Segurança da Informação Hospitalar: Essencial para a Qualidade dos Serviços de Saúde

Introdução

A segurança da informação hospitalar é crucial não apenas para proteger dados sensíveis, mas também para assegurar a qualidade dos serviços de saúde, garantindo que os cuidados aos pacientes não sejam comprometidos por falhas na proteção de informações críticas (Codebit). Em um mundo cada vez mais dependente da troca de informações, a gestão de segurança da informação desempenha um papel crítico na preservação dos ativos mais valiosos de qualquer organização: seus dados e informações (MARCONDES). 

1. Conceitos

Ativo de Informação

No contexto hospitalar, um ativo de informação pode ser qualquer dado que seja valioso para a organização. Isso pode incluir registros médicos de pacientes, resultados de exames, informações financeiras, entre outros.

Ameaça

Uma ameaça na segurança da informação é qualquer coisa que tenha o potencial de causar danos aos ativos de informação. Na conjuntura hospitalar, isso pode incluir ataques cibernéticos, como phishing ou ransomware, que visam roubar ou comprometer dados sensíveis.

Vulnerabilidade

Uma vulnerabilidade é uma fraqueza que pode ser explorada por uma ameaça. Em ambiente hospitalar, isso pode incluir sistemas desatualizados, falta de treinamento em segurança da informação para os funcionários ou procedimentos inadequados de backup e recuperação de dados.

Incidente

Um incidente é um evento com o potencial de causar danos aos ativos de informação. Em cenário hospitalar, isso pode incluir um ataque cibernético bem-sucedido, perda ou roubo de equipamentos contendo dados sensíveis, ou divulgação não autorizada de informações do paciente.

Probabilidade

A probabilidade é a chance de uma ameaça explorar uma vulnerabilidade e causar um incidente. Na circunstância hospitalar, a probabilidade pode ser influenciada por vários fatores, como o nível de segurança da informação implementado e a conscientização dos funcionários sobre as práticas de segurança.

Impacto

O impacto é o dano potencial que um incidente pode causar. Em hospitais, o impacto pode ser muito alto, pois a violação dos dados do paciente pode levar a danos financeiros significativos e perda de reputação para a organização.

Risco

O risco é a combinação da probabilidade e do impacto. Gerenciar o risco em hospitais envolve implementar medidas para reduzir tanto a probabilidade quanto o impacto dos incidentes.

Com os avanços tecnológicos, impulsionados pela Transformação Digital, surgem também cada vez mais ameaças às instituições de saúde (Pixeon). Apresentamos a seguir, alguns dos principais riscos e ameaças que as instituições de saúde enfrentam.

2. Desastres Naturais

Os desastres naturais também representam um risco para as instituições de saúde, por poderem causar interrupções significativas nos serviços e na disponibilidade dos dados (Scurra). 

Sobre esses desastres, sabemos que o Brasil é um país vasto e geograficamente diverso, o que significa que a propensão a diferentes tipos de desastres naturais varia amplamente em todo o território, como:

Deslizamentos de Terra: O Brasil é propenso a inundações e deslizamentos de terra, principalmente nas regiões com fortes chuvas, como as regiões Sul e sudeste. Durante a estação chuvosa, áreas urbanas em encostas de morros e regiões ribeirinhas são particularmente vulneráveis.

Inundações Costeiras: O litoral brasileiro, especialmente a região Nordeste, está sujeito a tempestades tropicais e inundações costeiras, que podem causar danos significativos.

Terremotos: Embora o Brasil não seja uma área de alto risco sísmico em comparação com algumas outras partes do mundo, ainda existem registros de terremotos de baixa intensidade, principalmente na região Norte do país.

Tornados e Furacões: Extremamente raros no Brasil. Não são eventos comuns e não representam uma ameaça significativa.

É importante observar que as mudanças climáticas estão afetando a frequência e a intensidade de alguns desastres naturais, como secas mais prolongadas, chuvas intensas e inundações. Portanto, a capacidade de prever e responder a esses eventos torna-se ainda mais crítica para mitigar seus impactos. Cada região do Brasil possui seu próprio conjunto de riscos naturais, e é importante que as autoridades locais, bem como a população, estejam preparadas e adotem medidas de prevenção e resposta apropriadas com base em sua localização geográfica específica.

Desastres naturais, como terremotos, inundações ou furacões, podem causar danos físicos significativos às infraestruturas de TI dos hospitais, como servidores e redes. Isso pode levar à perda de dados ou à interrupção dos serviços de TI, afetando a capacidade do hospital de fornecer cuidados aos pacientes (Scielo).

3. Ameaças Cibernéticas e Violações de Segurança

Violações de Segurança

As violações de segurança são uma grande ameaça para as instituições de saúde. Elas podem ocorrer quando um invasor não autorizado consegue acessar informações sensíveis, como dados pessoais dos pacientes (Scurra).

Ataques Cibernéticos

Os ataques cibernéticos são uma ameaça crescente para as instituições de saúde (Pixeon, Scurra). Um exemplo disso é o ransomware, onde os hackers se apossam das informações dos computadores da empresa sem apagar ou movê-los, apenas encriptando todos os seus dados (Ohub).

Perda ou Roubo de Dados

A perda ou roubo de dados é outro risco significativo para as instituições de saúde. Isso pode acontecer quando os dados são fisicamente roubados (por exemplo, através do roubo de um laptop) ou quando são perdidos devido a falhas no sistema (Scurra).

A violação ou perda de dados pode ter impactos negativos significativos. Isso pode resultar em interrupção da produtividade, multas e penalidades da Lei Geral de Proteção de Dados (LGPD), danos à reputação da instituição, perda de clientes e até falha permanente nos negócios (MICROSERVICEIT). Além disso, a violação de dados pessoais tem o potencial de ocasionar danos materiais ou morais, tais como discriminação, violação do direito à imagem e à reputação, fraudes financeiras e roubo de identidade (SERPRO).

4. Falhas Internas e Falta de Políticas de Segurança

Falhas no Sistema

As falhas no sistema podem levar à perda de dados ou à incapacidade de acessar os sistemas necessários para o atendimento ao paciente (Scurra).

Softwares Desatualizados

Os softwares desatualizados podem apresentar vulnerabilidades que podem ser exploradas por invasores, representando um risco significativo para a segurança da informação (Siteware).

Política de Segurança da Informação Ausente

A ausência de uma política de segurança da informação bem estruturada pode levar a lacunas na proteção dos dados e aumentar a vulnerabilidade a ataques (Siteware).

Para mitigar esses riscos e ameaças, é essencial que as instituições de saúde implementem práticas robustas de segurança da informação, incluindo a avaliação regular dos riscos, a implementação de medidas preventivas e a formação contínua dos funcionários em práticas seguras (Medicina SA, Pixeon).

5. Benefícios da Segurança da Informação

A segurança da informação traz vários benefícios para a gestão, eficiência e confiança dos pacientes. Ela ajuda a controlar acessos, detectar e antecipar vulnerabilidades ou falhas, resguardar arquivos (inclusive em backup) para situações críticas, reduzir eventuais danos e contar com conexões seguras (VIVOMEUNEGOCIO). Além disso, proporciona melhor consciência da segurança da informação, maior controle de ativos e informações confidenciais, fornece uma abordagem para implementação de políticas de controle, oportunidade para identificar e corrigir deficiências e reduz o risco de responsabilidade por não implementar um Sistema de Gestão da Segurança da Informação (SGSI) ou determinar políticas e procedimentos (ProMove).

Conclusão

Em resumo, a segurança da informação hospitalar é um pilar fundamental para garantir a qualidade dos serviços de saúde. Investir em medidas eficazes de segurança da informação não apenas protege dados sensíveis, mas também assegura que os pacientes recebam cuidados de alta qualidade, preservando a confiança e a reputação das instituições de saúde. 

Referências

Codebit. Segurança da Informação Hospitalar: uma prática essencial. https://codebit.com.br/blog/seguranca-informacao-hospitalar-pratica-essencial. Acesso em: 02/11/2023.

MARCONDES, José Sergio (20 de outubro de 2020). Gestão de Segurança da Informação: O que é e como se proteger. Disponível em Blog Gestão de Segurança Privada: https://gestaodesegurancaprivada.com.br/gestao-de-seguranca-da-informacao-conceitos-processos/ – Acessado em 02/11/2023.

Medicina SA. Segurança da Informação e Dados: os desafios no setor de saúde. https://medicinasa.com.br/seguranca-informacao-saude/. Acesso em: 26/10/2023.

MICROSERVICEIT. Perda de dados: 6 impactos negativos para as empresas. https://www.microserviceit.com.br/perda-de-dados-6-impactos-negativos-para-as-empresas/. Acesso em: 02/11/2023.

Ohub. 5 principais ameaças à segurança da informação: conheça! — Ideias. https://www.ohub.com.br/ideias/ameacas-a-seguranca-da-informacao/. Acesso em: 26/10/2023.

Pixeon. Práticas essenciais para segurança da informação na área da saúde. https://www.pixeon.com/blog/praticas-essenciais-para-seguranca-da-informacao-na-area-da-saude/. Acesso em: 26/10/2023.

ProMove. ISO 27002: O que é e qual sua importância para a LGPD? —  https://promovesolucoes.com/iso-27002-o-que-e-e-qual-sua-importancia-para-a-lgpd/. Acesso em: 02/11/2023.

Scielo. Vigilância em saúde e desastres de origem natural: uma revisão da literatura. https://www.scielo.br/j/sdeb/a/r9zSX6hpvbvkY47gwtdyqTq/. Acesso em: 26/10/2023.

SERPRO. Violação de dados pessoais: o que fazer antes, durante e depois… https://www.serpro.gov.br/menu/noticias/noticias-2022/o-que-fazer-em-caso-de-violacao-de-dados-pessoais. Acesso em: 02/11/2023.

Siteware. O que é uma ameaça em segurança da informação? — https://www.siteware.com.br/seguranca/o-que-e-uma-ameaca-em-seguranca-da-informacao/. Acesso em: 26/10/2023.

Scurra. Gestão de Riscos de TI: gerencie ameaças e vulnerabilidades de sistemas… https://www.scurra.com.br/blog/gestao-de-riscos-de-ti-gerencie-ameacas-e-vulnerabilidades-de-sistemas-e-seguranca/. Acesso em: 26/10/2023.

VIVOMEUNEGOCIO. Segurança da informação: um guia completo sobre o assunto. https://vivomeunegocio.com.br/conteudos-gerais/gerenciar/guia-seguranca-da-informacao/. Acesso em: 26/10/2023.