ITSM para o setor de saúde: como compliance, gestão de ativos e service desk se conectam para proteger dados de pacientes
Em hospitais, clínicas e operadoras, a proteção de dados de pacientes depende de rotinas de TI: quem recebe acesso a cada sistema, em quanto tempo esse acesso é revogado, quais dispositivos são usados por mais de uma pessoa e quem consegue comprovar o que foi acessado.
Como a Lei Geral de Proteção de Dados (LGPD) classifica dados de saúde como dados pessoais sensíveis, essas rotinas passam a ser uma exigência de conformidade. É nesse ponto que o ITSM (gerenciamento de serviços de TI) ganha relevância no setor.
O problema é que service desk, gestão de ativos e compliance costumam funcionar separados. O service desk registra a solicitação, mas nem sempre sabe em qual dispositivo e com qual permissão ela foi atendida. O inventário mostra o que existe, mas não registra quem aprovou cada acesso. E a conformidade define as regras, mas depende de registros que nem sempre existem para provar que foram cumpridas.
No artigo de hoje, vamos entender como conectar esses três pilares para reduzir riscos à proteção de dados de pacientes e apoiar o atendimento aos requisitos de conformidade.
Por que a TI da área da saúde merece atenção redobrada?
Em ambientes hospitalares ou clínicas, os profissionais de saúde lidam com uma série de equipamentos fundamentais para atender os pacientes, como monitores de sinais vitais, ventiladores pulmonares, monitores de glicose e bombas de infusão, por exemplo.
Quando conectados à rede e integrados a outros sistemas, esses equipamentos podem compor um ambiente de IoMT(Internet of Medical Things, ou "Internet das coisas médicas" em tradução livre). Conforme sua finalidade e criticidade clínica, interrupções podem comprometer o atendimento e exigir medidas específicas de continuidade.
Em muitos casos, eles são conectados à rede e transmitem dados em tempo real para sistemas centrais, prontuários ou equipes.
Além disso, é comum que hospitais possuam softwares próprios para desenvolver prontuários eletrônicos, emitir laudos de exames laboratoriais e sistemas de gestão voltados para cadastro de pacientes, agendamento de consultas e controle de estoque.
Somados aos dispositivos do dia a dia, como computadores e câmeras de segurança, a TI de um hospital é responsável por gerenciar dezenas e até centenas de equipamentos distintos.
Por outro lado, a quantidade de dados que são coletados, armazenados e processados nessas instituições é enorme. Desde fichas cadastrais até prontuários eletrônicos, os agentes dentro de hospitais e clínicas têm contato direto com informações sensíveis sobre os pacientes.
Falhas no tratamento e na proteção dessas informações podem provocar acesso indevido, exposição, alteração ou indisponibilidade de dados, com consequências relevantes para os pacientes
O que a LGPD diz sobre dados de saúde?
A LGPD classifica informações sobre a saúde de uma pessoa como dados pessoais sensíveis, como é descrito no Art. 5º, Inciso II. Isso acontece porque a lei de 2018 considera que essas informações podem gerar discriminação e impactos negativos na vida do titular.
Os dados sensíveis da saúde incluem:
Diagnósticos médicos;
Resultados de exames;
Prontuário eletrônico do paciente;
Histórico clínico;
Prescrições médicas;
Dados biométricos;
Imagens médicas.
O tratamento dessas informações é permitido em cenários específicos, como a tutela da saúde em procedimentos realizados por profissionais de saúde ou serviços de saúde (art. 11). Isso significa que hospitais, clínicas e operadoras precisam saber exatamente quem acessa esses dados e com qual finalidade.
ITSM, gestão de ativos e compliance: como esses três pilares se conectam na área da saúde
Cada uma dessas disciplinas resolve uma pequena parte do problema de garantir a segurança das informações confidenciais sobre saúde, mas nenhuma protege os dados de pacientes sozinho.
O que o service desk resolve e o que ele não enxerga sozinho
O service desk é o ponto de entrada de solicitações de acesso, incidentes e pedidos de suporte. É ele que registra quem pediu o quê, quando e quem aprovou, o que já cria uma base importante de evidências.
O problema acontece quando o chamado fica desconectado do restante. Um pedido de acesso ao prontuário eletrônico, por exemplo, pode ser atendido sem que o atendente saiba em qual dispositivo o profissional vai trabalhar: se esse equipamento é compartilhado ou se o perfil solicitado é compatível com a função.
Sem essa visão, o service desk resolve o chamado, mas não consegue avaliar o risco por trás dele.
O papel da gestão de ativos e do CMDB
A gestão de ativos mantém o inventário de computadores, tablets, celulares e demais equipamentos com informações como localização, responsável e situação. O CMDB (banco de dados de gerenciamento de configuração) vai além: registra como esses itens se relacionam entre si, com usuários, sistemas e serviços.
Para a saúde, isso permite identificar quais equipamentos estão relacionados ao serviço de prontuário, onde estão e quais equipes são responsáveis por eles.
Quando essas informações estão ligadas aos chamados, o service desk passa a enxergar o contexto de cada solicitação, e não apenas o pedido isolado.
A gestão de ativos também apoia o acompanhamento do ciclo de vida dos equipamentos e o planejamento de manutenção e substituição, contribuindo para reduzir falhas e impactos no atendimento.
Como a conformidade se relaciona?
A conformidade define as regras sobre quem pode acessar dados sensíveis, em quais condições e por quanto tempo. Porém, se essas regras existem e não podem ser verificadas, acabam não sendo úteis para a equipe de TI.
É o service desk que registra solicitações e aprovações, enquanto a gestão de ativos fornece o contexto dos equipamentos envolvidos.
Quando os dois estão integrados, o time de compliance deixa de depender de planilhas e levantamentos manuais para provar que os controles funcionam, e passa a ter um histórico consultável para responder a auditorias e investigar incidentes.
Como o ServiceDesk Plus e o Endpoint Central apoiam a proteção de dados de pacientes
Dentro de um ambiente hospitalar, mudanças ocorrem de maneira muito rápida: novos profissionais, necessidade de equipamentos novos e sem falhas, fluxo alto de pacientes.
A equipe de TI precisa ficar atenta a todas essas especificidades e garantir não somente o bom funcionamento de processos, mas também fornecer a estrutura adequada para preservar dados sensíveis e tratá-los de maneira adequada.
Confira como o ServiceDesk Plus e o Endpoint Central da ManageEngine são fundamentais para o setor da saúde:
1. Onboarding e offboarding de profissionais em um único fluxo
A alta rotatividade de equipes de saúde torna o onboarding e o offboarding um dos maiores desafios de TI e conformidade em hospitais e clínicas.
O maior risco está na permanência de acessos ativos após o desligamento de funcionários ou na entrega de equipamentos sem os controles de segurança adequados.
Neste cenário, a equipe de TI consegue criar fluxos de automação que facilitem o processo de contratação ou de desligamento pelo ServiceDesk Plus:
O RH solicita a admissão ou o desligamento por meio do Catálogo de Serviços, preenchendo um formulário padronizado com o perfil, setor e turno do colaborador;
Depois, o sistema encaminha automaticamente a solicitação para aprovação antes de iniciar a execução;
Uma vez aprovado, o ServiceDesk Plus desmembra o chamado em sub-tarefas direcionadas aos times responsáveis (como a emissão de crachá e a liberação de acessos, por exemplo).
Aqui, a integração nativa com o Endpoint Central é fundamental para dar continuidade ao onboarding. Com modelos e fluxos previamente configurados, o ServiceDesk Plus organiza aprovações e tarefas para os responsáveis.
Já o Endpoint Central apoia a preparação dos dispositivos compatíveis, como a distribuição de softwares e configurações.
No desligamento, o fluxo pode incluir recolhimento, remoção de dados corporativos além da revogação de contas e permissões pelos responsáveis pelos sistemas.
2. Governança para dispositivos compartilhados entre turnos
Em ambientes hospitalares, é comum que profissionais de diferentes turnos de trabalho compartilhem os mesmos dispositivos, como computadores e tablets.
Isso representa um enorme desafio para a governança, porque os dispositivos são manuseados por vários profissionais ao longo do dia, o que pode prejudicar as auditorias em caso de falhas técnicas.
Para eliminar esse gargalo, um ativo no ServiceDesk Plus pode ser vinculado ao setor, posto de trabalho ou chefia de enfermagem responsável. Todas as trilhas de requisições e chamados de manutenção ficam atrelados ao ativo, permitindo que a TI acompanhe o seu histórico independentemente de quem esteja operando.
Já o Endpoint Central atua para mitigar riscos em dispositivos compartilhados, como:
Controle de Periféricos (USB): permite bloquear dispositivos não autorizados e restringir operações de leitura e gravação, reduzindo o risco de transferência indevida de dados;
Sessão e inatividade: configura o tempo limite para bloqueio automático de tela quando a estação fica ociosa;
Proteção de ativos móveis: oferece localização e, conforme a plataforma e o modo de gerenciamento, comandos de bloqueio ou remoção de dados corporativos em situações de perda ou roubo.
3. Trilha de auditoria completa para conformidade regulatória e resposta a incidentes
Em ambientes de saúde, a capacidade de reconstruir o histórico de eventos é fundamental para trilhas de auditoria, conforme previsto por regulamentações, como a LGPD.
A integração das duas soluções remonta uma espécie de linha do tempo que vai desde a solicitação administrativa ao evento técnico no dispositivo. Imagine que seja necessária a instalação de um software para visualizar imagens médicas em um dos computadores do setor de radiologia:
No ServiceDesk Plus, ficam registrados o pedido do médico, a aprovação do gestor do setor, a validação de licença pela TI e o registro da mudança (Change Management);
No Endpoint Central, ficam registrados o log do sistema confirmando o pacote instalado, a data/hora exata de instalação e a atualização automática do inventário do ativo.
Ao cruzar as informações das duas ferramentas, a instituição de saúde consegue provar, em uma auditoria, que esse software foi homologado e aprovado pela equipe e que seguiu as regras de governança estabelecidas.
Além da auditoria de rotina, o Artigo 48 da LGPD estabelece que incidentes de segurança com dados sensíveis que possam gerar risco aos titulares devem ser comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e aos próprios pacientes.
Nesses cenários, o ServiceDesk Plus dispara um fluxo de escalonamento prioritário que notifica o DPO (Data Protection Officer, o intermediário entre a ANPD e o hospital), vinculando o evento ao ativo afetado.
A partir daí, o Endpoint Central pode isolar a máquina da rede, impedindo que um invasor consiga acesso a mais dispositivos, por exemplo.
4. Gestão de patches e vulnerabilidades para softwares utilizados no dia a dia de atendimento
Ambientes hospitalares não podem parar em nenhum momento, nem mesmo para realizar a implantação de patches de segurança em softwares utilizados no dia a dia.
É comum que essas atualizações sejam adiadas, mas, quanto maior for o tempo de adiamento é maior também a exposição desses softwares para ataques.
Nesse sentido, o Endpoint Central permite programar implantações de patches de segurança e distribuí-los inicialmente a grupos piloto, antes de ampliar o alcance. Com validação funcional e janelas de manutenção adequadas, esse processo ajuda a reduzir riscos operacionais
Com os recursos de segurança correspondentes habilitados, o Endpoint Central também permite identificar vulnerabilidades e configurações inadequadas nos sistemas e aplicações suportados. Assim, a equipe de TI atua na remediação preventiva antes que uma vulnerabilidade seja explorada.
Conclusão
Clínicas e hospitais precisam ter uma postura ainda mais robusta em relação ao tratamento de dados, uma vez que lidam com uma série de informações sensíveis sobre a saúde de seus pacientes.
Com apoio do Endpoint Central e do ServiceDesk Plus, soluções da ManageEngine, essas instituições conseguem construir processos lógicos, seguros e auditáveis que os guiam para uma conformidade regulatória de alta qualidade.
É possível testar gratuitamente por 30 dias as soluções Endpoint Central ou ServiceDesk Plus.
Nota: Encontre a revenda da ManageEngine certa. Entre em contato com a nossa equipe de canais pelo e-mail latam-sales@manageengine.com.
Importante: a ManageEngine não trabalha com distribuidores no Brasil.