Tribunal de Contas dos EUA — RelatoriosTribunal de Contas dos EUA — Relatorios
O que a GAO Descobriu
A Linha de Vida para Suicídio e Crise 988 (Linha 988) é gerenciada, em nome do Departamento de Saúde e Serviços Humanos (HHS), por um administrador de rede que supervisiona as operações diárias e garante que os quase 220 centros de contato de crise locais estejam em conformidade com os requisitos de cibersegurança da organização.
O HHS implementou parcialmente atividades de supervisão relacionadas à cibersegurança para a Linha 988. Especificamente, o HHS definiu papéis e responsabilidades de supervisão para monitorar a implementação de controles de cibersegurança. No entanto, o HHS não incluiu todas as áreas-chave de controle de cibersegurança definidas pelo HHS no acordo cooperativo da Linha 988 com seu administrador de rede ou no acordo de rede entre o administrador e os centros de contato de crise. Além disso, o HHS estabeleceu processos para monitorar a implementação de controles de segurança, mas nem sempre os seguiu.
Inclusão das Áreas de Controle de Cibersegurança Definidas pelo HHS nos Acordos da Linha 988
Embora o administrador de rede e os centros de contato de crise tenham implementado totalmente alguns controles de monitoramento contínuo, eles não implementaram consistentemente outros controles de cibersegurança selecionados identificados nas orientações do Instituto Nacional de Padrões e Tecnologia. Especificamente, o administrador de rede não implementou controles de identidade e acesso relacionados às diretrizes atualizadas de senha e implementou parcialmente controles relacionados a planos de contingência. Além disso, os centros de contato de crise implementaram parcialmente controles de resposta a incidentes e planejamento de contingência. Sem a implementação total desses controles, a Linha 988 enfrenta um risco aumentado de incidentes de cibersegurança, o que poderia resultar em interrupções prolongadas dos serviços e potencialmente impedir que indivíduos em crise tenham acesso a apoio à saúde mental oportuno.
Por que a GAO Realizou Este Estudo
A Administração de Serviços de Abuso de Substâncias e Saúde Mental do HHS lançou a Linha Nacional de Prevenção ao Suicídio em 2005 para atender indivíduos em crise de suicídio ou em situação de estresse emocional. Em 2022, foi renomeada para Linha de Vida para Suicídio e Crise 988. O funcionamento ininterrupto da Linha 988 é crucial para a saúde e segurança de milhões de americanos. Esses serviços foram severamente afetados em dezembro de 2022 por um ataque cibernético que comprometeu a infraestrutura de rede crítica da 988, levando a uma interrupção nacional dos serviços que durou várias horas. Além disso, o Congresso aprovou a Lei de Reautorização do SUPPORT para Pacientes e Comunidades de 2025, que, entre outras coisas, inclui uma disposição para que a GAO apresente um relatório sobre os riscos e vulnerabilidades de cibersegurança da Linha 988.
Os objetivos deste relatório foram determinar em que medida o HHS forneceu supervisão de controles de cibersegurança para a Linha 988 e em que medida o administrador de rede da Linha 988 e os centros de contato de crise implementaram controles de cibersegurança selecionados.
Para isso, a GAO avaliou acordos cooperativos e de rede e a documentação relacionada à cibersegurança e comparou-os com as melhores práticas e controles selecionados do Instituto Nacional de Padrões e Tecnologia. A GAO também entrevistou funcionários do HHS, o administrador de rede e centros de contato de crise selecionados.
