Incidentes em hospitais reforçam proteção de dados de saúde

Incidentes de cibersegurança informados pelo Einstein Hospital Israelita e pelo Hospital Sírio-Libanês reforçam a necessidade de proteger dados de saúde sem interromper o atendimento. Segundo os comunicados citados pela fonte, as instituições acionaram medidas de investigação e comunicaram as autoridades competentes.

Em 8 de outubro, o Einstein informou ter identificado um ataque cibernético que resultou em acesso não autorizado a parte de sua base de dados de pacientes. Em 16 de outubro, o Sírio-Libanês divulgou um possível acesso indevido a um sistema interno de relatórios relacionado a projetos sociais.

Até as últimas informações divulgadas, não havia evidências confirmadas de divulgação pública ou uso indevido dos dados, de acordo com a fonte. O Einstein afirmou que seus sistemas assistenciais continuaram operando normalmente. Já o Sírio-Libanês informou que o episódio ficou restrito ao sistema de relatórios dos projetos sociais, sem atingir a base geral de pacientes nem interromper atendimentos.

Funcionamento dos sistemas não garante proteção dos dados

Para Rafael Franco, especialista em tecnologia e soluções corporativas e fundador da Joya Solutions, manter os sistemas disponíveis é importante para evitar interrupções no atendimento, mas isso não significa, por si só, que todas as informações estejam protegidas. Segundo ele, a instituição precisa identificar o que foi acessado, quais dados podem ter sido envolvidos e que medidas ajudam a evitar novas ocorrências.

Históricos de atendimento, prescrições, resultados de exames e documentos cadastrais podem revelar aspectos íntimos da vida dos pacientes. Por isso, Franco afirma que as organizações precisam saber onde os dados estão armazenados, quais sistemas podem acessá-los e quais pessoas necessitam, de fato, dessas permissões.

Permissões e integrações exigem controle

Hospitais usam plataformas distintas para atendimentos, exames, áreas administrativas, projetos e compartilhamento de informações entre profissionais. De acordo com o especialista, a conexão entre esses sistemas precisa prever quais dados podem circular, com qual finalidade e sob quais condições.

A gestão de acessos também é um ponto de atenção. Quando permissões de funcionários, prestadores de serviços ou fornecedores são amplas demais, permanecem ativas sem necessidade ou não passam por revisões periódicas, a organização pode perder o controle sobre quem consulta determinadas informações.

A Lei Geral de Proteção de Dados classifica dados referentes à saúde como dados pessoais sensíveis. Segundo Franco, além de ferramentas tecnológicas, instituições precisam revisar permissões, acompanhar registros de acesso, manter sistemas atualizados e estabelecer procedimentos para responder a atividades suspeitas. Mapear os dados e as dependências entre sistemas também ajuda a identificar ambientes afetados e definir medidas diante de um incidente.