Senha de cartão se troca. Diagnóstico, exame e histórico de tratamento vazados não. É por isso que a LGPD trata dado de saúde como sensível, e é por isso que clínicas e hospitais estão entre os alvos preferidos de ransomware.
A LGPD classifica dado referente à saúde como dado pessoal sensível (art. 5º, II), com hipóteses de tratamento mais restritas (art. 11), e exige medidas de segurança técnicas e administrativas aptas a proteger esses dados (art. 46). Incidente com dado sensível que possa causar risco relevante precisa ser comunicado à ANPD e aos titulares, em regra em três dias úteis (Resolução CD/ANPD nº 15/2024). A lei não exige pentest com essa palavra; o pentest é a forma de demonstrar que a medida de segurança existe e funciona. Testamos o que concentra o risco no setor: prontuário, telemedicina, portal do paciente, integração com laboratório e convênio, e a rede onde equipamentos antigos convivem com o sistema administrativo.
O que você recebe
- Pentest de prontuário eletrônico, portal do paciente e telemedicina
- Teste de controle de acesso por perfil: recepção, médico, faturamento e paciente
- Teste das integrações com laboratórios, convênios e sistemas de agendamento
- Avaliação de segmentação entre rede administrativa e equipamentos
- Relatório com o impacto de LGPD de cada achado e reteste
O que cobrimos
Prontuário e sistemas clínicos
Quem vê qual paciente, trilha de auditoria e exportação de dados.
Portal do paciente e telemedicina
Acesso a exame e laudo de outra pessoa, sessão e gravação.
Integrações
APIs de laboratório, convênio, farmácia e agendamento.
Rede e ransomware
Exposição externa, acesso remoto e movimento lateral até o servidor de backup.
Indicado para
- Clínicas, laboratórios e hospitais com sistema próprio ou terceirizado
- Healthtechs e empresas de telemedicina
- Operadoras e empresas que recebem dado de saúde de parceiros
- Instituições que já sofreram incidente e precisam validar a correção
Como conduzimos
Mapeamento do fluxo do dado do paciente
Seguimos o dado da recepção ao laudo, passando por cada sistema e integração.
Teste de aplicação e acesso
Verificamos se cada perfil vê só o que deveria ver.
Integrações
Testamos as APIs com laboratórios, convênios e parceiros.
Rede e resiliência a ransomware
Avaliamos o caminho de um invasor da internet até prontuário e backup.
Relatório e reteste
Achados com impacto de LGPD e confirmação das correções.
Perguntas Frequentes
Clínica é obrigada a fazer pentest?
Não existe norma que use essa palavra para clínicas em geral. A LGPD exige medidas de segurança adequadas para dado sensível (art. 46), e em caso de incidente a instituição precisa demonstrar o que fazia para proteger. Relatório de pentest com correção é uma das evidências mais fortes para isso.
O sistema de prontuário é de um fornecedor. O teste é com ele?
O fornecedor responde pelo produto, mas a configuração, os perfis de acesso, as integrações e a rede são da clínica. Testamos o que está sob responsabilidade da instituição e, quando o escopo envolve o sistema do fornecedor, a autorização dele é combinada antes.
Em quanto tempo preciso comunicar um vazamento?
Pela Resolução CD/ANPD nº 15/2024, incidente que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares, em regra em até três dias úteis. Com dado de saúde, o risco relevante é o cenário mais comum.
O teste pode afetar o atendimento?
Não deve. Sistemas críticos são testados em janela combinada ou em ambiente de homologação equivalente, e nada que ofereça risco à operação é executado sem aprovação.