O avanço da tecnologia na área da saúde trouxe inúmeros benefícios, desde diagnósticos mais precisos até o uso da inteligência artificial para prever doenças. No entanto, essa revolução digital também trouxe desafios críticos, especialmente no que diz respeito à proteção de dados sensíveis de pacientes.

Hospitais, clínicas e laboratórios armazenam uma quantidade massiva de informações pessoais, incluindo históricos médicos, prescrições, diagnósticos e até dados genéticos.

O aumento dos ataques ransomware contra instituições médicas reforça esse cenário. De acordo com o relatório “Cost of a Data Breach” da IBM Security, o setor de saúde continua a ser o mais afetado por violações de dados. Em 2024, o custo médio de uma violação de dados nesse setor foi de R$ 10,46 milhões no Brasil. Globalmente, o custo médio de uma violação de dados em todos os setores atingiu US$ 4,88 milhões em 2024, representando um aumento de 10% em relação ao ano anterior. Esse número revela a urgência da implementação de políticas robustas de cibersegurança.

A importância da cibersegurança na saúde

Os dados médicos não são apenas valiosos para os próprios pacientes e profissionais da saúde, mas também representam um alvo altamente lucrativo para criminosos. Diferente de credenciais bancárias, que podem ser alteradas rapidamente, informações médicas são permanentes e podem ser exploradas por anos.

As ameaças cibernéticas nesse setor podem gerar impactos graves, como:

• Roubo de identidade médica: Criminosos utilizam dados roubados para obter tratamentos e medicamentos ilegalmente.
• Extorsão e venda de informações: Dados sensíveis são vendidos na dark web ou usados para chantagem contra pacientes e instituições.
• Interrupção de serviços críticos: Ataques ransomware podem paralisar hospitais, atrasando atendimentos e colocando vidas em risco.

Algumas pesquisas do TCC “Hacked to Pieces? The Effects of Ransomware Attacks on Hospitals and Patients” sugerem que ataques de ransomware podem elevar a taxa de mortalidade hospitalar em até 36% para pacientes já internados no momento do ataque. Esses ataques comprometem sistemas essenciais, como registros eletrônicos de saúde e equipamentos de monitoramento, dificultando o atendimento adequado aos pacientes.

Esses riscos evidenciam a necessidade de uma abordagem proativa na segurança cibernética, garantindo que as informações de pacientes estejam protegidas contra acessos não autorizados e possíveis violações.

Principais desafios da cibersegurança no setor de saúde

Embora a cibersegurança seja um tema prioritário, o setor de saúde enfrenta desafios únicos que dificultam sua implementação eficaz. Entre os principais obstáculos, destacam-se:

Infraestrutura legada e sistemas desatualizados

Muitas instituições de saúde ainda operam com sistemas antigos e vulneráveis, que não foram projetados para enfrentar as ameaças cibernéticas modernas. Esses sistemas podem conter brechas de segurança que facilitam a exploração por hackers.

Um relatório da Proofpoint revelou que 92% das organizações de saúde nos EUA sofreram pelo menos um ataque cibernético nos últimos 12 meses, com quase 70% relatando interrupções no atendimento ao paciente como resultado. Esses ataques frequentemente exploram falhas em sistemas e dispositivos médicos que não recebem mais atualizações de segurança, tornando-os alvos fáceis para cibercriminosos.

Falta de treinamento e conscientização

A engenharia social continua sendo uma das principais causas de ataques bem-sucedidos no setor da saúde. Funcionários não treinados podem clicar em links maliciosos, reutilizar senhas fracas ou compartilhar informações sensíveis inadvertidamente.

No livro The Art of Deception (2001), Kevin Mitnick destaca que o elo mais fraco da segurança cibernética é sempre o fator humano – e isso se aplica especialmente a hospitais e clínicas, onde a urgência no atendimento pode levar à negligência em práticas seguras.

Conformidade regulatória e complexidade jurídica

A proteção de dados de saúde envolve diversas regulamentações globais e locais, como:

• Lei Geral de Proteção de Dados (LGPD) no Brasil
• Health Insurance Portability and Accountability Act (HIPAA) nos EUA
• Regulamento Geral sobre a Proteção de Dados (GDPR) na Europa

O problema é que muitas instituições de saúde ainda lutam para adaptar suas práticas a essas normas, o que pode resultar em vulnerabilidades e penalidades financeiras em caso de não conformidade.

Crescente interconectividade de dispositivos médicos

O avanço da Internet das Coisas Médicas (IoMT) trouxe inovação para o setor, com dispositivos conectados como monitores cardíacos, bombas de infusão e prontuários eletrônicos baseados em nuvem.

Porém, cada novo dispositivo representa um ponto de entrada potencial para hackers. Um único dispositivo comprometido pode colocar toda a rede hospitalar em risco.

Boas práticas para garantir a segurança de dados médicos

Diante desses desafios, instituições de saúde precisam adotar estratégias de segurança robustas para proteger seus sistemas e os dados de seus pacientes. Algumas das principais práticas incluem:

Implementação de autenticação multifator (MFA)

A autenticação multifator adiciona uma camada extra de segurança, exigindo que usuários forneçam mais de uma credencial para acessar sistemas críticos.

Exemplo: O Johns Hopkins Hospital adotou MFA para acesso ao seu sistema de prontuário eletrônico, reduzindo drasticamente tentativas de invasão.

Criptografia de dados em trânsito e em repouso

A criptografia garante que, mesmo que os dados sejam interceptados, eles permaneçam inacessíveis para invasores.

Exemplo: A Cleveland Clinic possui o Center for Diagnostics and Artificial Intelligence, que se dedica a integrar inteligência artificial e ciência de dados na medicina. Embora o foco principal seja a inovação em diagnósticos e tratamentos, é provável que práticas avançadas de segurança de dados sejam parte integrante de suas operações, considerando a sensibilidade das informações médicas envolvidas.

Treinamento contínuo para funcionários

A educação dos colaboradores é essencial para evitar ataques baseados em engenharia social. Campanhas de conscientização sobre phishing e boas práticas de segurança reduzem drasticamente os riscos internos.

Monitoramento contínuo e resposta a incidentes

Investir em centros de operações de segurança (SOC) permite monitorar ameaças em tempo real e responder rapidamente a qualquer atividade suspeita.

Segmentação de rede e segurança de dispositivos médicos

Dispositivos médicos conectados devem ser isolados da rede principal do hospital para minimizar riscos de ataques.

Em síntese, a cibersegurança na área da saúde não pode ser encarada como um mero requisito técnico – ela é fundamental para garantir a confiança dos pacientes e a continuidade dos serviços médicos.

O aumento de ataques cibernéticos contra hospitais e clínicas demonstra que apenas investir em tecnologia não é suficiente. Uma estratégia eficaz deve envolver tecnologia, treinamento e cultura organizacional alinhados para garantir a proteção completa dos dados sensíveis de pacientes.

À medida que o setor de saúde continua sua jornada digital, a cibersegurança se tornará um diferencial competitivo e uma necessidade ética. Instituições que priorizarem a segurança estarão mais preparadas para o futuro e para os desafios cada vez mais sofisticados do cenário cibernético global.