O que defender uma rede de 49 farmácias durante a guerra me ensinou sobre a segurança dos cuidados de saúde em pequenos consultórios
Por Andrii Klepak
Andriy Klepak, MS é o fundador e CEO do CloudCare Pro.
O Chefe do Executivo da Saúde relata em maio de 2026 o que os profissionais de segurança cibernética têm visto há dois anos. Pequenos hospitais e clínicas surgiram como os principais alvos dos ataques cibernéticos à saúde nos Estados Unidos.
Estas não são as principais vítimas em histórias de ransomware de oito dígitos. São os colapsos silenciosos. Solo o dermatologista que perde a ficha do paciente e nunca mais se recupera. Prática de saúde comportamental de cinco médicos fechando após campanha de phishing esgotar conta operacional. O consultório odontológico pagando o resgate porque a alternativa é a falência.
Os invasores seguiram o dinheiro onde as defesas são mais fracas. Os pequenos prestadores de cuidados de saúde foram deixados à própria sorte com orçamentos que não financiariam uma resposta a incidentes de uma semana num hospital regional.
Durante seis anos fui o engenheiro-chefe de infraestrutura de uma rede de farmácias com 49 locais em quatro regiões da Ucrânia Ocidental. Em dezembro de 2021, a rede começou a migrar toda a sua operação de TI de servidores locais para uma infraestrutura de nuvem pública.
Dez semanas após o início do projeto, a Rússia invadiu a Ucrânia. A fase mais intensa desta migração – interrupção da produção, integração de prescrições eletrónicas, identidade federada, teste de backups com recuperação verificada – ocorreu em fevereiro e março de 2022, na fase quente da invasão.
A migração foi concluída nesta primavera. As farmácias permaneceram abertas. O sistema de prescrição eletrônica continuou funcionando. Dois milhões de cidadãos que dependiam desta rede para obter medicamentos essenciais conseguiram preencher os formulários no oeste, mais seguro, porque os dados foram transferidos de edifícios que agora eram por vezes bombardeados.
Pequenas clínicas americanas não são bombardeadas. O problema estrutural é semelhante de uma forma difícil de ignorar. Os serviços de saúde críticos dependem de infra-estruturas que as pessoas que os dirigem não têm condições de proteger e, quando falham, são os pacientes que suportam o peso.
Uma arquitetura de segurança defensável para um pequeno consultório de saúde nos EUA requer cinco disciplinas específicas, todas elas já disponíveis.
Identidade federal
A prática opera em um único provedor de identidade com logon único. Cada login de equipe possui autenticação de dois fatores. A revogação do acesso de um ex-funcionário exige um clique, e não um tour pelo portal de cada fornecedor individual. A seção 164.312(a) da HIPAA exige controle de acesso. Na prática, isso significa um provedor de SSO, e não post-its colados no monitor da recepção.
Criptografia que pode ser verificada, não apenas a criptografia que afirma ser
Os dados em repouso devem ser criptografados com chaves que a clínica ou seu fornecedor associado comercial realmente controla. Os dados transferidos precisam do TLS 1.2 ou posterior. O teste verificável é perguntar ao vendedor por escrito onde as chaves de criptografia estão localizadas e quem tem acesso. Uma resposta que contenha a frase “padrão da indústria” em vez de uma resposta específica é uma descoberta.
Um verdadeiro registro de auditoria
O regulamento espera evidências de qual usuário acessou qual registro de paciente e em que momento. Muitos logs de fornecedores registram apenas eventos de autenticação. O teste prático consiste em solicitar ao provedor a trilha de auditoria de cada prontuário de paciente lido nos últimos 90 dias. Se a resposta for que os logins podem ser exibidos, mas não acessados no nível do registro, esse provedor não está em conformidade com a Seção 164.312(b).
A próxima geração de logs de auditoria tem hash criptográfico. A alteração de um registro histórico aparentemente quebra a cadeia. Os sistemas hospitalares começaram a fornecer isso. Pequenos fornecedores de clínicas estão começando a seguir o exemplo.
Contrato de parceiro de negócios que cobre o fluxo de trabalho real
Se um escriba de IA enviar dados de pacientes para um provedor de modelo terceirizado, deverá haver um BAA cobrindo esse fluxo de dados. Quase nunca ocorre no nível de prática pequena porque os fornecedores modelo dão à BAA acesso a contratos corporativos.
A solução alternativa defensável é operar a integração de IA no modo de redação estrita, onde as informações protegidas são editadas antes da transmissão, de modo que o fornecedor do modelo não seja um parceiro comercial. A arquitetura é mais complexa. É o único design honesto para uma pequena clínica que deseja usar IA sem pagar taxas empresariais.
Uma estratégia de backup que foi testada
O ransomware contra pequenas unidades de saúde é lucrativo precisamente porque os backups, quando existem, não são verificados. O mínimo é um backup feito diariamente, armazenado em uma conta ou serviço separado, criptografado e restaurado em um teste de desktop pelo menos uma vez por ano. A mesa não é negociável. Um backup que não é restaurado não é um backup. Este é um desejo registrado.
Estas cinco disciplinas combinadas proporcionam uma posição de segurança aproximadamente equivalente a um hospital regional há cinco anos. Isso é bom o suficiente para dissuadir operadores casuais de ransomware e sobreviver ao escrutínio do HHS Office for Civil Rights em caso de violação. Não é perfeito. É possível com um orçamento pequeno para prática.
A maioria dos problemas de segurança nos pequenos cuidados de saúde tem origem no nível do prestador, o que significa que o ponto prático de alavancagem é a relação com o prestador.
Cinco itens que todo proprietário de pequeno consultório deve confirmar por escrito antes de assinar ou renovar um contrato de software:
- Existe um contrato de parceria de negócios assinado em vigor e uma cópia pode ser fornecida?
- Onde as chaves de criptografia de dados dos pacientes são armazenadas e quem tem acesso a elas?
- O registro de auditoria pode gerar cada registro de paciente lido nos últimos 90 dias?
- Algum recurso de IA é coberto pelo BAA, ou o PHI é editado antes da transmissão, ou ambos?
- Quais são as violações das obrigações e do cronograma de notificação do contrato?
Um provedor que não pode responder por escrito não é compatível com HIPAA. Um vendedor que se recusa a responder é responsável. Um vendedor que responde com frases vagas de marketing é o mesmo que recusa.
A solução para a pequena segurança dos cuidados de saúde americanos não é a segurança corporativa a preços corporativos. Esta é a disciplina de isolamento de múltiplas contas, criptografia verificada, registros de auditoria reais, cobertura BAA honesta e backups recuperados. Estas disciplinas existiam antes da guerra, o que me ensinou como é uma falha catastrófica de infra-estruturas. São hoje a principal aposta de qualquer prática de saúde que espera continuar a funcionar daqui a cinco anos.
