Os Serviços Partilhados do Ministério da Saúde (SPMS) só ficaram sabendo do acesso indevido a dados de 100 mil usuários do Serviço Nacional de Saúde (SNS) aproximadamente dois dias após o início do incidente, reconheceu nesta quinta-feira o presidente do órgão.
Como o incidente foi identificado
Em depoimento na Comissão Parlamentar de Saúde, solicitado pela bancada da Iniciativa Liberal, Luís Goes Pinheiro confirmou que o primeiro acesso ocorreu em 19 de maio, por meio das credenciais de um médico - profissional que, segundo indicou, não teve qualquer envolvimento no caso.
Na sequência desse momento inicial, as consultas irregulares aos dados de mais de 100 mil usuários, de diferentes idades e regiões, passaram a acontecer de maneira automatizada. De acordo com o responsável, não foi observado um padrão que apontasse para atuação humana.
"Tomamos conhecimento deste facto ao início da tarde do dia 21 de maio, na sequência de quatro pedidos de explicações por parte de utentes", relatou, explicando que essas pessoas foram alertadas sobre acessos ao seu registro eletrônico de saúde e não conseguiram entender o motivo.
Medidas de contenção e reforço de segurança no registo de saúde eletrónico
Luís Goes Pinheiro afirmou ainda que o registro eletrônico de saúde conta, entre diversas camadas de proteção, com um mecanismo capaz de avisar o usuário quando seus dados são consultados e por quem - permitindo que a própria pessoa avalie se a consulta faz sentido dentro da sua relação com o sistema de saúde.
Após o acesso ilegítimo e como ação de contingência, o registro eletrônico de saúde foi removido da internet por um período, ficando acessível apenas dentro da rede informática da saúde. Essa restrição permaneceu até a implementação da autenticação de dois fatores, realizada em 01 de junho, detalhou.
Mesmo com este caso tendo sido bem-sucedido, o presidente dos SPMS afirmou, durante a audição parlamentar, que os sistemas da entidade sofrem, em média, mais de 10 tentativas de ataque por dia. A "vastíssima maioria", disse, não gera impacto porque é "rechaçada numa fase inicial".
Ele garantiu também que os dados consultados eram exclusivamente de caráter administrativo, sem registro de acesso às informações clínicas dos usuários.
Comunicação às autoridades e investimento do PRR em cibersegurança
Segundo o presidente dos SPMS, o incidente foi comunicado à Polícia Judiciária, ao Centro Nacional de Cibersegurança e à Comissão Nacional de Proteção de Dados. Já a orientação aos usuários ocorreu por meio de uma publicação no portal dos SPMS, com as informações necessárias para que pudessem verificar se houve acesso injustificado aos seus dados.
Ele acrescentou que, entre as "boas notícias" recentes para os SPMS, está a possibilidade de executar as medidas do Plano de Recuperação e Resiliência (PRR) até o fim deste ano - algo que descreveu como um "balão de oxigénio" para aprimorar e desenvolver novos sistemas de informação, mais atualizados e seguros.
"Temos um investimento no PRR de cerca de oito milhões de euros exclusivamente para esta área da cibersegurança", afirmou Luís Goes Pinheiro.
Comentários
Ainda não há comentários. Seja o primeiro!
Deixar um comentário