Atividades — Segurança da Informação em Saúde
Este conjunto de atividades explora dimensões distintas do material deste módulo: a análise técnica de vetores de ataque e melhores práticas, a escolha de padrões de interoperabilidade e a auditoria integrada de segurança e conformidade legal em uma HealthTech fictícia. As respostas devem ser dissertativas e fundamentadas no material do módulo. O que o professor avaliará é a precisão da análise e a capacidade de articular o raciocínio técnico com as obrigações legais e com as consequências para pacientes — não a familiaridade com jargão de segurança.
Atividade 1 — Anatomia de um ataque: identificando o vetor, a falha e a prevenção
Contexto
O material deste módulo descreve os principais vetores de ataque que afetam o setor saúde: ransomware, phishing, ameaças internas (insiders maliciosos e negligentes) e vulnerabilidades em dispositivos médicos conectados. Cada vetor tem uma lógica de funcionamento específica, uma cadeia de eventos típica e um conjunto de medidas preventivas que podem interromper a cadeia em diferentes pontos. Compreender essa anatomia é o que permite identificar, diante de um incidente real, onde a cadeia começou, onde poderia ter sido interrompida e o que mudar para que não se repita.
Os dois cenários a seguir descrevem incidentes com mecanismos de ataque distintos.
Cenário 1: Na segunda semana de dezembro, um hospital de 350 leitos recebeu um e-mail aparentemente enviado pelo departamento de recursos humanos, com assunto “Atualização obrigatória do sistema de benefícios — prazo 48 horas”. O e-mail solicitava que o destinatário acessasse um link para confirmar seus dados cadastrais. Dezessete funcionários clicaram no link, que instalava silenciosamente um programa de captura de teclas no computador. Três semanas depois, as credenciais capturadas foram usadas para acessar o sistema de prontuários eletrônicos de fora da rede hospitalar. O acesso não autorizado durou 19 dias antes de ser detectado por uma anomalia nos logs de acesso.
Cenário 2: Uma clínica de cardiologia que realizava eletrocardiogramas conectados em rede havia adquirido, há seis anos, equipamentos de ECG de um fabricante que deixou de oferecer atualizações de software dois anos após a compra. Os equipamentos continuavam funcionando bem clinicamente, mas operavam com um sistema operacional que não recebia correções de segurança. Um pesquisador de segurança externo contratado pela clínica para uma auditoria demonstrou ser capaz de, a partir da rede Wi-Fi do estacionamento, acessar os equipamentos, visualizar traçados de ECG em tempo real e, teoricamente, alterar os parâmetros de alerta de eventos críticos.
O que você deve fazer
Para cada cenário, produza uma análise dissertativa percorrendo quatro dimensões. A primeira dimensão é a identificação do vetor de ataque: que tipo de ataque o cenário descreve, segundo a taxonomia apresentada no material, e quais características do cenário permitem essa identificação? A segunda dimensão é a cadeia de eventos: descreva a sequência de etapas que tornou o ataque possível — o que o atacante fez e o que o ambiente-alvo deixou de fazer que viabilizou cada etapa. A terceira dimensão são os pontos de interrupção preventiva: em quais pontos da cadeia o ataque poderia ter sido interrompido, e que medida de segurança específica — descrita no material — teria produzido essa interrupção? A quarta dimensão são as lições para uma HealthTech: o que cada cenário ensina sobre como uma startup de saúde deve projetar seus sistemas e sua cultura de segurança para evitar vulnerabilidades análogas?
Atividade 2 — Escolhendo o padrão de interoperabilidade: HL7, FHIR e TISS em contexto
Contexto
O material deste módulo apresenta três padrões de interoperabilidade relevantes para o desenvolvimento de HealthTechs no Brasil: HL7 v2, o padrão de mensagens legado amplamente usado por sistemas hospitalares; FHIR (Fast Healthcare Interoperability Resources), o padrão moderno baseado em APIs REST e recursos padronizados; e TISS (Troca de Informação de Saúde Suplementar), o padrão obrigatório para comunicação com operadoras de saúde suplementar no Brasil, regulado pela ANS. A escolha do padrão correto não é apenas uma decisão técnica: ela determina com quais sistemas o produto pode se integrar, qual será o esforço de desenvolvimento da integração, quais são as obrigações regulatórias decorrentes e como os dados serão representados e protegidos durante o trânsito.
A HealthTech fictícia descrita a seguir precisa de quatro integrações distintas para funcionar. Leia a descrição com atenção.
MedTrack é uma startup que desenvolve uma plataforma de coordenação do cuidado para pacientes com doenças crônicas complexas — especialmente aqueles que precisam interagir com múltiplos especialistas, hospitais e laboratórios. A plataforma tem quatro integrações necessárias:
Integração A: receber automaticamente os resultados de exames laboratoriais de laboratórios parceiros que usam sistemas de gestão laboratorial com infraestrutura de tecnologia da informação da década de 2000, cujos sistemas já operam com um protocolo de mensagens clínicas consolidado e amplamente adotado.
Integração B: permitir que médicos parceiros que usam prontuários eletrônicos modernos acessem e atualizem o resumo clínico do paciente na plataforma MedTrack por meio de chamadas de API padronizadas, sem necessidade de reimplementação por parte do prontuário parceiro, usando um padrão reconhecido internacionalmente e incentivado pelo Ministério da Saúde brasileiro por meio da Rede Nacional de Dados em Saúde (RNDS).
Integração C: enviar solicitações de autorização prévia para procedimentos cobertos por planos de saúde e receber as respostas das operadoras, cumprindo o formato exigido pela regulação da ANS.
Integração D: receber dados de wearables (smartwatches e monitores de frequência cardíaca) utilizados pelos pacientes para acompanhamento remoto de sinais vitais entre consultas. Esses dispositivos não seguem nenhum padrão clínico consolidado — cada fabricante usa seu próprio formato de API proprietária.
O que você deve fazer
Analise cada uma das quatro integrações em texto dissertativo. Para cada integração, o grupo deve indicar: qual padrão de interoperabilidade — HL7 v2, FHIR ou TISS — é o mais adequado, e por que a especificidade da integração leva a essa escolha; quais as principais implicações técnicas e regulatórias dessa escolha para o desenvolvimento da plataforma; e quais riscos de segurança ou privacidade essa integração introduz e como o design da plataforma deveria abordá-los — considerando especialmente as obrigações da LGPD para o trânsito de dados sensíveis de saúde.
Para a Integração D — wearables com API proprietária — o grupo deve também responder: quando não existe um padrão interoperável disponível, quais são as estratégias que uma HealthTech pode adotar, e quais são as implicações de cada estratégia para a segurança dos dados e para a viabilidade do produto?
Atividade 3 — Auditoria integrada de segurança e conformidade em uma HealthTech
Contexto
O material deste módulo apresenta a segurança da informação e a conformidade com a LGPD não como dois problemas separados, mas como dimensões complementares da mesma obrigação: proteger os dados dos usuários de forma técnica e legalmente sustentada. Uma HealthTech que implementa criptografia sofisticada mas não tem base legal para o tratamento dos dados que coleta não está protegida. Uma HealthTech que cumpre os formalismos da LGPD mas não adota medidas técnicas básicas de segurança também não está protegida. A análise integrada é a única que produz um diagnóstico útil.
A startup fictícia a seguir foi descrita com um nível deliberado de detalhe para permitir uma auditoria estruturada. Leia com atenção antes de iniciar a análise.
PsychConnect é uma plataforma de telepsiquiatria voltada a adultos com transtornos de ansiedade e depressão. O produto funciona da seguinte forma: o paciente se cadastra com nome, CPF, data de nascimento e e-mail. Após o cadastro, responde a um questionário de triagem com escalas validadas (PHQ-9 e GAD-7). Os resultados são usados pelo algoritmo da plataforma para sugerir o nível de cuidado mais adequado (autoajuda guiada, consulta com psicólogo ou consulta com psiquiatra). Se o paciente optar por consulta, a plataforma oferece agendamento com profissionais parceiros via videochamada. Os registros das consultas (em formato de texto estruturado preenchido pelo profissional) são armazenados nos servidores da plataforma e acessíveis ao profissional e ao paciente. O paciente assina, no cadastro, um “Termo de Uso e Privacidade” de duas páginas que autoriza genericamente “o uso dos dados para melhoria dos serviços”.
A plataforma não implementa autenticação de dois fatores. As senhas dos usuários exigem apenas seis caracteres. Os dados são armazenados em banco de dados na nuvem, sem criptografia em repouso. As videochamadas usam uma plataforma de videoconferência de uso geral, não específica para saúde, sem garantias explícitas de conformidade com normas de privacidade em saúde. O profissional parceiro acessa os registros do paciente com as mesmas credenciais que usa para outros sistemas.
A startup tem dois desenvolvedores, não tem um Encarregado de Dados (DPO) designado e nunca realizou um Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
O que você deve fazer
Produza uma auditoria integrada de segurança e conformidade legal da PsychConnect em texto dissertativo, percorrendo quatro dimensões.
A primeira dimensão é a análise da base legal: os dados coletados pela PsychConnect — especificamente os resultados das escalas psicométricas e os registros das consultas — são dados sensíveis segundo o Art. 5, XI da LGPD? O “Termo de Uso e Privacidade” descrito é suficiente para estabelecer uma base legal válida para o tratamento desses dados segundo o Art. 11? Se não, o que precisaria ser diferente?
A segunda dimensão é a análise de vulnerabilidades técnicas: identifique pelo menos quatro vulnerabilidades de segurança concretas descritas no cenário e, para cada uma, classifique qual pilar da Tríade CIA ela compromete e qual medida específica — descrita no material — resolveria ou mitigaria a vulnerabilidade.
A terceira dimensão é a análise de conformidade organizacional: quais obrigações da LGPD a PsychConnect está descumprindo do ponto de vista organizacional — não apenas técnico? Para cada obrigação identificada, cite o artigo aplicável e descreva o que a startup precisaria fazer para entrar em conformidade.
A quarta dimensão é a recomendação prioritizada: se a startup tivesse recursos limitados para implementar melhorias e precisasse priorizar, quais seriam as três ações mais urgentes — considerando tanto a gravidade do risco para os pacientes quanto a exposição legal da empresa? Justifique a priorização com base nos critérios apresentados no material.