A capacidade de identificar e conter uma invasão cibernética rapidamente tornou-se um dos principais desafios de segurança para hospitais, laboratórios e operadoras de saúde. Em um setor que lida diariamente com dados pessoais sensíveis e sistemas essenciais ao atendimento, o tempo que um invasor permanece sem ser detectado pode ampliar a exposição de informações, comprometer sistemas e aumentar os riscos operacionais e reputacionais.
O problema é que nem todo ataque apresenta sinais evidentes. Quando criminosos utilizam credenciais legítimas para acessar sistemas corporativos, suas atividades podem se confundir com a rotina dos profissionais autorizados. Assim, enquanto o atendimento médico continua, ações indevidas podem ocorrer nos bastidores.
Para Aryel Canosa, diretor de receita (CRO) da Sec4U e especialista em segurança de identidade, a maturidade da proteção digital precisa ser avaliada não apenas pela existência de ferramentas de segurança, mas também pela capacidade de detectar e conter ameaças.
A questão central, nesse cenário, é quanto tempo uma organização leva para identificar uma atividade suspeita e reagir antes que ela alcance outros sistemas ou comprometa informações adicionais.
Credenciais legítimas estão entre os principais pontos de entrada
Os ataques baseados em identidade representam um desafio porque exploram contas, senhas e permissões que já existem nos ambientes corporativos. Diferentemente de uma tentativa evidente de invasão, o acesso pode ocorrer por meio de uma conta válida, dificultando a distinção entre uma atividade autorizada e uma ação maliciosa.
O X-Force Threat Intelligence Index 2024, da IBM, apontou crescimento de 71% nos ataques envolvendo o uso de credenciais válidas em 2023, na comparação com o ano anterior.
Já o Active Adversary Report 2026, da Sophos, citado no material que fundamenta esta reportagem, indica que 67% dos incidentes investigados pela empresa tiveram origem em ataques relacionados à identidade. O levantamento também aponta que, após obter acesso ao ambiente, invasores levaram, em média, 3,4 horas para alcançar um servidor Active Directory.
Esse serviço é utilizado por muitas organizações para centralizar contas, autenticações e permissões de acesso. Por isso, seu comprometimento pode facilitar a movimentação de um invasor dentro da infraestrutura corporativa.
O risco não se limita ao acesso inicial. Uma conta comprometida pode ser utilizada para consultar informações, ampliar privilégios ou alcançar sistemas mais sensíveis, dependendo das permissões disponíveis e dos controles existentes.
Dados de saúde exigem proteção adicional
No setor de saúde, as consequências de um incidente podem ser particularmente relevantes. A Lei Geral de Proteção de Dados Pessoais (LGPD) classifica informações referentes à saúde como dados pessoais sensíveis, sujeitos a regras específicas de tratamento e proteção.
Além do impacto sobre a privacidade dos pacientes, um incidente pode exigir investigações para identificar quais contas foram utilizadas, quais informações foram acessadas e quais sistemas foram afetados.
A complexidade aumenta porque hospitais e outras instituições de saúde costumam operar com diferentes categorias de usuários, incluindo médicos, residentes, funcionários administrativos, prestadores terceirizados e parceiros. Esses profissionais podem utilizar sistemas distintos, acessar serviços em nuvem e compartilhar informações entre unidades.
A integração de equipamentos médicos conectados, sistemas legados e novas aplicações também amplia a necessidade de controlar acessos e acompanhar atividades em diferentes ambientes.
Nesse contexto, a dificuldade de identificar rapidamente a origem e a extensão de um ataque pode prolongar a exposição ao risco. Uma senha pode ser alterada após um vazamento, mas informações clínicas já acessadas indevidamente não podem ser simplesmente substituídas.
ITDR monitora ameaças relacionadas à identidade
Uma das abordagens voltadas a esse desafio é o ITDR, sigla para Identity Threat Detection and Response, ou detecção e resposta a ameaças de identidade.
A disciplina reúne recursos para monitorar contas, diretórios e permissões, buscando identificar comportamentos que fogem do padrão esperado. Entre os sinais que podem exigir investigação estão a concessão inesperada de privilégios, a criação de contas de serviço com permissões excessivas, alterações incomuns nas políticas de autenticação multifator e atividades atípicas em grupos administrativos.
O objetivo é detectar situações que podem passar despercebidas por ferramentas tradicionais de monitoramento, especialmente quando a atividade suspeita ocorre por meio de uma conta aparentemente legítima.
A detecção, entretanto, precisa estar associada a uma resposta estruturada. Quando os sistemas de segurança estão integrados à gestão de identidades, a organização pode avaliar a função da conta, os recursos aos quais ela tem acesso e a medida de contenção mais adequada.
Entre as ações possíveis estão encerrar sessões ativas, exigir nova autenticação, revogar permissões concedidas indevidamente e acionar procedimentos de resposta a incidentes.
A escolha da medida depende do contexto e da gravidade da ameaça. O objetivo é limitar os danos sem provocar interrupções desnecessárias nas operações.
Resposta rápida precisa preservar o atendimento
Em hospitais, a contenção de um incidente exige cuidados adicionais. Bloquear indiscriminadamente a conta de um profissional durante um plantão pode prejudicar o acesso a sistemas necessários à assistência. Por outro lado, manter uma conta comprometida ativa pode permitir a continuidade de atividades indevidas.
Por isso, os procedimentos precisam considerar tanto a segurança digital quanto a continuidade operacional. A resposta deve ser rápida, mas também proporcional ao risco identificado.
A integração entre monitoramento, gestão de acessos e planos de resposta ajuda a estabelecer critérios para decidir quando suspender uma conta, exigir uma nova autenticação ou restringir determinadas permissões.
Outro aspecto importante é a preparação das equipes. Definir previamente quem deve ser acionado, quais decisões podem ser tomadas e como agir diante de diferentes cenários reduz a dependência de decisões improvisadas durante uma crise.
Tempo de detecção precisa entrar na gestão de riscos
A avaliação da segurança digital também depende de indicadores que permitam medir a capacidade de resposta. Entre eles estão o tempo médio para detectar um incidente e o tempo médio necessário para contê-lo ou responder à ameaça.
As organizações podem acompanhar, ainda, a quantidade de contas inativas ou esquecidas, o volume de acessos privilegiados, as permissões acumuladas ao longo do tempo e a frequência de alertas que não correspondem a ameaças reais.
Essas informações ajudam a identificar vulnerabilidades e avaliar se os controles existentes estão funcionando como esperado.
Para Canosa, a proteção de ambientes de saúde precisa ser tratada como uma questão de gestão de riscos, integrada às decisões da liderança, e não apenas como uma responsabilidade técnica das equipes de tecnologia.
A tendência de digitalização de prontuários, ampliação das integrações entre sistemas, expansão de dispositivos conectados e adoção de inteligência artificial torna o controle de identidades ainda mais relevante. Nesse cenário, reduzir o intervalo entre a identificação de uma atividade suspeita e a resposta da organização é uma das medidas para limitar os impactos de ataques cibernéticos sobre dados, operações e atendimento aos pacientes.
Sobre o especialista
Aryel Canosa é diretor de receita (CRO) da Sec4U e especialista em segurança de identidade (Identity Security), área dedicada à proteção de contas, credenciais, permissões e acessos a sistemas corporativos.
