O risco invisível dos hospitais: sistemas secundários também expõem dados sensíveis

O episódio investigado pelo Hospital Sírio-Libanês, envolvendo um sistema de relatórios de projetos sociais, chama atenção para uma questão que ultrapassa a segurança dos prontuários: informações pessoais sensíveis também circulam por aplicações administrativas, plataformas de parceiros, arquivos de exportação e ambientes de análise. Mesmo quando a operação assistencial permanece intacta, a exposição potencial de uma dessas camadas pode gerar consequências relevantes para os titulares e para a organização.

Na notícia publicada anteriormente pelo Minuto da Segurança, a instituição informou que investigava indícios de acesso não autorizado, sem confirmar publicamente extração ou divulgação de dados. O episódio serve aqui como ponto de partida para uma análise de arquitetura e governança, não como prova de falha específica no ambiente do hospital. Não há informações públicas suficientes para atribuir o caso a uma API vulnerável, permissões excessivas, fornecedor ou erro de configuração.

O prontuário não é o único lugar onde a informação de saúde precisa ser protegida

Uma instituição de saúde depende de muito mais do que sistemas clínicos centrais. Projetos sociais, pesquisas, relacionamento com beneficiários, agendamentos, campanhas, atendimento remoto e relatórios gerenciais frequentemente exigem o tratamento de dados pessoais. Para cumprir essas finalidades, equipes podem consolidar informações em bancos auxiliares, ferramentas de inteligência de negócios, planilhas ou serviços contratados. A existência desses fluxos não significa, por si, irregularidade; o risco aparece quando o controle sobre cópias, acesso, retenção e descarte é inferior ao aplicado aos sistemas de origem.

Considere um exemplo hipotético: uma aplicação interna consulta registros de participantes de programas sociais e gera relatórios para uma equipe autorizada. Se a conta técnica usada pela aplicação possuir acesso a toda a base, mesmo quando cada usuário deveria visualizar apenas seu projeto, um erro de autorização pode ampliar significativamente o alcance de uma sessão comprometida. Outro problema possível é a manutenção de arquivos exportados por tempo indeterminado em diretórios compartilhados. Em ambos os casos, o sistema principal pode continuar protegido enquanto os dados já copiados seguem expostos a riscos diferentes.

A OWASP descreve problemas de autorização em nível de objeto e de propriedades de objetos entre os principais riscos de APIs. Isso é particularmente relevante quando relatórios e integrações consultam dados por identificadores, retornam campos que o solicitante não deveria receber ou usam credenciais com privilégios amplos. A classificação técnica, contudo, é uma referência para avaliações preventivas e não um diagnóstico do incidente do Sírio-Libanês.

O que a organização realmente sabe sobre seus dados?

Inventariar servidores e aplicações é necessário, mas não suficiente. A governança precisa responder quais categorias de informação cada processo utiliza, de onde elas vieram, para onde são transmitidas, quem pode consultá-las, qual é a finalidade do tratamento e quando devem ser eliminadas. Sem esse mapa, uma investigação tende a começar com perguntas elementares: que informações estavam naquele ambiente e quantas pessoas poderiam estar envolvidas?

A resposta depende de controles aplicados antes do incidente. Catálogos de dados, classificação da informação, revisão periódica de permissões, gestão de contas de serviço e trilhas de auditoria ajudam a delimitar o impacto. Também é importante registrar operações de consulta e exportação, preservando contexto suficiente para distinguir um acesso legítimo de comportamentos atípicos. Logs apenas de login podem comprovar que uma conta entrou no sistema, mas não necessariamente quais registros foram consultados ou transferidos.

A retenção merece atenção especial. Relatórios antigos, backups de aplicações desativadas e arquivos temporários podem sobreviver ao processo que justificou sua criação. Quanto maior o número de cópias, maior o trabalho de proteger, localizar e eventualmente eliminar dados. A minimização não é somente uma exigência de privacidade: reduz a superfície de exposição e torna a resposta a incidentes mais precisa.

Como auditorias e testes de invasão podem revelar o problema antes de um incidente

Uma avaliação técnica bem delimitada não se limita a procurar portas abertas ou vulnerabilidades conhecidas. Em sistemas de relatórios, deve examinar a autorização entre perfis, o isolamento entre projetos e unidades, as permissões das contas de serviço, a proteção das interfaces de integração e a possibilidade de exportar dados além do necessário. Os testes precisam usar contas e dados autorizados, critérios claros de interrupção e salvaguardas que impeçam a exposição de informações reais de pacientes ou beneficiários.

O trabalho também envolve verificar se uma conta de usuário consegue acessar registros de outro grupo pela alteração de identificadores, se campos sensíveis aparecem indevidamente nas respostas de APIs, se tokens permanecem válidos além do necessário e se consultas em volume incompatível com o uso normal geram alertas. Revisões de configuração, análise de código e testes de segregação complementam o pentest, porque nem toda falha de governança se manifesta como uma exploração técnica convencional.

O monitoramento deve ser planejado com o negócio. Uma exportação extensa pode ser legítima durante uma prestação de contas, mas incomum fora de determinada janela ou quando realizada por um perfil que nunca executou aquela atividade. Detectar o desvio exige combinar contexto, identidade, volume e finalidade, em vez de depender exclusivamente de assinaturas de ataques conhecidos.

A consequência para a governança e a continuidade do negócio

Quando um incidente envolve dados sensíveis, a organização precisa avaliar riscos concretos aos titulares, preservar evidências e decidir sobre comunicações legais com base no que foi apurado. A Resolução CD/ANPD nº 15/2024 disciplina a comunicação de incidentes que possam acarretar risco ou dano relevante, inclusive com a possibilidade de comunicação preliminar e posterior complementação em situações previstas pela norma. A capacidade de cumprir essas obrigações depende, em grande medida, de saber onde os dados estão e de conseguir reconstruir o que ocorreu.

Há ainda uma dimensão contratual. Sistemas de apoio podem ser operados por prestadores, hospedados em nuvem ou integrados a ferramentas externas. Isso exige responsabilidades definidas para registro de eventos, controle de acesso, notificação de incidentes, preservação de evidências, retenção e descarte. A terceirização de uma aplicação não elimina a necessidade de supervisão sobre o tratamento dos dados.

A lição para gestores não é presumir que sistemas secundários sejam inseguros, mas abandonar a ideia de que apenas a plataforma clínica central merece controles rigorosos. Em ambientes que tratam informações sensíveis, o perímetro relevante acompanha os dados. A maturidade da segurança aparece justamente na capacidade de protegê-los quando deixam o sistema de origem e passam a circular por processos menos visíveis.