Quando uma instituição recebe uma ameaça de divulgação de dados, precisa descobrir rapidamente o que foi acessado, de quais sistemas e se o acesso continua ativo. Essas respostas orientam decisões sobre contenção, comunicação e continuidade do atendimento.
Na saúde, essa apuração pode envolver prontuários, exames, prescrições e informações cadastrais distribuídas por diferentes sistemas e fornecedores. A equipe também precisa saber quem pode tomar decisões, quais áreas devem ser acionadas e como proteger os pacientes enquanto o incidente é investigado.
A extorsão pode ocorrer sem criptografia ou interrupção dos sistemas. No relatório State of Ransomware in Healthcare 2025, a Sophos registrou que 12% dos ataques analisados no setor envolveram extorsão sem criptografia, três vezes o percentual observado no ano anterior.
O que a equipe precisa descobrir primeiro?
Uma resposta preparada depende de informações que precisam estar acessíveis antes da crise:
- quais dados pessoais e clínicos a instituição coleta e onde são armazenados;
- quais sistemas, contas e fornecedores podem acessar essas informações;
- quais acessos precisam ser bloqueados ou revistos durante a contenção;
- quem decide sobre a resposta, a comunicação e a continuidade dos serviços;
- como preservar evidências e avaliar as obrigações de notificação.
A cadeia de fornecedores também precisa entrar nessa análise. Uma plataforma de prontuário, um laboratório ou outro prestador pode ter acesso a dados e sistemas relevantes. Conhecer essas conexões ajuda a dimensionar o incidente e coordenar a resposta.
Para aprofundar esse diagnóstico no contexto brasileiro, baixe o ebook O risco digital na saúde brasileira: diagnóstico e agenda estratégica para 2026. O material reúne ameaças, vulnerabilidades e recomendações para hospitais, clínicas, operadoras e organizações da cadeia de saúde.
Como reduzir a exposição dos dados de pacientes
Algumas medidas ajudam a limitar acessos indevidos e reduzir o alcance de um incidente:
- proteger contas privilegiadas com autenticação multifator resistente a phishing e limitar cada acesso ao necessário;
- corrigir vulnerabilidades em sistemas expostos e segmentar redes administrativas, clínicas e de dispositivos médicos;
- avaliar fornecedores conforme o acesso a dados e serviços críticos, com requisitos claros de segurança e resposta a incidentes;
- monitorar acessos a informações sensíveis e manter registros que ajudem a identificar atividades suspeitas;
- manter cópias de segurança isoladas e testar a restauração dos sistemas.
Esses controles precisam estar ligados a um plano de resposta. Em uma extorsão, a equipe deve conseguir investigar, conter o acesso, apoiar os pacientes afetados e manter as atividades prioritárias.
O plano de resposta precisa ser testado
Um exercício de mesa pode simular uma ameaça de divulgação de dados, a indisponibilidade de um fornecedor ou a interrupção de um sistema clínico. A equipe verifica quem decide, quais informações precisa reunir e como segurança, tecnologia, privacidade, jurídico e assistência coordenam suas ações.
O exercício também ajuda a testar como a instituição mantém serviços essenciais, orienta pacientes e parceiros e cumpre suas obrigações enquanto investiga o incidente. As lacunas que surgem podem orientar ajustes em processos, responsabilidades e controles técnicos.
Uma instituição preparada consegue identificar melhor o que está em risco e conduzir a resposta com mais clareza. Para isso, proteção de dados, segurança dos fornecedores e continuidade do cuidado precisam fazer parte do mesmo plano.
