Spire Healthcare garante a evolução dos serviços digitais com a F5

Uma das principais prestadoras de serviços privados de saúde do Reino Unido, com 38 hospitais e mais de 3.700 médicos especialistas, a Spire Healthcare precisava reforçar a segurança de suas aplicações à medida que mais serviços eram disponibilizados on-line. A Spire, que armazena dados altamente confidenciais de pacientes e trabalha com parceiros como o Serviço Nacional de Saúde (NHS) e grandes seguradoras, também precisava demonstrar às partes interessadas que sua segurança seguia os mais altos padrões e era confiável. Em 2016, recorreu à F5 e à Silverline (plataforma de serviços gerenciados de aplicações em nuvem da F5).

Desafios de negócios

À medida que a Spire desenvolvia mais serviços digitais voltados aos clientes, como o portal MySpire para agendar consultas, visualizar informações pessoais e efetuar pagamentos, ela também disponibilizava on-line uma quantidade maior de dados confidenciais dos pacientes.

Com o aumento do perfil de risco, a equipe técnica se viu em uma situação na qual não dispunha de informações essenciais sobre o comportamento dos usuários. O sistema existente não conseguia mostrar quais dispositivos os clientes usavam para se conectar aos serviços da Spire, nem quando poderiam estar fazendo isso de forma insegura. Essa falta de visibilidade limitava a capacidade da equipe de implementar importantes melhorias de segurança.

“Por exemplo, não podíamos tomar a decisão de restringir o acesso via SSLv3, pois não sabíamos se havia usuários se conectando por meio de dispositivos que não eram compatíveis com TLSv1.0”, relembrou Rob Sissons, gerente de Operações Técnicas.

Além de não dispor das informações necessárias para realizar mudanças técnicas cruciais, a equipe de TI muitas vezes não conseguia responder às dúvidas internas da empresa sobre segurança de dados. Ela também precisava se preparar para as auditorias realizadas por grandes seguradoras e pelo NHS — que encaminham pacientes regularmente à Spire — para verificar se seus dados estavam sendo armazenados com segurança.

Buscando melhorar a segurança de seus serviços digitais sem prejudicar a capacidade dos clientes de acessá-los, a Spire decidiu procurar um provedor de serviços gerenciados de segurança de aplicações.

Solução

Para atender às suas necessidades de segurança em constante evolução, a Spire optou por implementar o F5® Silverline® Web Application Firewall (WAF) e o F5® Silverline® DDoS Protection como serviços gerenciados, com suporte 24 horas por dia do Security Operations Center (SOC), o centro da F5 que reúne especialistas em segurança voltados ao atendimento dos clientes.

“O SOC é o que realmente nos traz benefícios”, comentou Sissons. “Ele nos dá a confiança de que, quando implementamos uma mudança, contamos com um segundo par de olhos experiente para analisá-la. Muitas vezes, a equipe nos apresenta recomendações sobre como otimizar o que estamos tentando fazer.”

A equipe do SOC tornou-se parte integrante da forma como a Spire desenvolve e implementa novos aplicativos, inclusive os de desenvolvedores terceirizados. A Spire define as políticas de WAF começando com um modelo em branco e, em seguida, adicionando à lista de permissões os falsos positivos identificados por meio de testes repetidos.

“Quando solicitamos que algo seja liberado, o SOC verifica novamente o que estamos propondo”, explicou Sissons. “Aplicações clínicas de nicho nem sempre são tão seguras quanto deveriam. Em algumas ocasiões, as observações da F5 nos levaram a procurar novamente os desenvolvedores de software terceirizados para apontar problemas em suas aplicações.”

Durante o período em que a Spire vem trabalhando com a F5, seu ecossistema de aplicações continuou a se diversificar e se tornar mais complexo. Isso inclui a incorporação de APIs que permitem às seguradoras encaminhar pacientes e transferir seus dados com mais facilidade. A Silverline oferece a segurança necessária para que a Spire desenvolva e aprimore continuamente os serviços digitais oferecidos a seus clientes, consultores e principais parceiros.

Com o suporte do SOC, os serviços Silverline também ajudaram a Spire a implementar um nível de segurança de aplicações compatível com os dados confidenciais que armazena, além de responder rapidamente a eventuais incidentes graves.

Além disso, a Silverline apoia a evolução das políticas gerais de segurança da Spire, fornecendo visibilidade e dados sobre o comportamento dos usuários que ajudam a equipe de TI a aprimorar essas políticas. Ela também oferece uma visão detalhada, antes inexistente, de como os clientes da Spire acessam os serviços.

“Por exemplo, para reforçar a segurança do TLS, a equipe de Segurança da Informação tem se apoiado fortemente nos dados fornecidos pelo Silverline sobre as conexões recebidas e a origem das conexões inseguras”, afirmou Sissons.

Suporte personalizado, sempre disponível

Outro benefício significativo do Silverline é a capacidade de lidar com ameaças ativas à rede da Spire. Durante um ataque DDoS recente e de grande proporção, o SOC participou ativamente da resposta, fornecendo informações sobre a origem do ataque e participando de discussões com o provedor de serviços de Internet da Spire. “Em um ataque de grande escala como esse, tudo acontece muito rápido e você precisa investigar enquanto ele está em andamento”, relembrou Sissons. “Mantivemos um canal de comunicação aberto com o SOC durante todo o incidente; eles participaram das chamadas conosco e prestaram um suporte inestimável.”

No dia a dia, a Spire continua confiante de que os especialistas do SOC estão sempre disponíveis. “Com pouquíssima antecedência, podemos contar com profissionais altamente qualificados em uma chamada como parte do serviço gerenciado”, acrescentou Sissons. “Nunca solicitamos nada que o SOC não fosse capaz de fazer.”

Garantia para as partes interessadas

O Silverline também está gerando um impacto positivo no ecossistema mais amplo da Spire. Os encaminhamentos de pacientes por terceiros são uma parte importante de seu modelo de negócios, e a presença da F5 como provedora de serviços gerenciados ajudou a assegurar a esses parceiros que as políticas e proteções de segurança de dados atendem a padrões rigorosos. O Silverline chegou até mesmo a fazer parte das respostas a auditorias realizadas por seguradoras parceiras, bem como do conjunto de ferramentas de segurança que é um pré-requisito para ingressar na Health and Social Care Network (HSCN) do NHS. “É bom podermos afirmar, em uma auditoria externa, que contamos com uma equipe especializada em segurança para proteger esses serviços”, acrescentou Sissons.