Cibersegurança para a saúde que não pode parar

A LGPD trata informações de saúde como dados pessoais sensíveis e exige controles técnicos e administrativos para prevenir incidentes; a ANPD fiscaliza e aplica sanções. Somam-se as normas da Anvisa para tecnologias, sistemas e dispositivos médicos, as diretrizes do CFM, os requisitos contratuais com operadoras e parceiros, as normas ISO aplicáveis e a acreditação da ONA.

Na LGPD, o dado referente à saúde é dado pessoal sensível (art. 5º, II) e só pode ser tratado nas hipóteses do art. 11: com o consentimento específico e destacado do titular ou, sem ele, quando for indispensável, por exemplo, para cumprir obrigação legal ou regulatória, para estudos por órgão de pesquisa ou para a tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. A lei veda o compartilhamento de dados de saúde entre controladores para obter vantagem econômica, salvo em hipóteses como a prestação de serviços de saúde em benefício dos titulares (art. 11, § 4º), e proíbe as operadoras de planos de usar esses dados para seleção de riscos (art. 11, § 5º). A instituição também deve adotar medidas de segurança, técnicas e administrativas (art. 46), e comunicar à ANPD e aos titulares o incidente que possa causar risco ou dano relevante (art. 48). A Vortex apoia a adequação à LGPD na consultoria e é certificada na ISO/IEC 27701, de gestão de privacidade.

Ela normatiza o uso de inteligência artificial na medicina, está em vigor desde agosto de 2026, 180 dias depois da publicação, e vale também para os sistemas que estavam em uso ou em desenvolvimento nas instituições médicas. As instituições devem avaliar o grau de risco de cada sistema de IA (baixo, médio ou alto, descritos no Anexo II, ou inaceitável), manter governança, auditoria especializada e monitoramento contínuos e proteger dados, modelos e ambientes contra perda, alteração, acesso não autorizado e vazamento, e tratar os dados conforme a proteção geral de dados pessoais (art. 16, retificado em 05/03/2026). O médico segue responsável pelas decisões, registra no prontuário o uso de IA como apoio e não pode usar sistemas sem padrões mínimos de segurança da informação compatíveis com dados sensíveis.

Com o Vortex AI Journey, em que o ponto de partida recomendado é o Assessment AI Journey, da maturidade em governança e segurança de IA, com referências como ISO/IEC 42001, OWASP Top 10 para LLMs e MITRE ATLAS. A proteção pode incluir a descoberta e o controle de shadow AI, a prevenção de vazamento de dados sensíveis em prompts, uploads e integrações com IA generativa e a classificação dos dados sensíveis, com foco na LGPD. A telemetria das soluções de segurança de IA pode ser integrada ao Cyber Defense Center, o NG-SOC Convergente da Vortex, que opera 24x7x365.

Pela criticidade das operações. A indisponibilidade de sistemas interrompe atendimento, exames, cirurgias e tratamentos e pode colocar vidas em risco, o que torna o setor especialmente vulnerável a paralisações prolongadas e a extorsão. Além disso, as informações de saúde são dados pessoais sensíveis pela LGPD, e o vazamento desses dados é um dos riscos do setor.

Com camadas que se somam: descoberta e classificação dos dados sensíveis, prevenção de vazamento (DLP) por rede, endpoint e nuvem, inclusive em ferramentas de IA generativa, e gestão de identidades e acessos com o princípio do menor privilégio. A própria Vortex é certificada na ISO/IEC 27701, de gestão de privacidade.

Começando pela visibilidade: mapear os equipamentos conectados, seus fluxos de comunicação e suas particularidades operacionais, com agentes, sensores e conectores integrados às tecnologias que a instituição já usa. Sobre esse inventário entram a segmentação de rede, o monitoramento dedicado, políticas compatíveis com ambientes clínicos e a gestão de exposição que considera a criticidade clínica e operacional de cada ativo.

Com a análise comportamental (UEBA) do Cyber Defense Center, o NG-SOC Convergente da Vortex. A plataforma aprende o comportamento normal de usuários, dispositivos e serviços e aponta desvios como acessos atípicos, movimentação lateral, uso anômalo de credenciais, exfiltração de dados e abuso de contas privilegiadas. É uma camada eficaz contra ameaças internas e contra ataques com credenciais legítimas, que controles baseados só em assinaturas ou regras não enxergam.

Pela automação: os alertas chegam enriquecidos por inteligência de ameaças, e a triagem, a contenção e a mitigação são orquestradas por playbooks aprovados pela instituição, de uma biblioteca com mais de 3.000, o que reduz o tempo de resposta (MTTR) em ambientes onde o tempo é determinante. O que não se resolve automaticamente vai para a equipe de resposta a incidentes da Vortex, que conduz a análise, a contenção, a erradicação e o apoio à recuperação. Quando várias equipes precisam atuar juntas, a Vortex abre uma war room virtual, que fica aberta 24 horas.

Sim. A Vortex é certificada na ISO/IEC 27001 (segurança da informação), na ISO/IEC 27701 (privacidade da informação) e na ISO 22301 (continuidade de negócios). Com a 27001 e a 27701, os processos da própria Vortex e o tratamento das informações dos clientes seguem padrões internacionais de segurança e privacidade, o que pesa para quem lida com dados de pacientes.

Sim. Na saúde, a Vortex atende a Assim Saúde, a Central Nacional Unimed e o Instituto de Tecnologia em Imunobiológicos Bio-Manguinhos. O case do Bio-Manguinhos está publicado: o instituto é atendido pelo SOC 24x7x365 da Vortex, com SOAR e gestão de exposição; as primeiras tecnologias foram implantadas em 40 dias, antes do prazo de 60, e um ataque sofrido em 2023 foi contido. Veja o case.