Cibersegurança em sistemas de saúde municipal: o que precisa estar pronto antes do incidente

Quando se fala em segurança da informação em saúde, a imagem que vem à cabeça é o vazamento de dados. Ele é grave, mas o evento mais frequente e mais imediato é outro: o sistema fora do ar durante o expediente. Uma unidade que não consegue consultar a fila, confirmar um agendamento ou registrar um atendimento para de funcionar em minutos, e o custo aparece na mesma hora, em fila de pessoas na recepção.

Por isso o primeiro item de um plano de segurança municipal não é uma ferramenta, é uma resposta escrita para a pergunta simples: o que a recepção faz nas próximas duas horas se o sistema não voltar. A resposta precisa estar impressa, disponível na unidade e testada, porque no momento em que ela é necessária a intranet também está fora.

A pergunta que revela o estado real da proteção de um município não é se existe backup, mas quando foi a última vez que alguém restaurou um. Cópia que nunca foi lida de volta pode estar corrompida, incompleta ou apontando para uma versão de estrutura que o sistema atual não entende mais, e ninguém descobre isso no dia tranquilo.

O teste precisa ser periódico, registrado e feito em ambiente separado da produção. O registro deve dizer a data, quem executou, quanto tempo levou e o que foi verificado depois de restaurar. Esse documento vale mais que qualquer declaração de fornecedor, porque é evidência de que o caminho de volta funciona.

Em sistema de saúde, acesso é assunto de proteção do paciente antes de ser assunto de tecnologia. Cada pessoa deve entrar com conta própria, nunca compartilhada, e enxergar apenas o que a função exige. Recepção precisa ver agenda e cadastro, não precisa ver histórico clínico completo. Gestão precisa ver indicador agregado, e raramente precisa ver o nome por trás dele.

Duas práticas fecham a maior parte da exposição sem custo relevante: segundo fator de autenticação para quem tem perfil administrativo e revisão periódica de quem ainda tem acesso. A segunda costuma ser esquecida, e é comum encontrar contas ativas de pessoas que saíram do município meses antes.

Todo acesso a dado identificado deve deixar registro consultável. Trilha de acesso não impede o uso indevido, mas torna a apuração possível, e a possibilidade de apuração é o que sustenta a regra na prática.

A Lei Geral de Proteção de Dados exige comunicação à autoridade nacional e aos titulares quando um incidente de segurança pode acarretar risco ou dano relevante. Dado de saúde é sensível, o que eleva a probabilidade de o incidente se enquadrar nessa exigência. O município precisa saber, antes de acontecer, quem escreve essa comunicação, quem assina e em quanto tempo.

Nas primeiras horas, três ações valem mais que qualquer outra: preservar evidência em vez de apagar rastro, delimitar o alcance do incidente com base em registro e não em impressão, e informar quem tem competência para decidir. Reinstalar o servidor às pressas costuma destruir a única informação que permitiria saber o que foi acessado.