Segurança da informação na área da saúde: por que ela é diferente e onde surgem os problemas

A segurança da informação na área da saúde significa proteger os dados dos pacientes e garantir o funcionamento contínuo dos serviços de atendimento; nesse setor, esses dois aspectos constituem um único e mesmo problema. Um prontuário médico que vazou não pode ser recuperado da mesma forma que uma senha roubada pode ser redefinida, e um sistema de registros bloqueado não causa apenas transtornos: isso significa procedimentos adiados e históricos de medicação que ninguém consegue consultar. É por isso que, neste contexto, a segurança é uma questão de segurança do paciente, e não apenas uma preocupação de TI.

A seguir, analisamos por que o setor é um alvo tão atraente, quais regras se aplicam e o que elas realmente exigem, onde surgem os problemas em um dia normal de trabalho e como organizar o aspecto humano sem prejudicar a prestação dos cuidados em si.

Por que o setor de saúde é alvo de ataques

Os dados médicos têm mais valor para um criminoso do que um número de cartão de crédito, pois não podem ser bloqueados nem substituídos. Um arquivo reúne dados de identidade, histórico de tratamentos e informações sobre seguro, e permanece válido por toda a vida. Isso o torna atraente para fraudes, extorsão de pessoas físicas e revenda.

Além disso, há a pressão a que as organizações de saúde estão sujeitas. Um invasor que criptografa os sistemas de um hospital ou de uma instituição de saúde sabe que esperar não é uma opção: o atendimento não pode ser interrompido enquanto a situação é investigada com calma. Essa urgência é exatamente o que alimenta a extorsão, e os criminosos sabem disso.

Por fim, o setor é um alvo excepcionalmente complexo de se defender. A área de cuidados de saúde funciona com turnos de trabalho e equipes rotativas, estações de trabalho compartilhadas, dispositivos pessoais, equipamentos médicos conectados com longos ciclos de vida e um amplo círculo de partes externas: fornecedores, laboratórios, clínicos gerais e farmácias. Cada conexão é uma porta de entrada, e poucas delas podem simplesmente ser desligadas.

As normas aplicáveis: NEN 7510, a AVG e a NIS2

O setor de saúde holandês possui sua própria norma de segurança da informação. A NEN 7510 baseia-se na estrutura internacional da ISO 27001 e acrescenta requisitos específicos para dados de pacientes, o que significa que exige um sistema de gestão em funcionamento, em vez de uma lista de produtos adquiridos. Se ela é exigida por lei é uma questão à parte, que abordamos em nosso artigo sobre se a NEN 7510 é obrigatória.

Juntamente com ela, há a norma NEN 7513, que trata do registro de acessos: a capacidade de determinar posteriormente quem acessou qual registro. Essa norma existe porque o incidente de privacidade mais comum na área da saúde não é um ataque externo, mas sim um colega que acessa um arquivo que não deveria ter aberto.

Além disso, a AVG também se aplica, e os dados médicos são considerados dados de categoria especial, com os requisitos de tratamento mais rigorosos. Organizações de saúde de maior porte também podem estar sujeitas ao escopo da NIS2, o que implica obrigações relacionadas à gestão de riscos, notificação de incidentes e treinamento comprovado para funcionários e gestores. O que isso significa para cada tipo de organização está explicado em nosso artigo sobre como a NIS2 afeta o setor de saúde.

O fio condutor em todos eles é o mesmo: conheça seus riscos, organize o acesso de forma adequada e seja capaz de demonstrar que sua equipe sabe o que fazer. É nesse último requisito que a maioria das organizações apresenta as evidências mais fracas.

Onde surgem os problemas na prática cotidiana

Raramente por meio de um ataque sofisticado, e quase sempre por algo que fazia sentido naquele momento. O trabalho de cuidados é rápido, sujeito a interrupções e compartilhado, e as medidas de segurança que ignoram isso são contornadas em menos de uma semana.

• Contas compartilhadas em estações de trabalho compartilhadas. Um único login para o computador da enfermaria, pois fazer login e logout entre um paciente e outro consome minutos que ninguém tem. Isso funciona, até o momento em que é preciso determinar quem acessou um prontuário.
• Telas visíveis do corredor. Uma estação de trabalho no balcão, um tablet em um carrinho, um monitor em uma sala de atendimento com a porta aberta. O vazamento de dados mais comum na área da saúde não envolve nenhum aspecto técnico.
• Conversas com pacientes por meio de aplicativos de mensagens. Fotos de um ferimento enviadas pelo WhatsApp porque é mais rápido do que o canal oficial. Geralmente bem-intencionadas, raramente contempladas em qualquer acordo.
• Phishing direcionado à equipe de atendimento. Um e-mail sobre uma mudança na escala de plantão, uma solicitação urgente que parece ter vindo de um gerente, uma página falsa de login para o sistema de registros. A pressão do tempo é a melhor aliada do invasor.
• Curiosidade no sistema de registros. Pesquisar um colega, um vizinho ou um paciente conhecido. Trata-se de uma violação de privacidade mesmo quando nenhuma informação sai do prédio, e é justamente o registro que torna isso visível.
• Acesso que perdura após o término do contrato. Estagiários, funcionários temporários e ex-funcionários cujas contas permanecem ativas porque o processo de desligamento não é responsabilidade clara de ninguém.

O que essas situações têm em comum é que todas são decisões humanas tomadas sob pressão, e não falhas técnicas. Não é possível corrigi-las, mas é possível praticá-las.

Como lidar com isso sem prejudicar a qualidade do atendimento

As medidas eficazes na área da saúde são aquelas que se adaptam ao ritmo do trabalho. Tecnicamente, isso significa o login único com alternância rápida, de modo que o logout não seja mais um incômodo; autenticação multifatorial no acesso remoto; backups testados e mantidos offline; e segmentação da rede, para que uma estação de trabalho infectada não afete os equipamentos médicos.

Do ponto de vista humano, a sessão presencial anual é o formato menos adequado para esse setor: os trabalhadores em turnos a perdem, os funcionários temporários nunca participam e, quando chega a próxima sessão, as ameaças já mudaram. Treinamentos curtos e recorrentes funcionam melhor justamente porque cabem entre dois turnos, e uma simulação de phishing mostra o que as pessoas realmente fazem, em vez do que responderam em um questionário. Como uma organização de assistência médica incorpora isso à sua cultura é algo que exploramos em nosso artigo sobre a cultura de conscientização em segurança no setor de saúde holandês.

Um princípio é mais importante aqui do que em qualquer outro lugar: o relato deve ser impecável e rápido. Em um setor em que um erro é visto como uma falha em relação ao paciente, o instinto é ficar calado, e é justamente o silêncio que transforma um simples clique em um incidente que chega ao sistema de registros.

Como a Guardey apoia as organizações da área da saúde

O treinamento de conscientização em segurança da Guardey é estruturado em torno de desafios semanais de cerca de três minutos, com gamificação por meio de tabelas de classificação e sequências de dias consecutivos, além de conteúdo que acompanha as ameaças que realmente estão em circulação. Esse formato é o ponto-chave no setor de saúde: ele se encaixa em um intervalo, em vez de exigir uma tarde reservada para isso, e a equipe se capacita pelo aplicativo móvel para iOS e Android ou simplesmente no navegador, o que inclui colegas que nunca ficam sentados atrás de uma mesa.

Simulações integradas de phishing mostram se o reconhecimento se traduz em comportamento, e relatórios prontos para auditoria transformam a participação e o progresso em evidências para a norma NEN 7510, a AVG e a NIS2. Instituições de saúde, incluindo Psyned, Odion e a Roosevelt Kliniek, trabalham com a Guardey, e nossa página sobre treinamento de conscientização em segurança para o setor de saúde explica como isso funciona de acordo com cada tipo de organização. A configuração leva apenas alguns minutos.

Perguntas frequentes sobre segurança da informação na área da saúde

A norma NEN 7510 é obrigatória para todos os prestadores de cuidados?

Ela funciona como a norma do setor para o tratamento de dados de pacientes e, na prática, é o que supervisores, seguradoras e clientes esperam que você siga, embora a obrigação exata dependa da sua função e dos acordos que você tenha firmado. A certificação é uma escolha distinta de trabalhar de acordo com a norma; muitas organizações cumprem a segunda sem a primeira.

O que é considerado uma violação de dados no setor da saúde?

Qualquer situação em que dados pessoais tenham sido expostos a perda ou tratamento ilícito: um arquivo enviado ao destinatário errado, um dispositivo perdido, o acesso não autorizado a um registro ou um sistema que tenha sido criptografado. A necessidade de notificação depende do risco para as pessoas envolvidas e, no caso de dados médicos, esse limite é atingido rapidamente.

Como treinamos os funcionários que trabalham em turnos?

Ao abandonar a suposição de que todos possam estar na mesma sala. Módulos curtos no celular, disponíveis sempre que for necessário, alcançam os funcionários de agências e do turno da noite, que as aulas presenciais, por sua própria estrutura, não conseguem atingir. O que importa é o ritmo, e não a duração: alguns minutos por semana são melhores do que uma tarde por ano.

Podemos discutir sobre os pacientes pelo WhatsApp?

Os aplicativos de mensagens para consumidores não são projetados para dados de categorias especiais e, em geral, não se enquadram nos acordos que uma organização de saúde precisa estabelecer sobre o processamento e a retenção desses dados. A solução prática não é simplesmente proibir o uso desses aplicativos, mas oferecer uma alternativa igualmente rápida, pois uma regra que custa tempo acaba perdendo para o aplicativo que o economiza.

A segurança da informação na área da saúde depende, para seu sucesso ou fracasso, da adequação das medidas ao trabalho. Uma política que pressupõe atenção sem pressa será contornada por pessoas que não dispõem desse tempo, enquanto um pequeno hábito que se encaixa no intervalo entre dois pacientes tem chances de se manter. As organizações que acertam nesse ponto não são aquelas com as regras mais rígidas, mas aquelas em que relatar algo suspeito é tão normal quanto lavar as mãos.