidente informático numa empresa e passa a ter uma consequência concreta para quem gere o abastecimento de hospitais.
Recuperar sistemas não significa necessariamente recuperar imediatamente a operação. Uma empresa pode voltar a processar encomendas e a expedir produtos e continuar, ao mesmo tempo, condicionada porque a produção ainda não foi retomada ou porque existem pedidos acumulados.
Para quem gere as compras, o problema é igualmente concreto. A avaliação de um fornecedor MedTech já não pode ficar limitada ao produto, ao preço ou à capacidade de entrega em condições normais. Também passa a importar perceber a capacidade desse fornecedor para recuperar de um incidente digital e manter o abastecimento quando parte da operação é interrompida.
O caso torna assim visível uma dependência que muitas vezes permanece escondida enquanto tudo funciona. Os sistemas da Boston Scientific estão fora da infraestrutura tecnológica dos hospitais, mas um problema nesses sistemas acabou por chegar à cadeia que lhes fornece produtos.
É também por isso que tecnologia e compras começam a encontrar-se no mesmo problema. A cibersegurança do fornecedor, a capacidade de recuperação, a logística e a existência de produtos alternativos deixam de poder ser consideradas questões separadas.
O ataque ocorreu no fornecedor. O impacto, porém, ultrapassou o seu perímetro tecnológico e chegou ao abastecimento hospitalar.
Para os CIO e responsáveis de compras tecnológicas, esta é provavelmente a principal leitura do incidente: num sistema de saúde cada vez mais dependente de tecnologia, a capacidade de recuperação digital de um fornecedor passou também a fazer parte da resiliência do hospital que depende dele.
