Cibersegurança na saúde: risco vai além dos dados e pode comprometer assistência ao paciente

O setor de saúde está repleto de dados e tem se tornado um alvo cada vez mais relevante para ataques cibernéticos.

Ainda assim, para especialistas do setor de segurança da informação, os riscos costumam ser subestimados até que um incidente ocorra.

Na saúde, uma invasão pode expor informações sensíveis de pacientes, como dados registrados em prontuários médicos.

Além disso, o risco cibernético também é um risco assistencial, uma vez que pode comprometer a operação de sistemas e equipamentos relevantes de um hospital.

Esses foram alguns dos tópicos discutidos em um painel do Cyber Security Summit, evento que ocorreu na última terça-feira, 6, em São Paulo.

Durante o encontro, diretores de Segurança da Informação de hospitais de referência do país falaram sobre os principais desafios na rotina diária de manter a segurança dentro das empresas.

Segundo eles, o investimento em cibersegurança tem aumentado nos últimos anos em grandes hospitais e redes assistenciais, especialmente na rede privada.

Já o investimento em hospitais do setor público e filantrópico tende a ser menor, avaliam.

Para Leandro Ribeiro, Chief Information Security Officer (CISO) do Hospital Sírio-Libanês, esse cenário pode mudar com o avanço da Política Nacional de Cibersegurança, instituída pelo Decreto nº 11.856/2023.

Segundo ele, o setor de saúde poderá observar o mesmo movimento feito pelo Banco Central, que exige a designação de um diretor responsável pela política de segurança cibernética e pela execução do plano de ação e resposta a incidentes nas instituições autorizadas a funcionar no Sistema Financeiro Nacional.

Para Ribeiro, as instituições deverão nomear um responsável pela proteção cibernética.

A segurança tecnológica já é discutida em um contexto regulatório.

A proteção dos dados de saúde é um dos itens da norma do Conselho Federal de Medicina (CFM) que estabelece parâmetros para uso de IA na medicina, a Resolução nº 2.454/2026, que passou a valer em 26 de agosto.

Para Lucio Comanche, CISO do A.C.Camargo Cancer Center, apesar da existência da resolução, ainda é preciso fortalecer a segurança da informação nesse contexto.