Saúde sob ataque: dados críticos, terceiros e investimentos otimizados

Avanço do cibercrime desafia saúde a reforçar segurança, compliance e controle sobre fornecedoresAvanço do cibercrime desafia saúde a reforçar segurança, compliance e controle sobre fornecedores O setor de saúde tornou-se alvo prioritário do cibercrime. Em 2026, ataques de ransomware cresceram quase 14% no primeiro semestre, segundo a Comparitech, atingindo hospitais, clínicas e fornecedores. No Brasil, a ANPD investiga falhas na proteção de centenas de milhares de registros e secretarias estaduais registraram interrupções de sistemas. Relatórios internacionais mostram que a quase totalidade das organizações de saúde sofreu ao menos um ataque no último ano, com interrupções diretas no atendimento em cerca de três em cada quatro casos. “Dados de saúde são irrecuperáveis. Um prontuário, diagnóstico ou resultado de exame não se cancela como um cartão de crédito e tem valor duradouro no mercado ilegal”, alerta Célio Vasconcellos, CEO da EONTA. Na LGPD, essas informações são classificadas como dados sensíveis (arts. 5º, II e 11), sujeitos a bases legais restritas e a medidas técnicas e administrativas adequadas (art. 46). Obrigações e prazos da ANPD Incidentes com risco ou dano relevante aos titulares exigem comunicação à ANPD e aos afetados em três dias úteis, contados do conhecimento de que dados pessoais foram atingidos (Resolução CD/ANPD 15/2024). Informações podem ser complementadas em até 20 dias úteis. Todos os incidentes devem ser registrados por no mínimo cinco anos. “A responsabilidade não se transfere na terceirização”, destaca Nilson Vianna, CEO da SmartCyber, ressaltando que o controlador deve exigir dos operadores contratos com cláusulas de proteção, notificação de incidentes e direito de auditoria. Cibercrime no setor da saúde: terceiros como principal vetor “A maioria dos ataques não começa no perímetro do hospital, pois fornecedores de prontuário, nuvem, faturamento, dispositivos médicos e prestadores de serviço gerenciado são pontos de entrada frequentes”, explica Vianna. Segundo o especialista, um único comprometimento em provedor compartilhado multiplica o impacto. Acessos remotos permanentes, contas privilegiadas e falta de inventário atualizado ampliam o risco. “A gestão de riscos de terceiros deixou de ser checklist de contrato. Precisa de inventário dinâmico, classificação por criticidade, monitoramento contínuo e testes que mostrem se o acesso do fornecedor realmente se limita ao autorizado”, pontua Célio. “Sem avaliação independente, a falha do terceiro só aparece quando o sistema clínico para”. Investimentos otimizados Orçamentos apertados exigem priorização por risco. O ponto de partida é um diagnóstico de maturidade que mapeie ativos críticos e dependências de terceiros. Controles de maior retorno incluem autenticação multifator, segmentação de rede, backups imutáveis e testados, inventário de acessos de fornecedores e plano de resposta alinhado ao prazo da ANPD. “O investimento otimizado reduz o risco residual com evidência, não compra mais ferramentas”, observa Nilson. Para ele, contra o cibercrime é preciso ter estratégia. “Uma avaliação de maturidade mostra onde o controle gera maior proteção à continuidade do atendimento. Testes técnicos independentes validam se o que foi implementado funciona contra os vetores reais”. “Preparar a organização com base em riscos reais e obter evidência de que os controles críticos, inclusive os dependentes de terceiros, estão efetivos é o caminho para reduzir o impacto”, conclui Vasconcellos. A interrupção de sistemas pode atrasar exames, cancelar procedimentos e colocar o paciente em risco. Cibersegurança deixa de ser custo de TI e passa a ser requisito de continuidade assistencial e conformidade. Para saber mais, acesse eonta.net e smartcyber.com.