A IoMT se protege com quatro frentes que andam juntas: saber o que está conectado, limitar com quem cada equipamento conversa na rede, acompanhar o comportamento desses equipamentos e ter um plano para os que já não recebem correção. É o caminho que o Guia nº 38/2020 da ANVISA, sobre princípios e práticas de cibersegurança em dispositivos médicos, aponta para os serviços de saúde. O mesmo guia diz que a cibersegurança desses dispositivos é uma responsabilidade compartilhada entre fabricante, serviço de saúde, usuários, a própria ANVISA e quem encontra as vulnerabilidades (seção 4.3).
Por que a IoMT é assunto de segurança do paciente
A FDA, que regula os dispositivos médicos nos Estados Unidos, resume o problema na sua página de cibersegurança: os dispositivos estão cada vez mais conectados à internet, às redes hospitalares e a outros dispositivos, e os mesmos recursos que melhoram o cuidado aumentam o risco cibernético, com potencial de afetar a segurança e a eficácia do equipamento. O guia da ANVISA vai na mesma linha: incidentes cibernéticos podem tornar inoperantes os dispositivos e as redes hospitalares e interromper o cuidado, com dano ao paciente por atraso ou erro no diagnóstico e no tratamento (seção 2).
O guia trata dos dispositivos que têm software, inclusive firmware e controladores lógicos programáveis, como marca-passos e bombas de infusão, e do software como dispositivo médico (SaMD). E se limita ao dano ao paciente: a violação de privacidade fica fora dele (seção 1). Na prática, engenharia clínica e segurança olham o mesmo equipamento por dois riscos, o clínico e o dos dados pessoais, e o segundo segue as regras de segurança da LGPD (art. 46). Nas palavras da ANVISA, o guia é recomendatório e não vinculante.
O que a ANVISA recomenda ao hospital
O Guia nº 38 recomenda ao serviço de saúde um processo de gestão de risco que cubra a segurança do paciente, o desempenho e a cibersegurança dos dispositivos ligados à sua infraestrutura de TI. O processo vale em três momentos: na montagem da infraestrutura, na entrada de um dispositivo novo na rede e em cada mudança de sistema operacional, de rede ou do próprio dispositivo, inclusive de software e firmware (seção 6.1.1.1). O guia lista também práticas, sem esgotar o assunto:
- segurança física contra o acesso não autorizado aos dispositivos e aos pontos de rede;
- controle de acesso, por exemplo por papel, para que só pessoal autorizado chegue aos elementos de rede, às informações, aos serviços e às aplicações;
- gestão de configuração, para identificar todos os ativos e acompanhar as mudanças;
- configuração e proteção conforme a recomendação do fabricante;
- controle do acesso à rede, para limitar a comunicação com os dispositivos;
- atualizações de segurança no tempo certo e proteção contra malware;
- tempo máximo de sessão, para que um equipamento sem ninguém por perto não fique aberto.
O guia faz uma ressalva: as práticas precisam respeitar o uso clínico, e algumas podem não ser viáveis numa emergência médica. Também recomenda treinar médicos, enfermeiros, engenheiros biomédicos e técnicos para operar os dispositivos com segurança e relatar comportamento anormal, como reinicializações sem motivo ou software de segurança desativado (seção 6.1.1.2).
Legado não é questão de idade
Para o guia, legado é o dispositivo que não pode ser razoavelmente protegido contra as ameaças atuais, nem por atualização nem por controle compensatório. A idade não decide: um aparelho com menos de cinco anos pode ser legado, e um com 15 anos pode não ser, se ainda puder ser protegido (seção 6.6). Pelo modelo do guia, quando chega a data de fim do suporte de cibersegurança dada pelo fabricante, a responsabilidade por manter o dispositivo seguro, e o risco de continuar a usá-lo, passam ao cliente, como o hospital (seção 6.6.1).
Por isso o guia pede ao serviço de saúde, enquanto o equipamento tem suporte (seção 6.6.2): canais claros com o fabricante; a lista dos componentes de software do dispositivo (SBOM); manutenção que inclua segurança de rede, de ativos, de identidade e operações de segurança; mitigações como segmentação, perfis de acesso, testes e monitoramento de rede; e o planejamento da troca antes do fim do suporte. Depois dele, se não for possível desativar o equipamento sem afetar a continuidade do cuidado, o hospital assume a gestão da segurança e o risco do uso.
O que a regra americana ensina para as compras
Nos Estados Unidos, a seção 524B da lei federal de alimentos, medicamentos e cosméticos (FD&C Act), cujas exigências valem para os pedidos apresentados à FDA desde 29 de março de 2023, define o "cyber device": o dispositivo que tem software, consegue se conectar à internet e tem características que podem ser vulneráveis a ameaças cibernéticas. Para ele, o fabricante precisa apresentar um plano para monitorar e tratar vulnerabilidades depois da venda, processos que deem razoável garantia de segurança, com atualizações e correções, e a SBOM, segundo as perguntas frequentes da FDA. A regra é para o fabricante no mercado americano, mas serve de roteiro para o edital e o contrato do hospital brasileiro: plano de vulnerabilidades, política de atualização, SBOM e data de fim do suporte.
O que o MITRE publicou
Na mesma página, a FDA divulga documentos do MITRE para o setor. Em 22 de abril de 2026, anunciou o documento de discussão "Cybersecurity Risk Analysis for Medical Devices in the Era of Evolving Technologies", sobre análise de risco cibernético diante de tecnologias em evolução. Para a preparação do hospital, a página traz o playbook regional de preparação e resposta a incidentes com dispositivos médicos, atualizado pela FDA com o MITRE em 15 de novembro de 2022.
Perguntas para o comitê
- Engenharia clínica: o inventário traz, para cada equipamento, a versão de software e a data de fim do suporte de cibersegurança?
- TI hospitalar: cada classe de equipamento só se comunica com os sistemas de que precisa, como o PACS ou o prontuário?
- CISO: quem vê, a qualquer hora, um equipamento médico que passa a se comunicar fora do padrão, e o playbook diz o que fazer sem desligar um aparelho em uso?
- Compras: o contrato pede SBOM, plano de vulnerabilidades e prazo de suporte?
- Diretoria: os legados que seguem em uso têm o risco aceito por escrito e controle compensatório?
Como a Vortex ajuda
A Vortex começa pela visibilidade: mapeia os equipamentos conectados, seus fluxos de comunicação e suas particularidades operacionais, com agentes, sensores e conectores integrados às tecnologias que a instituição já usa. Sobre esse inventário entram a segmentação de rede, o monitoramento dedicado e políticas compatíveis com o ambiente clínico, para proteger equipamentos como ressonâncias, bombas de infusão e monitores cardíacos contra acesso não autorizado e ransomware sem atrapalhar o fluxo clínico. O Cyber Defense Center, o NG-SOC Convergente da Vortex, monitora o ambiente 24x7x365. Veja a página de cibersegurança para hospitais e redes de saúde, a de segurança para ambientes de saúde e, para entender como o SOC usa IA na triagem com supervisão humana, o guia Inteligência artificial no SOC.