Prontuário eletrônico indisponível. Prescrições inacessíveis. Imagens médicas bloqueadas por ransomware. Monitoramento de pacientes interrompido. No setor de saúde, a falha dos sistemas de TI tem uma dimensão que não existe em nenhum outro setor: pode afetar diretamente a segurança do paciente. Ao mesmo tempo, esses sistemas tratam os dados mais sensíveis previstos na LGPD — com proteção reforçada, fiscalização prioritária da ANPD e consequências regulatórias sérias em caso de incidente. Segurança da informação, continuidade de negócios e privacidade não são três projetos separados para o setor de saúde. São uma responsabilidade integrada.
Quem conduz o projeto
Hospitais, clínicas, laboratórios e operadoras operam em um ambiente onde segurança cibernética, continuidade operacional e proteção de dados sensíveis são inseparáveis — porque os sistemas são críticos, os dados são sensíveis e os atacantes sabem das duas coisas.
Grupos de ransomware priorizam hospitais porque a pressão para pagar é máxima — a indisponibilidade de sistemas clínicos coloca vidas em risco e cria urgência que nenhum outro setor replica. No Brasil, o setor de saúde lidera os rankings de incidentes cibernéticos notificados, com casos em grandes hospitais públicos e privados nos últimos anos.
Prontuário eletrônico, sistema de prescrição médica, imagem diagnóstica (PACS), monitoramento de UTI, bomba de infusão conectada, agendamento cirúrgico — são sistemas onde a indisponibilidade não é interrupção de negócio: é risco assistencial. A continuidade desses sistemas exige planejamento técnico específico, com RTOs definidos por criticidade clínica.
O artigo 11 da LGPD classifica dados de saúde como dados sensíveis — com bases legais mais limitadas, obrigações de proteção reforçadas e fiscalização prioritária da ANPD. Um vazamento de dados de pacientes em um hospital não é apenas um incidente de segurança: é um evento regulatório com notificação obrigatória, potencial de multa e impacto reputacional severo com os pacientes.
Hospitais integram com laboratórios, clínicas parceiras, operadoras de planos, sistemas do governo (RNDS, SCTIE), fornecedores de equipamentos conectados e plataformas de telemedicina. Cada integração é um vetor de risco adicional — tanto para a segurança dos sistemas quanto para a privacidade dos dados compartilhados. A superfície de ataque e de vazamento vai muito além do perímetro interno.
Equipamentos de monitoramento, bombas de infusão, ventiladores e scanners de diagnóstico conectados à rede hospitalar criam uma superfície de ataque que os controles tradicionais de TI não cobrem adequadamente. Esses dispositivos raramente recebem patches de segurança e frequentemente operam com sistemas operacionais legados — combinação crítica de vulnerabilidade.
ONA, JCI, ISO 9001 e os requisitos técnicos da ANS para operadoras passaram a incluir — formal ou informalmente — evidências de controles de segurança da informação e proteção de dados. Organizações em processo de acreditação ou renovação encontram questões de segurança e privacidade com peso crescente nas avaliações.
Nossa atuação é consultiva e técnica. Avaliamos riscos, especificamos controles, mapeamos dados pessoais e elaboramos os planos de continuidade — orientando a equipe de TI do hospital ou da clínica na implantação. Para sistemas e infraestrutura, especificamos os requisitos ou elaboramos as RFPs para contratação. Não prestamos assessoria jurídica — o lado legal da LGPD fica com o time jurídico ou com o escritório de advocacia parceiro.
Os três domínios se cruzam em cada sistema crítico de saúde — um prontuário eletrônico é simultaneamente um ativo de segurança da informação, um componente crítico de continuidade e um repositório de dados pessoais sensíveis. Tratá-los de forma integrada é mais eficiente e mais eficaz do que três projetos separados.
Avaliação do estado atual da organização nos três domínios simultaneamente — inventário de sistemas clínicos e administrativos, controles de segurança existentes, capacidade de recuperação após incidente e mapeamento preliminar de dados pessoais tratados. O diagnóstico integrado identifica as interdependências entre os três domínios e prioriza as lacunas de maior risco para a organização.
Diagnóstico integrado · Sistemas clínicos · Linha de baseAvaliação de riscos que considera as ameaças específicas do setor — ransomware em sistemas clínicos, acesso não autorizado a prontuários, indisponibilidade de sistemas de suporte à vida, fraude em dados de planos de saúde e ataques a dispositivos médicos conectados. O impacto é avaliado em três dimensões: segurança do paciente, conformidade regulatória e continuidade operacional.
ISO 27005 · Ameaças específicas · Impacto assistencialIdentificação de todos os fluxos de dados pessoais de saúde — onde são coletados, em quais sistemas ficam armazenados, quem acessa, com quem são compartilhados (laboratórios, operadoras, RNDS, sistemas do governo) e por quanto tempo são retidos. O mapeamento técnico é o insumo que o time jurídico usa para definir bases legais e que a equipe de TI usa para priorizar controles de proteção.
Dados sensíveis · ROPA técnico · Fluxos de dadosAnálise de Impacto nos Negócios (BIA) com classificação de sistemas por criticidade clínica — distinguindo o que não pode parar de forma alguma (monitoramento de UTI, sistemas de suporte à vida), o que precisa ser recuperado em minutos (prontuário, prescrição), o que tolera horas (agendamento, faturamento) e o que pode aguardar dias (sistemas administrativos). RTOs definidos por criticidade clínica, não apenas por impacto operacional.
BIA · RTO clínico · ISO 22301 · Prioridade assistencialPara cada lacuna identificada, especificamos o controle técnico necessário e como deve ser implantado — em linguagem que a equipe de TI hospitalar consiga executar. Controles de segurança para sistemas clínicos têm restrições específicas: atualizações de patches precisam ser coordenadas com os fornecedores dos sistemas, e mudanças de configuração precisam considerar impacto na homologação dos sistemas pela ANVISA. Essa especificidade é parte do nosso trabalho.
Controles técnicos · ANVISA · Especificação executávelElaboração do processo de resposta a incidentes de segurança e de privacidade — com fluxos de detecção, contenção, avaliação de impacto clínico, notificação à ANPD (72 horas) e comunicação a pacientes afetados. Treinamentos para equipes de TI, clínicas e administrativas — porque um incidente de ransomware em hospital exige coordenação entre TI, equipe assistencial e liderança, não apenas resposta técnica.
Resposta a incidentes · ANPD 72h · Coordenação clínicaO perfil mais comum não é a organização negligente — é a organização que sempre priorizou a excelência assistencial e chegou ao ponto em que a maturidade tecnológica e regulatória precisa acompanhar a qualidade do cuidado.
Organizações com múltiplos sistemas clínicos integrados, grande volume de dados sensíveis, equipes de TI dedicadas e crescente pressão de acreditações e reguladores para demonstrar controles formais de segurança e privacidade.
Laboratórios que processam e armazenam resultados de exames de grande volume de pacientes, com integrações com sistemas de hospitais e clínicas parceiras — onde o risco de privacidade se estende além do próprio laboratório para toda a cadeia de compartilhamento.
Organizações de médio porte com prontuário eletrônico, telemedicina e integrações com operadoras — que cresceram em digitalização sem crescer proporcionalmente em controles de segurança e privacidade, e que começam a receber questionários técnicos de operadoras e clientes corporativos.
Operadoras com obrigações sobrepostas da ANS, da ANPD e da LGPD — que tratam dados de saúde de grande volume de beneficiários e precisam demonstrar controles técnicos adequados tanto para fins regulatórios quanto para auditorias de credenciamento.
Empresas de tecnologia que desenvolvem sistemas clínicos, plataformas de telemedicina ou soluções de gestão hospitalar — que processam dados de saúde como operadores e precisam demonstrar para os clientes hospitalares que seus sistemas têm os controles de segurança e privacidade exigidos.
Organizações públicas e OSS que operam hospitais e UPAs com obrigações de LGPD iguais às do setor privado, frequentemente com infraestrutura de TI envelhecida, orçamento restrito e crescente pressão de órgãos de controle para demonstrar adequação regulatória.
Segurança da informação e privacidade em saúde exigem quem entenda tanto os frameworks de segurança quanto as especificidades do ambiente hospitalar — sistemas com restrições de atualização, equipes com foco assistencial e uma relação entre disponibilidade e risco de vida que não existe em outros setores.
A IT SECURE tem histórico de projetos em hospitais e grupos hospitalares de grande porte — diagnósticos de segurança, estruturação de áreas de SI e adequação à LGPD. Conhecemos as especificidades do ambiente: as restrições de patch em sistemas homologados pela ANVISA, a criticidade dos sistemas assistenciais e a dinâmica entre TI e equipes clínicas.
Não somos escritório de advocacia. Cuidamos com profundidade dos controles técnicos de segurança e privacidade. O lado jurídico da LGPD — bases legais para tratamento de dados de saúde, contratos com operadores, gestão de consentimento — fica com o time jurídico ou com o escritório parceiro. Cada especialidade no seu domínio.
Tratar segurança, continuidade e privacidade como um programa integrado é mais eficiente do que três projetos separados — porque os insumos são compartilhados (o mesmo inventário de sistemas serve aos três), os controles se reforçam mutuamente e a equipe de TI é mobilizada uma vez, não três.
Em saúde, segurança da informação não é só assunto de TI. Médicos que prescrevem em sistemas vulneráveis, enfermeiros que acessam prontuários de dispositivos pessoais, gestores que aprovam orçamentos de TI sem visibilidade de risco — todos precisam entender. Sabemos calibrar a linguagem para cada público.
Carlos Bernardo (CISSP, MBA GRC, ISO 22301 LI) e Rafael Batista (CDPSE, ISO 27701 LI, MSc FGV) conduzem cada etapa do projeto. A certificação CDPSE é específica para privacidade de dados — especialmente relevante para o tratamento de dados sensíveis de saúde.
Não somos parceiros de nenhum fornecedor de HIS, prontuário eletrônico ou sistemas de imagem médica. Nossas recomendações técnicas são orientadas pelo que a organização precisa — não por preferências comerciais. Quando indicamos soluções, o fazemos por meio de RFPs neutras que permitem à organização escolher o melhor fornecedor.
Em conformidade com o Código de Ética ISC2, preservamos a confidencialidade dos clientes.
Fale diretamente com nossos sócios — CISSP e CDPSE. A conversa inicial é sem custo e sem compromisso, e já nos permite entender o momento da sua organização e identificar as lacunas mais críticas no ambiente de TI e no tratamento de dados sensíveis.