Segurança para Home Care: protegendo dados clínicos onde o perímetro não existe

Por que o home care é um alvo diferente de qualquer outro setor de saúde

Um hospital tem muros. Tem um perímetro de rede, um datacenter trancado, uma equipe concentrada no mesmo prédio e um time de TI que enxerga cada máquina conectada. A atenção domiciliar é o oposto disso. O dado clínico nasce na sala da casa de um paciente idoso, é digitado num tablet apoiado sobre uma cama hospitalar improvisada, viaja num carro pelo trânsito da cidade e só então chega à central. O perímetro, no home care, simplesmente não existe — ele se dissolveu em dezenas ou centenas de dispositivos espalhados pela cidade, cada um carregando um pedaço do prontuário dos pacientes mais vulneráveis que existem.

Essa característica muda completamente o cálculo de risco. No modelo tradicional, você protege o centro e confia que o dado fica lá. No home care, o dado está permanentemente na borda, em movimento, nas mãos de profissionais de enfermagem e cuidadores cuja prioridade — com toda razão — é o paciente, não a higiene cibernética do aparelho. O tablet que registra a evolução de uma ferida ou a administração de um medicamento controlado é o mesmo que pode ser furtado num arrombamento de carro, esquecido numa lanchonete ou emprestado ao filho do funcionário para assistir um vídeo.

Soma-se a isso uma realidade comercial: as operadoras de saúde que contratam serviços de atendimento domiciliar estão cada vez mais exigentes quanto à maturidade de segurança de seus prestadores. Um incidente vazado não significa apenas sanção da ANPD e dano à reputação — significa perder contratos que sustentam a operação inteira. Segurança, no home care, deixou de ser custo e virou condição de elegibilidade comercial.

A superfície de ataque real de uma operação de atendimento domiciliar

Para defender o home care é preciso primeiro enxergar a superfície de ataque como um atacante a enxerga — não como um organograma, mas como um mapa de portas. Ela se distribui por quatro frentes que se conectam: os dispositivos de campo, o aplicativo de coleta, a central de operação e as pessoas. Cada frente tem suas próprias falhas típicas, e a maioria dos incidentes reais nasce na interseção entre elas.

Dispositivos de campo e o aplicativo de coleta

Tablets e celulares fora do perímetro acumulam riscos: ausência de criptografia ou de PIN, sistema operacional desatualizado, apps pessoais ao lado do app clínico, conexão a redes Wi-Fi não confiáveis e o risco físico da perda ou furto. O app de coleta agrava o quadro porque, para operar offline, cacheia dados localmente — e aí moram os problemas: cache em texto claro, sem expiração, persistente após o logout. No servidor, APIs mal protegidas permitem autorização quebrada (BOLA), em que trocar um identificador devolve o prontuário de outro paciente.

A central de operação e as pessoas

A central consolida prontuários, escalas e faturamento; um ransomware aqui não vaza dados, ele para a operação — e estamos falando de pacientes em cuidado contínuo. Servidores expostos, segmentação inexistente, backups não testados e acessos sem MFA são o convite. Já a equipe distribuída, que raramente pisa num escritório e se comunica por aplicativos de mensagem, é alvo ideal de phishing: falsos avisos de escala, falsas atualizações do app, falsos comunicados do RH. Sem MFA e sem treinamento, uma única credencial roubada abre a porta do backend.

Comprometimento de dispositivos móveis: o vetor número um

Se houvesse um único risco para priorizar no home care, seria o comprometimento de dispositivos móveis em campo. Não porque seja o mais sofisticado, mas porque é o mais frequente, o mais banal e o que mais facilmente escapa do radar da gestão. Um tablet não precisa ser hackeado por um grupo criminoso para virar um vazamento — basta um arrombamento de carro, um furto de bolsa ou um esquecimento. O atacante, nesse caso, é a oportunidade.

A defesa contra esse vetor é quase inteiramente preventiva e gira em torno de uma pergunta: quando este aparelho sair do meu controle, o que ele entrega? Se a resposta for criptografia de disco intacta, PIN forte que resiste a tentativas, cache clínico cifrado e a capacidade de disparar um wipe remoto antes que alguém quebre a tela de bloqueio, então um dispositivo perdido é um prejuízo de hardware, não um incidente de dados. Se a resposta for um aparelho destravado com prontuários em cache aberto, é uma crise.

É aqui que entra a gestão de dispositivos móveis (MDM/EMM) como infraestrutura inegociável. Ela dá à empresa o que ela hoje não tem: inventário vivo de cada aparelho, imposição automática de políticas de criptografia e bloqueio, distribuição controlada do app clínico, detecção de aparelhos com root/jailbreak ou desatualizados, e o botão de wipe remoto que transforma um furto numa nota de rodapé. Em cenários BYOD, a containerização isola o ambiente corporativo do pessoal, permitindo apagar só o dado da empresa.

Vazamento de prontuário e geolocalização: o dano que a LGPD pune com peso

Nem todo dado vazado pesa igual. A LGPD classifica dado de saúde como dado pessoal sensível (art. 11), o que eleva o padrão de cuidado exigido e o tamanho da responsabilização quando algo dá errado. No home care, o vazamento combina dois ingredientes especialmente delicados: a condição clínica do paciente e a sua geolocalização. Juntos, eles não revelam apenas que alguém está doente — revelam onde essa pessoa vulnerável mora, em que horários fica sozinha e quando recebe visitas. É informação que protege ou expõe uma vida.

Por isso o tratamento de geolocalização no home care exige disciplina. O princípio da minimização da LGPD pede que se colete apenas o necessário para a finalidade. Confirmar que a visita ocorreu no endereço certo é legítimo; manter um rastreamento contínuo e perpétuo da localização de pacientes e profissionais cria um passivo enorme que, vazado, exporia rotinas inteiras. Tratamentos de alto risco como esse pedem um Relatório de Impacto à Proteção de Dados (RIPD) que documente a necessidade e as salvaguardas.

Quando o vazamento acontece, o artigo 48 da LGPD entra em cena: incidentes que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos afetados. A diferença entre uma notificação controlada e uma crise está na capacidade de delimitar o escopo com precisão e demonstrar diligência. É a diferença entre dizer à ANPD que vazaram 14 prontuários específicos, contidos em menos de uma hora, com controles claros, e dizer que não se sabe o que vazou nem quantos pacientes foram afetados.

Ransomware na central: quando parar o sistema significa parar o cuidado

Os três riscos anteriores tratam de confidencialidade — dado que vaza. O ransomware na central de operação ataca a disponibilidade, e no home care isso tem um peso ético particular. Quando a central é cifrada, não é só um sistema que para: é a escala de visitas que some, é o prontuário que fica inacessível na hora em que o enfermeiro precisa saber a dosagem correta, é o cuidado contínuo de pacientes frágeis que é interrompido. Disponibilidade, aqui, é segurança do paciente.

Grupos de ransomware modernos operam em dupla extorsão: primeiro exfiltram os dados, depois cifram os sistemas, e cobram tanto pela chave de decifragem quanto pela promessa de não publicar os prontuários roubados. Uma operadora de saúde lidando com dados sensíveis de centenas de pacientes é um alvo de alto valor: a pressão para pagar é imensa porque tanto a operação quanto a reputação estão reféns.

A defesa contra ransomware na central é uma combinação de resiliência e detecção. Resiliência: segmentação de rede para que a infecção num ponto não se espalhe, hardening dos servidores de prontuário, princípio do menor privilégio nos acessos, e o backup imutável testado. Detecção: o SOC 24x7 que percebe a movimentação lateral e a cifragem em massa nos primeiros minutos, dispara a resposta e isola as máquinas antes que o estrago se complete.

Como a Decripte atua: do diagnóstico gratuito à blindagem completa

A abordagem da Decripte para o home care é deliberadamente sequencial e self-service: primeiro você enxerga o problema sem gastar nada, depois decide o que blindar. Tudo começa pelo diagnóstico gratuito de Gestão de Ameaças em decripte.com.br/intelligence-center, que mapeia a exposição externa da sua operação — credenciais vazadas de funcionários em vazamentos públicos, ativos e sistemas expostos na internet, superfície de ataque que você talvez nem soubesse que tinha. É o raio-x inicial, sem custo e sem compromisso.

Com o diagnóstico em mãos, a estruturação avança sobre os pontos críticos do setor. A Decripte avalia a exposição dos dispositivos de campo, implanta a gestão de dispositivos móveis (MDM/EMM) com criptografia, wipe remoto e inventário, e submete o app de coleta domiciliar a uma avaliação de segurança no padrão OWASP MASVS e API Security — olhando exatamente para cache inseguro, autorização quebrada e falhas de autenticação. É o ângulo central: home care perde tablets com dados de pacientes, e a Decripte fecha essa porta.

Sobre essa base, o monitoramento contínuo entra com o SOC 24x7, observando acessos a prontuário, uso de credenciais, conformidade da frota e sinais de ransomware na central, ininterruptamente. E quando algo escapa — porque nenhuma defesa é perfeita — a Resposta a Incidentes assume com SLA de contenção menor ou igual a 1 hora, contendo o estrago e delimitando o escopo. Em paralelo, o programa de Conformidade organiza a casa do ponto de vista da LGPD na saúde, do mapeamento de fluxos ao plano de notificação.

Conformidade LGPD na atenção domiciliar: virando obrigação em vantagem

Para uma operadora de home care, conformidade com a LGPD deixou de ser um exercício jurídico abstrato e virou pré-requisito de mercado. Operadoras de saúde, planos e o próprio paciente esperam evidência de que o prestador trata dado sensível com seriedade. A boa notícia é que a maturidade de proteção de dados, bem construída, vira um diferencial comercial — o argumento que ganha o contrato contra um concorrente que ainda guarda prontuário em planilha sem controle.

A Decripte estrutura a conformidade a partir do que realmente acontece na operação. Mapeia os fluxos de dado sensível — onde o prontuário nasce, por onde trafega, onde repousa e quem acessa. Define a base legal adequada para o tratamento de dado de saúde sob o artigo 11. Estabelece políticas de retenção e descarte para que dado não se acumule indefinidamente. Trata a geolocalização com o cuidado que ela exige, incluindo RIPD. E monta o plano de resposta a incidentes que satisfaz o artigo 48 antes de precisar dele.

Vale ser preciso sobre o que a LGPD efetivamente exige, sem inventar números ou prazos rígidos onde a lei não os fixa. O artigo 48 fala em comunicação em prazo razoável, regulamentado pela ANPD, e não em um número fechado no próprio texto. O que ele exige com clareza é a comunicação de incidentes com risco relevante, o tratamento qualificado do dado sensível e a prestação de contas. A postura correta é estar preparado para notificar com escopo preciso e diligência demonstrável, que é exatamente o que a resposta a incidentes da Decripte entrega.

Anatomia de um caso real: o tablet furtado que quase virou crise nacional

Como a Decripte responde a um incidente em home care

A resposta a incidentes da Decripte combina o mundo físico (dispositivo perdido) e o digital (vazamento, ransomware) num único fluxo, com SLA de contenção menor ou igual a 1 hora. São os passos típicos quando uma operação de atenção domiciliar nos aciona.

1. Acionamento e triagem imediata: o canal de resposta recebe o alerta (furto reportado, alerta do SOC, suspeita de vazamento) e classifica a severidade em minutos, mobilizando a equipe certa.
2. Contenção em até 1 hora: wipe remoto do dispositivo afetado, revogação das credenciais logadas, expiração de sessões e isolamento do endpoint ou da máquina comprometida do backend.
3. Investigação e delimitação de escopo: análise de logs para determinar exatamente quais dados estavam expostos, quantos titulares afetados e se houve exfiltração do backend ou apenas do dispositivo local.
4. Erradicação das causas-raiz: remoção do acesso do atacante, fechamento da brecha (cache inseguro, credencial fraca, API vulnerável) e correção da configuração que permitiu o incidente.
5. Recuperação da operação: restauração a partir de backups íntegros quando há ransomware, revalidação da frota de dispositivos e retorno ao atendimento sem interrupção do cuidado ao paciente.
6. Apoio à notificação regulatória: produção do relatório técnico que fundamenta a comunicação à ANPD e aos titulares conforme o artigo 48 da LGPD, demonstrando diligência e contenção.
7. Pós-incidente e blindagem: relatório completo, lições aprendidas, implantação ou reforço de MDM, SOC e controles, e criação de runbook para acionamento futuro pela própria equipe.
8. Monitoramento contínuo: integração do aprendizado ao SOC 24x7 para detectar antes a próxima tentativa pelo mesmo vetor.

Como a Decripte estrutura a segurança de uma operação de home care

Responder a incidentes é necessário, mas o objetivo é evitá-los. A Decripte estrutura a segurança da atenção domiciliar em pilares que cobrem o endpoint fora do perímetro, o app, a central e o fator humano — transformando uma operação distribuída e exposta em uma frota gerenciada e monitorada.

Planos recomendados para Home Care e Atenção Domiciliar

Perguntas frequentes

Termos do setor

MDM / EMM

Mobile Device Management / Enterprise Mobility Management. Conjunto de tecnologias para gerenciar a frota de dispositivos móveis corporativos: criptografia obrigatória, PIN, wipe remoto, inventário, distribuição de apps e separação entre espaço de trabalho e pessoal em cenários BYOD.

Wipe remoto seletivo

Comando que apaga à distância apenas os dados e apps corporativos de um dispositivo perdido, furtado ou de um colaborador desligado, sem tocar nos dados pessoais do usuário. Medida central para conter vazamento em endpoints de campo.

BOLA (Broken Object Level Authorization)

Falha listada no OWASP API Security Top 10 em que o servidor confia no identificador enviado pelo cliente sem verificar se o usuário tem direito de acessar aquele objeto. Em home care, permitiria a um profissional puxar o prontuário de um paciente fora da sua carteira trocando IDs.

Dado pessoal sensível

Categoria da LGPD (art. 11) que inclui dados de saúde. Exige base legal qualificada e padrão de cuidado elevado. Prontuários, prescrições e fotos clínicas de home care se enquadram, assim como a geolocalização cruzada com a condição de saúde do paciente.

RIPD

Relatório de Impacto à Proteção de Dados Pessoais. Documento previsto na LGPD para descrever os tratamentos de alto risco e as medidas de mitigação. Recomendado quando se trata geolocalização de pacientes combinada com dado de saúde.

OWASP MASVS

Mobile Application Security Verification Standard, da OWASP. Padrão de referência para avaliar a segurança de aplicativos móveis, cobrindo armazenamento local, criptografia, autenticação, comunicação em rede e resistência a manipulação — base da blindagem do app de coleta domiciliar.