Segurança para clínicas de diagnóstico cardiológico: do equipamento exposto ao laudo blindado

Por que um centro de cardiologia é um alvo diferente

Um centro de diagnóstico cardiológico não é uma clínica comum do ponto de vista de segurança. Ele concentra, em uma única rede, três mundos que raramente convivem bem: equipamentos médicos de captura (eletrocardiógrafos, holters de 24 horas, monitores de pressão MAPA, ecocardiógrafos com Doppler, ergômetros de teste de esforço), sistemas de laudo e armazenamento de imagem (workstations de análise, servidores DICOM/PACS, integração com o sistema de gestão clínica) e a rede administrativa comum (recepção, faturamento, e-mail, estações dos médicos). Quando esses três mundos compartilham a mesma rede plana, um problema em qualquer ponto vira um problema em todos.

O agravante é que o equipamento médico tem um ciclo de vida muito mais longo que o de TI. Um ecocardiógrafo custa caro e fica em operação por dez anos ou mais. O software embarcado nele foi homologado pelo fabricante com uma versão específica de sistema operacional — frequentemente um Windows que já saiu de suporte — e qualquer atualização não autorizada pode, na prática, descertificar o aparelho ou tirá-lo da garantia. O resultado é um equipamento clínico essencial, conectado à rede, rodando um sistema operacional que ninguém pode atualizar. Esse é o coração do problema.

Some-se a isso o valor do dado. Um laudo cardiológico não é apenas um arquivo: é informação de saúde sensível, com nome do paciente, condição cardíaca, histórico e, muitas vezes, vínculo com convênio ou empregador. Para um atacante, isso tem valor de extorsão (vazamento), valor de fraude (uso indevido de dados) e valor de sabotagem (adulteração ou indisponibilidade do arquivo justamente quando o médico precisa do exame para decidir uma conduta).

O mapa real da exposição: onde os equipamentos vazam para a internet

Quando a Decripte faz o diagnóstico externo de um centro de cardiologia, o padrão se repete. A exposição quase nunca é uma invasão sofisticada; é uma porta deixada aberta. Os achados mais comuns formam uma lista previsível, e é justamente por serem previsíveis que precisam ser conferidos um a um.

Os pontos de exposição que mais aparecem

O acesso remoto de fornecedor merece atenção especial. É absolutamente comum que o técnico que instalou o ecocardiógrafo tenha configurado um acesso remoto para dar suporte, e que esse acesso nunca tenha sido desligado. Ele costuma usar credencial compartilhada, sem segundo fator, e fica ligado vinte e quatro horas por dia. Para um atacante que faz varredura na internet, isso é um convite: ele entra pelo canal do fornecedor e já cai dentro da rede que contém os exames.

A boa notícia é que esse mapa é descobrível. O diagnóstico gratuito de Gestão de Ameaças em decripte.com.br/intelligence-center percorre exatamente a superfície externa da clínica — o que um atacante enxerga de fora — e devolve a lista do que está exposto, sem instalar nada nos equipamentos e sem risco de descertificar o aparelho.

Segmentação: a defesa que substitui o patch que não existe

Como o equipamento médico não pode ser corrigido, a defesa central de um centro de cardiologia é a segmentação de rede. A ideia é simples de enunciar e exige rigor para executar: cada classe de ativo vive em seu próprio segmento, e o tráfego entre segmentos é negado por padrão, liberando-se apenas o estritamente necessário.

Como a rede passa a ser desenhada

Com a rede assim desenhada, um equipamento comprometido deixa de ser uma catástrofe e passa a ser um incidente contido. O ecocardiógrafo com Windows antigo continua rodando seu sistema embarcado, mas se algo entrar nele, não há rota para a internet (impedindo que o malware se comunique com fora) nem para a rede administrativa (impedindo o salto para o restante da clínica). O equipamento que não pode ser corrigido fica, então, dentro de uma jaula que monitora tudo o que tenta entrar ou sair.

A segmentação também resolve um problema regulatório. Sob a LGPD, a clínica precisa demonstrar que adota medidas técnicas para proteger dado sensível de saúde. Uma rede segmentada, com o tráfego dos exames isolado e controlado, é uma medida técnica concreta e auditável — algo que a clínica pode mostrar à ANPD, ao convênio ou ao paciente que pergunta.

Blindando o laudo: sigilo e integridade do exame cardiológico

Proteger a rede é metade do trabalho. A outra metade é proteger o dado que trafega e repousa nela: o exame e o laudo. Aqui entram três preocupações distintas — sigilo, integridade e disponibilidade —, e é importante não confundi-las, porque exigem controles diferentes.

Sigilo: quem pode ver o exame

O sigilo trata de impedir que pessoas não autorizadas acessem o exame. Na prática, significa controle de acesso por papel: a recepcionista vê o agendamento mas não o traçado do holter; o cardiologista vê o laudo dos seus pacientes; o administrador da clínica vê o faturamento mas não o conteúdo clínico. Significa também cifragem dos dados em repouso (o exame guardado no servidor está criptografado) e em trânsito (o exame enviado do equipamento para o PACS viaja cifrado), além de cifragem dos backups.

Integridade: garantir que o laudo não foi alterado

A integridade é o ponto que clínicas costumam subestimar. Um laudo cardiológico é um documento clínico-legal: ele embasa condutas, perícias, afastamentos, liberações para cirurgia. Se um laudo puder ser alterado sem deixar rastro — seja por um atacante, seja por erro interno — a clínica perde a capacidade de provar o que de fato foi emitido. A blindagem de integridade combina versionamento (cada alteração gera uma nova versão, nunca sobrescreve), hash do documento (uma impressão digital que muda se um único caractere mudar) e trilha de auditoria imutável (registro de quem acessou, quem alterou, quando e de onde). A disponibilidade, terceira preocupação, é garantida pelo backup imutável: cópias dos exames que nem o administrador nem um malware conseguem apagar dentro da janela de retenção.

Monitoramento 24x7: enxergar o anormal no comportamento dos equipamentos

Segmentar e blindar reduzem a superfície e o impacto, mas não substituem a vigilância. Um centro de cardiologia opera fora do horário comercial — exames agendados de manhã cedo, holters retirados ao fim do dia, plantões — e os equipamentos ficam ligados sozinhos. É exatamente nesses momentos que um ataque progride sem ninguém olhando. Por isso o monitoramento precisa ser contínuo, vinte e quatro horas por dia, sete dias por semana.

O SOC 24x7 da Decripte coleta sinais da rede e dos sistemas e procura o que destoa do normal da clínica. Como os equipamentos médicos têm comportamento muito previsível — o ecocardiógrafo só fala com o PACS, o holter só descarrega dados em horários específicos — qualquer desvio é um indicador forte. Um equipamento de exame tentando alcançar um endereço na internet, um servidor de imagem recebendo conexões de um IP estrangeiro às três da manhã, um volume anormal de leitura no arquivo de exames: tudo isso são sinais que o SOC captura e investiga.

O monitoramento também cobre o lado de fora. A superfície externa da clínica não é estática: um técnico reabre um acesso remoto, alguém publica um novo serviço, um equipamento ganha uma porta na internet após uma manutenção. O monitoramento contínuo da exposição externa avisa quando uma porta nova abre, antes que um atacante a encontre.

Conformidade LGPD para saúde: do controle técnico à prova documental

Dado de saúde é, pela LGPD, dado pessoal sensível. O artigo 11 dá a ele um regime de proteção mais rígido que o dado comum: o tratamento exige base legal específica, e a clínica precisa demonstrar que adota medidas técnicas e administrativas adequadas para protegê-lo. Para um centro de cardiologia, isso não é abstrato — cada exame e cada laudo é dado sensível, e a clínica é controladora desses dados.

A conformidade, na prática, tem duas faces. A primeira é técnica: os controles de segmentação, cifragem, controle de acesso e auditoria que já descrevemos são, em si, as medidas técnicas que a LGPD exige. A segunda é documental e processual: a clínica precisa ser capaz de provar que faz o que diz fazer. Isso inclui o registro das operações de tratamento, a base legal de cada finalidade, o controle dos prazos de retenção dos exames, e um plano de resposta para o caso de um incidente que envolva dado pessoal.

O serviço de Conformidade da Decripte parte do que já existe na clínica, identifica as lacunas entre a operação real e o que a LGPD exige para dado de saúde, e organiza tanto os controles técnicos quanto a documentação. O objetivo não é gerar papel para a gaveta, e sim deixar a clínica em condição de demonstrar conformidade — para a ANPD, para o convênio que audita, para o paciente que pergunta o que é feito com o exame dele.

Ransomware no arquivo de exames: o pior dia da clínica

De todos os cenários, o ransomware no arquivo de exames é o que mais paralisa um centro de cardiologia. O ataque cifra os arquivos de imagem e laudo, e de repente a clínica não consegue abrir um ecocardiograma anterior, comparar um holter com o exame passado, nem emitir laudos. O atendimento trava, os pacientes ficam sem resultado, e o atacante exige resgate — frequentemente com a ameaça extra de vazar os exames se não houver pagamento (a chamada dupla extorsão).

O ransomware raramente começa no servidor de exames. Ele começa em um ponto fraco — uma estação administrativa que clicou em um anexo, um acesso remoto de fornecedor exposto, um equipamento com sistema antigo — e se espalha pela rede plana até alcançar o arquivo. É por isso que segmentação e ransomware estão tão ligados: a segmentação impede que o malware salte do ponto de entrada até o repositório de exames.

O backup precisa ser de um tipo específico. Não basta uma cópia que o ransomware possa cifrar junto com o resto. Precisa ser backup imutável (write-once-read-many), em que os dados, uma vez gravados, não podem ser alterados nem apagados dentro do período de retenção — nem pelo administrador, nem por um atacante que tenha roubado credenciais. É essa propriedade que garante que, no pior dia, exista um ponto de retorno limpo.

Pentest e gestão de vulnerabilidades sem descertificar o equipamento

Há uma preocupação legítima quando se fala em testar a segurança de equipamentos médicos: o teste pode danificar o aparelho ou descertificá-lo? A resposta, com a abordagem correta, é não. O pentest da Decripte para ambientes de saúde é conduzido com cuidado clínico — testes não destrutivos, sem injetar carga que possa travar um equipamento em uso, e sem ações que alterem a configuração homologada do aparelho. O objetivo é descobrir o que um atacante descobriria, não causar dano.

O pentest e a gestão de vulnerabilidades de dispositivos médicos olham para o que importa neste setor: quais equipamentos estão expostos, quais painéis de gestão respondem na rede, quais senhas de fábrica continuam ativas, quais acessos remotos de fornecedor estão abertos, quais serviços DICOM e SMB estão acessíveis, e por onde um atacante saltaria de um ponto fraco até o arquivo de exames. O resultado é uma lista priorizada — o que corrigir primeiro, o que isolar, o que monitorar.

O ponto de partida não custa nada. O diagnóstico gratuito de Gestão de Ameaças em decripte.com.br/intelligence-center já entrega a primeira camada dessa visão — a exposição externa — sem instalar nada e sem tocar nos equipamentos. A partir dele, a clínica decide se quer aprofundar com um pentest completo e gestão contínua.

Anatomia de um caso real: o ecocardiógrafo que abriu a porta

Como a Decripte responde a um incidente em um centro de cardiologia

Quando um centro de cardiologia aciona a resposta a incidentes da Decripte, o objetivo é duplo: parar o atacante rápido e preservar a operação clínica e a integridade dos exames. A resposta segue passos ordenados, com o SLA de contenção de até uma hora orientando a urgência da fase crítica.

1. Triagem e ativação: a equipe de resposta confirma o incidente, classifica a gravidade e ativa o plano, estabelecendo um ponto único de coordenação com a clínica para decisões rápidas e sem ruído.
2. Contenção em até 1h: isola os ativos comprometidos da rede — equipamento, estação ou servidor —, derruba acessos remotos expostos e bloqueia comunicação com a infraestrutura do atacante, estancando a movimentação e a exfiltração.
3. Preservação de evidências: coleta logs, imagens de memória e artefatos antes de qualquer limpeza, garantindo a trilha forense necessária para entender o ataque e para a eventual notificação à ANPD.
4. Erradicação: identifica e elimina o ponto de entrada (acesso de fornecedor, anexo malicioso, equipamento vulnerável), remove artefatos, rotaciona credenciais e confirma que não restou persistência na rede.
5. Recuperação segura: reconstrói estações a partir de imagem limpa e restaura exames a partir do backup imutável, validando a integridade de cada laudo para garantir que nada foi adulterado antes de retomar a operação.
6. Avaliação de dano e LGPD: dimensiona quais dados de saúde foram acessados ou exfiltrados, avalia o risco aos titulares e conduz, quando aplicável, a comunicação à ANPD e aos pacientes dentro do que a lei exige.
7. Estruturação pós-incidente: fecha definitivamente as falhas exploradas — segmentação, fim de acessos esquecidos, blindagem de laudos — para que a mesma porta não seja reaberta.
8. Relatório e monitoramento contínuo: entrega o relatório do incidente com causa raiz e recomendações, e mantém o SOC 24x7 vigiando a clínica para detectar qualquer tentativa de retorno.

Como a Decripte estrutura a segurança de um centro de cardiologia

Depois de conter o que é urgente, a Decripte estrutura a segurança da clínica em pilares que se sustentam mutuamente. O foco é tornar o ambiente resiliente apesar de equipamentos que não podem ser corrigidos, protegendo o que mais importa: a continuidade do atendimento e a integridade dos exames.

Planos recomendados para Cardiologia e Centros de Exames

Perguntas frequentes

Termos do setor

DICOM / PACS

DICOM é o padrão de imagem médica e PACS é o sistema que armazena e distribui essas imagens. Nasceram para redes internas confiáveis e tratam autenticação e cifragem como opcionais — por isso nunca devem ficar expostos diretamente à internet, e sim dentro do segmento isolado.

Segmentação de rede

Prática de dividir a rede em zonas isoladas (dispositivos médicos, laudo, administrativo, visitantes) onde o tráfego entre zonas é negado por padrão e liberado só por exceção. É a principal defesa de equipamentos que não podem receber atualização.

Backup imutável

Cópia de dados gravada em modo write-once-read-many, que não pode ser alterada nem apagada dentro do período de retenção — nem pelo administrador, nem por um atacante. É o que garante um ponto de retorno limpo diante de ransomware.

Dado pessoal sensível

Categoria da LGPD (art. 11) que inclui dados de saúde, com regime de proteção mais rígido. Exige base legal específica e medidas técnicas demonstráveis. Exames e laudos cardiológicos se enquadram aqui.

Integridade verificável

Conjunto de controles (versionamento, hash, trilha de auditoria imutável) que permite provar matematicamente que um laudo não foi alterado desde a emissão, protegendo paciente e clínica contra adulteração.

Dupla extorsão

Tática de ransomware em que o atacante, além de cifrar os dados, ameaça vazar as informações roubadas (exames e laudos) caso o resgate não seja pago, somando indisponibilidade e exposição de dados sensíveis.