#hackers

Durante uma pandemia, bancos de dados importantes do Ministério da Saúde foram invadidos e as informações “sequestradas”, inclusive as que se referem à vacinação, impedindo cidadãos de ter acesso a diversos locais e, em muitos casos, de viajar.

Até a conclusão deste texto, o Ministério da Saúde ainda está “tentando descobrir o que aconteceu” e minimizar os prejuízos para a população. Algumas funções já voltaram, outras continuam fora do ar. O mistério permanece, se é que um dia será esclarecido. Parece coisa de filme de ficção científica, mas não é.

Aliás, a ficção científica é responsável involuntária por uma ideia equivocada que muita gente tem ainda hoje: que os hackers são adolescentes superinteligentes e revoltados escondidos em suas garagens, de onde invadem sistemas de informação superseguros supostamente por esporte ou desejo de autoafirmação.

Um dia pode até ter sido assim, e atualmente com certeza ainda há exemplos desse tipo, mas já faz tempo – muitos anos – que a atividade de “hacker” se “profissionalizou”, desdobrando-se perigosamente para o que hoje é chamado de “cibercriminoso”.

O que o Ministério da Saúde está enfrentando é um ciberataque, um cibercrime perpetrado por cibercriminosos.

São, digamos, “gangues digitais” muito bem organizadas, normalmente com alto preparo e conhecimento tecnológico, que visam, direta ou indiretamente, ao mesmo que quase todos os criminosos: dinheiro, ou lucro, obtidos de forma ilícita. Em alguns casos, apesar de organizados, os cibercriminosos que trabalham juntos numa “empreitada” nem se conhecem, ou sequer sabem a identidade real uns dos outros. Assim, se um for pego, é menor o risco de expor seus companheiros de crime. São pessoas perigosas.

E o perigo está justamente na ação virtual – muito mais difícil de combater que a presencial – capaz de provocar grandes prejuízos e até colocar vidas em risco sem que o criminoso se exponha. Não há como a polícia agir fisicamente para evitar, reprimir ou punir o delito: é necessário usar inteligência (no sentido investigativo da palavra) e vigilância constante sobre métodos digitais que mudam o tempo todo.

Para quem é responsável por uma empresa, o raciocínio é simples: seu negócio está em risco. Sim, está. Talvez ele não esteja na mira de cibercriminosos neste exato momento, mas nada impede que venha a estar no futuro. E a vulnerabilidade a um ciberataque se chama risco.

Se você não tomar providências, multiplicando os esforços para aumentar a segurança de suas operações digitais, poderá sofrer prejuízos irrecuperáveis. Contrate profissionais especializados e proteja-se o máximo que puder. Os dados da sua empresa são valiosos, e o que é valioso atrai criminosos – sejam eles “ciber” ou não.

Um complemento perfeito é contar com soluções de seguro cujas apólices cobrem certos efeitos de ciberataques, não por acaso um nicho em franco crescimento no segmento securitário. Se, além de investir em cibersegurança, você quiser dispor de proteção extra caso um dia os hackers sejam bem-sucedidos num ataque ao seu negócio, os especialistas da SICCS podem orientá-lo nesse sentido.

É possível que nunca mais paremos de falar da LGPD-Lei Geral de Proteção de Dados, porque é uma lei, e leis normalmente vêm para ficar – embora no Brasil, como sabemos, existam muitas exceções. Mas o mais provável é que um marco legal/civil como esse seja perene. Como já vimos neste espaço, a LGPD veio para garantir maior proteção ao titular sobre a utilização dos seus dados pessoais.

Já abordamos, e voltaremos a abordar, precauções de segurança obrigatórias e adicionais que as empresas precisam e podem adotar, entre eles os de natureza securitária. Mas, para o segmento de saúde, há algumas outras particularidades que vale a pena destacar e sobre as quais começamos a falar hoje.

A LGPD não proíbe o compartilhamento de dados de pacientes, mas antes de dividir informações com qualquer pessoa ou instituição é preciso certificar-se de que elas estão autorizadas a acessar a esses dados. Isso vale para o compartilhamento de dados de casos clínicos entre laboratórios, clínicas, consultórios, hospitais e também para o médico que precisa, ou pretende, dividir e/ou discutir as informações de um paciente com um colega. Um bom exemplo, entre muitos: no caso de medicina do trabalho, o compartilhamento só pode ser feito com o médico habilitado pela empresa.

Caso não seja possível certificar-se da autorização deste acesso em tempo hábil, uma forma de compartilhar informações sem violar a LGPD é não identificar (nem tornar identificável, indiretamente) o titular dos dados durante a discussão do caso. Considerando que a maioria dos dados contidos na rotina de quem trabalha com saúde são classificados como “dados sensíveis” pela LGPD (explicaremos melhor em artigo futuro deste blog), deve-se redobrar o cuidado e respeitar todas as boas práticas sobre o tema.

O ideal é que a organização/instituição realize treinamentos internos sobre o assunto e, se possível, tenha um profissional especializado, encarregado de proteção de dados pessoais, ao qual os demais colaboradores possam recorrer em caso de dúvidas.

Esses aspectos são relevantes também para as companhias que não têm na saúde seu core business. Porque, pense bem: se você contrata um seguro-saúde corporativo ou oferece qualquer tipo de benefício relacionado com o tema, as instituições de saúde que prestam esses serviços necessariamente terão acesso aos dados dos seus colaboradores elegíveis.

E, portanto, os assim chamados dados sensíveis, evidentemente, serão de pessoas que trabalham aí, na sua empresa. Fique vigilante e conte com a orientação da SICCS sempre que necessário.