Por que saúde tem exigências específicas de gestão de dispositivos
Nenhum dado é mais sensível do que dado de saúde. O resultado de um exame, um diagnóstico, um histórico de internação ou uma prescrição médica revelam informações que o paciente compartilha com seu médico em confiança, sob sigilo profissional garantido pelo Código de Ética Médica. Quando esse dado está em um dispositivo móvel sem controle, a confidencialidade depende de um único elo: o colaborador não perder o celular.
O setor de saúde digital brasileiro tem três forças que tornam o MDM não apenas recomendável, mas necessário:
LGPD com regime especial para dados de saúdeA lei classifica dados de saúde como sensíveis e exige medidas técnicas de proteção proporcionalmente mais rigorosas. Organização de saúde sem MDM em dispositivos que acessam prontuários tem dificuldade em demonstrar que adotou medidas adequadas na eventual fiscalização da ANPD.
Prontuário eletrônico em dispositivos móveisA digitalização do prontuário de papel para sistemas eletrônicos (HIS, RES) moveu dados de pacientes para servidores acessados por tablets e smartphones. O dispositivo móvel virou a camada de acesso ao dado mais sensível da organização.
Alta rotatividade de profissionaisHospitais, clínicas e laboratórios têm rotatividade acima da média de outros setores, especialmente entre técnicos, enfermeiros e médicos residentes. Sem MDM, cada desligamento representa um risco de acesso não autorizado a dados de pacientes por ex-colaboradores.
O que a LGPD exige para dados de saúde em dispositivos móveis
A LGPD não detalha requisitos técnicos específicos por setor. Mas seus princípios e obrigações têm implicações diretas para a gestão de dispositivos que acessam dados de pacientes:
LGPD e dispositivos móveis na saúde: o que cada artigo implica
Art. 5º, II
Dados de saúde como sensíveisDados referentes à saúde do titular são classificados como sensíveis, exigindo consentimento específico e destacado para tratamento (salvo exceções legais) e medidas de segurança mais rigorosas do que dados pessoais comuns.
Art. 46
Medidas técnicas e administrativas adequadasO controlador deve adotar medidas para proteger dados pessoais de acessos não autorizados. Em dispositivos móveis: criptografia, autenticação forte, controle de apps com acesso aos dados e capacidade de wipe remoto.
Art. 48
Comunicação de incidentesEm caso de incidente de segurança com dados de pacientes (perda de dispositivo com prontuários, por exemplo), a organização deve comunicar à ANPD e aos titulares em prazo razoável. O MDM permite documentar imediatamente as ações tomadas (wipe remoto) como resposta ao incidente.
Art. 6º, III
Princípio da necessidadeApenas os dados necessários devem ser acessíveis. MDM permite configurar quais apps e sistemas têm acesso a dados de pacientes em cada perfil de dispositivo, limitando o acesso ao estritamente necessário para cada função clínica.
Art. 37
Registro de operaçõesO controlador deve manter registro das operações de tratamento de dados. O MDM, integrado ao sistema de prontuário, pode fornecer logs de quais dispositivos acessaram quais dados e quando, compondo o registro de operações exigido.
Casos de uso de MDM no setor de saúde
O MDM na saúde não é uma solução única. Cada ponto de uso de dispositivo tem um perfil diferente que exige configuração específica:
| Dispositivo / Uso |
Modo MDM recomendado |
Configurações críticas |
Risco sem MDM |
| Tablet de prontuário eletrônico |
Modo quiosque (COSU / Single App Mode) |
App único do HIS, senha obrigatória, timeout automático, wipe remoto, sem acesso a câmera em áreas de prontuário |
Acesso a dados de pacientes por qualquer pessoa com acesso físico ao tablet |
| Smartphone de médico ou enfermeiro |
COPE ou BYOD com perfil de trabalho |
Separação dados pessoais e corporativos, criptografia, wipe seletivo no desligamento, VPN obrigatória fora da rede hospitalar |
Dados de pacientes em celular perdido sem possibilidade de wipe remoto |
| Dispositivo de triagem e recepção |
Modo quiosque com app de atendimento |
App único de triagem, sem acesso à internet, sem câmera, senha administrativa para sair do quiosque |
Paciente com acesso ao sistema de agendamento de outros pacientes |
| Coletor de dados de laboratório |
Dispositivo dedicado com suporte offline |
App de coleta de amostras, sincronização quando conectado à rede, criptografia de dados em repouso, log de acesso |
Dados de exames de pacientes acessíveis sem autenticação |
| Dispositivo de equipe administrativa |
Totalmente gerenciado (COPE) |
Acesso apenas a sistemas autorizados, bloqueio de transferência de dados para apps pessoais, senha forte |
Dados financeiros e cadastrais de pacientes expostos |
Tablets de prontuário eletrônico: modo quiosque e controle de acesso
O tablet de prontuário eletrônico é o caso de uso mais crítico de MDM na saúde. Ele fica em um quarto, posto de enfermagem ou sala de atendimento, é acessado por múltiplos profissionais ao longo do dia e contém dados de dezenas ou centenas de pacientes. A configuração correta em modo quiosque elimina praticamente toda a superfície de risco desse dispositivo.
App único do sistema de prontuárioO MDM bloqueia o tablet em um único app: o sistema de prontuário eletrônico (HIS ou sistema próprio). O profissional não consegue abrir o navegador, acessar e-mail, instalar apps ou fazer qualquer outra coisa que não seja usar o prontuário. Isso é COSU (Corporate-Owned Single Use) no Android ou Single App Mode no iOS supervisionado.
Timeout e bloqueio automáticoApós um período de inatividade (geralmente 1 a 3 minutos), o dispositivo bloqueia automaticamente e exige autenticação para ser reativado. Isso impede que dados de pacientes fiquem visíveis em dispositivos esquecidos em áreas de circulação.
Autenticação por profissionalCada profissional tem suas credenciais individuais de acesso ao sistema de prontuário. O MDM não controla quem acessa o prontuário, mas garante que apenas o app autorizado está disponível e que o dispositivo está protegido fisicamente.
Wipe remoto imediato em caso de furtoSe o tablet for roubado de uma área hospitalar, o TI executa o wipe remoto no console MDM em minutos. O dispositivo é apagado completamente, eliminando o acesso aos dados armazenados localmente e invalidando as sessões ativas no sistema de prontuário.
Smartphones da equipe clínica: separação de dados e wipe remoto
Médicos, enfermeiros e outros profissionais de saúde frequentemente usam o smartphone para consultar prontuários, receber alertas de sistemas hospitalares e se comunicar sobre pacientes. A questão é: esse smartphone é corporativo ou pessoal? A resposta define a estratégia de MDM.
Dispositivo corporativo (COPE)
✓Controle total da empresa sobre o dispositivo
✓Wipe completo no desligamento do profissional
✓Modo supervisionado disponível (iOS) ou totalmente gerenciado (Android)
✓Políticas de segurança completas sem limitação
!Custo de hardware para a organização
Dispositivo pessoal (BYOD)
✓Sem custo de hardware para a organização
✓Perfil de trabalho separado via MDM (Android Work Profile ou iOS User Enrollment)
✓Wipe seletivo apenas dos dados corporativos no desligamento
!Controles mais limitados que dispositivo corporativo
!Profissional pode remover o perfil MDM a qualquer momento (iOS)
Recomendação para saúde
Para profissionais que acessam dados de pacientes regularmente, o modelo COPE com dispositivo corporativo oferece o nível de controle mais adequado à criticidade dos dados. O BYOD pode ser usado para funções administrativas ou para comunicação interna, mas exige política de uso clara assinada pelo profissional e treinamento sobre o que pode e não pode ser feito com dados de pacientes no dispositivo pessoal.
Configurações obrigatórias de MDM para conformidade com LGPD na saúde
Estas são as configurações que todo dispositivo que acessa dados de saúde de pacientes deve ter ativas via MDM:
1
Criptografia de armazenamento obrigatóriaTodos os dados armazenados localmente no dispositivo devem ser criptografados. Em caso de perda ou furto, mesmo que a tela de bloqueio seja contornada, os dados são inacessíveis sem a chave de criptografia.
2
Senha ou biometria obrigatória com política definidaSenha mínima de 6 a 8 caracteres alfanuméricos (ou biometria), bloqueio automático em até 1 minuto de inatividade. Bloqueio após 5 a 10 tentativas falhas com wipe automático opcional.
3
Wipe remoto habilitado e testadoO console MDM deve ter o wipe remoto configurado e o processo de acionamento documentado e treinado com o time de TI. Um wipe que nunca foi testado não é uma garantia confiável de resposta a incidentes.
4
Controle de apps com acesso a dados de pacientesApenas apps autorizados pela TI devem ter acesso aos sistemas de prontuário e dados de pacientes. MDM configura quais apps podem ser instalados e quais têm permissão de acesso à rede interna hospitalar.
5
VPN obrigatória fora da rede internaQuando o profissional acessa dados de pacientes fora da rede hospitalar (em casa, em atendimento domiciliar), o acesso deve ser feito via VPN que criptografa a comunicação e autentica o dispositivo.
6
Inventário atualizado e conformidade monitoradaO console MDM deve mostrar em tempo real quais dispositivos estão com as políticas ativas e conformes. Dispositivos com sistema desatualizado ou políticas violadas devem ser bloqueados automaticamente do acesso à rede interna.
Como responder a um incidente: dispositivo perdido com dados de pacientes
Este é o cenário que toda organização de saúde precisa ter planejado antes que aconteça. Com MDM, a resposta é rápida e documentada. Sem MDM, é um exercício de dano control sem ferramentas.
Protocolo de resposta: dispositivo perdido com MDM ativo
Imediato
Colaborador reporta a perda ao TI ou ao responsável de segurança da informação. Registro do horário e das circunstâncias.
Em 5 min
TI localiza o dispositivo no console MDM e executa o bloqueio remoto imediato enquanto avalia a situação.
Em 15 min
Se não há perspectiva de recuperação: executa o wipe remoto completo. Registro do comando e da confirmação de execução no console MDM.
Em 24h
DPO avalia quais dados de pacientes estavam acessíveis no dispositivo e se o incidente configura violação de dados que exige notificação à ANPD e aos titulares.
Documentar
Registrar todo o processo: horário da perda, horário do bloqueio, horário do wipe, dados potencialmente expostos e ações tomadas. Essa documentação é essencial para a eventual notificação à ANPD.
Como implementar MDM em clínicas e hospitais
A implantação de MDM em ambientes de saúde tem algumas particularidades em relação a outros setores que precisam ser consideradas no planejamento:
Envolver o DPO desde o inícioO encarregado de dados (DPO) precisa participar da definição das políticas de MDM para garantir que as configurações atendem às exigências da LGPD para dados de saúde. MDM implantado sem validação do DPO pode ter lacunas de conformidade.
Mapear todos os pontos de uso de dispositivoAntes de implantar, mapear todos os tipos de dispositivo e função: tablets de prontuário, smartphones de médicos, coletores de lab, dispositivos de recepção. Cada ponto tem perfil diferente de risco e configuração necessária.
Testar o modo quiosque com os sistemas de prontuárioAntes de implantar em toda a frota, testar o modo quiosque com o sistema de prontuário eletrônico específico da organização. Sistemas legados nem sempre funcionam corretamente em modo quiosque e podem exigir ajustes.
Treinar a equipe clínica e documentar a políticaProfissionais de saúde precisam entender o que o MDM faz e por que. Resistência à implantação é menor quando a equipe entende que o objetivo é proteger os pacientes (e os próprios profissionais) de responsabilidade por incidentes de dados.
Documentar as políticas de MDM para evidência de conformidadeA documentação das políticas de MDM aplicadas (criptografia, wipe remoto, controle de apps) é parte do conjunto de evidências que a organização usa para demonstrar conformidade com a LGPD em eventual fiscalização da ANPD.
Fale com um especialista
Sua organização de saúde tem dispositivos que acessam dados de pacientes sem MDM?
A Mobit ajuda clínicas, hospitais e operadoras de saúde a estruturar a gestão de dispositivos com foco em conformidade LGPD: mapeamento de riscos, definição de políticas, implantação e gestão contínua. Fale com um especialista.
Falar com especialista em MDM para saúde
Sem compromisso. Diagnóstico inicial gratuito.
Perguntas frequentes sobre MDM para saúde
Uma clínica pequena com poucos tablets precisa de MDM? ▼
Sim, independentemente do tamanho. A LGPD não tem exceção por porte para dados de saúde. Uma clínica com 3 tablets de prontuário que contêm dados de centenas de pacientes tem a mesma obrigação de proteção que um hospital com 500 dispositivos. A diferença é que o custo de implantação é proporcionalmente menor para clínicas pequenas, e a exposição ao risco de um incidente sem MDM é a mesma. Do ponto de vista prático, qualquer organização de saúde com dispositivos que acessam prontuários eletrônicos deve ter MDM como controle mínimo.
O MDM tem acesso ao conteúdo dos prontuários dos pacientes? ▼
Não. O MDM gerencia o dispositivo, não o conteúdo dos sistemas que rodam nele. A plataforma MDM sabe quais apps estão instalados, qual o status de conformidade do dispositivo e pode executar comandos como wipe e bloqueio. Ela não tem acesso ao conteúdo do sistema de prontuário, não vê os dados de pacientes nem intercepta as comunicações entre o app e o servidor. O MDM é uma camada de segurança do dispositivo, não do sistema de informação hospitalar.
O que acontece com o MDM de um tablet quando o colaborador é desligado? ▼
Depende do tipo de dispositivo. Em tablets corporativos em modo quiosque (uso compartilhado entre profissionais), o desligamento do colaborador exige apenas revogar as credenciais individuais dele no sistema de prontuário, não o wipe do dispositivo. Em smartphones corporativos individuais, o processo é: bloqueio imediato do acesso aos sistemas, wipe remoto dos dados corporativos e recuperação do dispositivo. Em BYOD, o MDM remove o perfil corporativo do dispositivo pessoal, apagando apenas os dados corporativos.
MDM substitui outras medidas de segurança da informação na saúde? ▼
Não. MDM é uma das camadas de segurança de um programa completo de proteção de dados na saúde. Outras camadas necessárias incluem: controle de acesso ao sistema de prontuário (autenticação por usuário, permissões por função), segurança da rede hospitalar, política de senhas para sistemas, controle de acesso físico a áreas com dados de pacientes, treinamento de colaboradores e, quando aplicável, pseudonimização ou anonimização de dados. O MDM protege o dispositivo como ponto de acesso. As outras camadas protegem os dados nos sistemas.
+55 11 3500-4088
Deixe um comentário