A norma NEN 7510 é obrigatória?

Para as organizações da área da saúde na Holanda, surge frequentemente a questão de saber se a norma NEN 7510 é exigida por lei. A norma em si não é uma lei, mas, por meio da legislação e da supervisão regulatória, a NEN 7510 é obrigatória para praticamente todas as organizações que lidam com dados pessoais médicos. Este artigo explica o que isso significa, a quem se aplica e por que a capacitação em conscientização sobre segurança é parte indissociável da conformidade.

O que é a norma NEN 7510?

A NEN 7510 é a norma holandesa para a segurança da informação no setor da saúde. Baseia-se nas normas ISO 27001 e ISO 27002, mas foi especificamente adaptada ao setor da saúde. Ela descreve como as organizações de saúde devem proteger os dados dos pacientes: desde o controle de acesso e a criptografia até políticas, auditorias e treinamento de funcionários.

A norma NEN 7510 é exigida por lei?

A norma NEN 7510 não é uma lei em si, mas é exigida por lei na prática. A norma é explicitamente mencionada na Lei Holandesa sobre Disposições Adicionais para o Tratamento de Dados Pessoais na Área da Saúde (Wabvpz) e faz parte do quadro de avaliação utilizado pela Inspeção Holandesa de Saúde e Juventude (IGJ). As organizações conectadas ao Ponto de Intercâmbio Nacional (LSP) devem comprovar o cumprimento da norma NEN 7510.

Em resumo: a norma NEN 7510 é obrigatória para todas as instituições de saúde que trocam dados médicos por via eletrônica. O não cumprimento da norma acarreta não apenas o risco de receber uma notificação formal da IGJ, mas também sérios danos à reputação em caso de violação de dados.

A quem se aplica a norma NEN 7510?

A norma se aplica a organizações da área da saúde que tratam dados pessoais relacionados à saúde. Isso inclui:

• Hospitais e clínicas
• Consultórios de clínicos gerais
• Instituições de saúde mental
• Farmacêuticos
• Organizações de atendimento domiciliar
• Fornecedores de software para o setor de saúde (na qualidade de subcontratantes)

Na prática, os fornecedores de TI que prestam serviços a organizações da área da saúde também se enquadram no âmbito da norma.

Por que a norma NEN 7510 e a formação em conscientização sobre segurança andam de mãos dadas

Grande parte dos incidentes de segurança na área da saúde não decorre de vulnerabilidades técnicas, mas do comportamento humano. Um funcionário que clica em um link de phishing, compartilha uma senha ou deixa a tela desprotegida pode causar mais danos do que a maioria das explorações técnicas.

A norma NEN 7510 reconhece isso. A norma exige que os funcionários recebam treinamento comprovado em segurança da informação, adaptado às suas funções. Sessões pontuais de conscientização não são suficientes: o treinamento deve ser repetido regularmente e os resultados devem ser documentados para fins de auditoria.

É exatamente por isso que a norma NEN 7510 e a formação em conscientização sobre segurança são indissociáveis. As medidas técnicas protegem os sistemas. Funcionários conscientes protegem a organização.

Como cumprir os requisitos de treinamento da norma NEN 7510

Cumprir os requisitos de treinamento da norma NEN 7510 exige mais do que um módulo anual de e-learning. Um treinamento eficaz é contínuo, mensurável e se adapta à realidade cotidiana dos profissionais de saúde.

A Guardey oferece treinamento sobre a norma NEN 7510 em conformidade com os requisitos da norma: microtreinamentos semanais, simulações de phishing e relatórios prontos para auditoria, destinados ao IGJ ou a um auditor externo.