O que o caso do SNS nos ensina sobre a segurança dos seus dados de saúde

Nos últimos dias, surgiu a notícia de que um pirata informático terá conseguido apoderar-se das credenciais de acesso de um médico e, através delas, consultar dados pessoais de utentes — incluindo crianças — nas bases de dados do Serviço Nacional de Saúde. A situação está a ser investigada pela Polícia Judiciária e pelo Ministério Público, e a própria unidade de saúde envolvida confirmou que as credenciais do profissional foram comprometidas, não tendo os acessos sido realizados por ele.

Os ataques informáticos a sistemas de saúde acontecem em todo o mundo e o SNS não foi exceção.

O que aconteceu

O ponto mais importante deste caso é também o mais contra-intuitivo: não houve, ao que se sabe, uma invasão técnica da infraestrutura central do SNS. Não foi derrubada uma parede digital nem explorada uma falha do sistema. O atacante entrou pela porta da frente, usando uma chave verdadeira — as credenciais legítimas de um médico.

Isto muda completamente a natureza do problema. Para o sistema, aquele acesso parecia perfeitamente normal: era um profissional autenticado, com permissões válidas, a consultar fichas de utentes. Do ponto de vista puramente tecnológico, o comportamento aparentava ser legítimo, o que torna este tipo de intrusão particularmente difícil de detetar à primeira vista.

A lição é poderosa: a segurança de uma plataforma de saúde não se resume a impedir invasões. Resume-se a controlar quem entra, garantir que cada pessoa só vê o que lhe diz respeito, e deixar um rasto claro de tudo o que acontece — para que um acesso indevido seja detetado depressa, mesmo quando feito com uma chave roubada.

Os três pilares de uma plataforma de saúde segura

Há três perguntas que qualquer plataforma que guarde dados clínicos deve conseguir responder com firmeza:

1. Quem é, realmente, esta pessoa? Uma palavra-passe, sozinha, é uma chave que pode ser copiada, roubada ou reutilizada. Por isso, a melhor prática é exigir uma segunda prova de identidade — o que se chama autenticação de dois fatores ou MFA.
2. O que é que esta pessoa pode ver? Mesmo um utilizador legítimo não deve ter acesso a tudo. As permissões devem ser estritas e o acesso aos dados deve estar isolado, de forma a que comprometer uma conta não abra a porta a todas as outras.
3. Como sabemos o que esta pessoa fez? Cada acesso deve ficar registado de forma transparente, e o utente deve poder ver quem consultou os seus dados. Foi precisamente este mecanismo de transparência que permitiu, no caso do SNS, que vários pais detetassem os acessos suspeitos e dessem o alerta.

Como a Tellocare protege os dados dos seus utilizadores

A Tellocare é uma plataforma de telemedicina desenhada de raiz para o mercado português, com a privacidade e a segurança como prioridade. Eis algumas das medidas fundamentais que já estão implementadas e testadas.

Autenticação de dois fatores (MFA) nas contas de profissionais e administração

Esta é a defesa mais direta contra o tipo de incidente que afetou o SNS — que teve origem, recorde-se, numa conta de médico comprometida. Na Tellocare, as contas de profissionais de saúde e de administração estão protegidas com autenticação de dois fatores: uma palavra-passe não é, por si só, suficiente para entrar. O acesso exige uma segunda prova de identidade.

Isto significa que, mesmo que a credencial de um profissional seja roubada ou copiada, ela não chega para abrir a porta — falta sempre o segundo fator, que está nas mãos do legítimo titular. É precisamente esta camada adicional que torna inútil uma palavra-passe comprometida, fechando a porta ao cenário exato que esteve na origem do caso do SNS.

Infraestrutura protegida pela Cloudflare

Os servidores onde a Tellocare está alojada são protegidos e monitorizados de forma contínua, sobre uma infraestrutura cloud gerida e profissional. À frente da plataforma está a Cloudflare, uma das maiores redes de segurança e desempenho do mundo, que filtra o tráfego antes de este chegar aos nossos servidores — ajudando a mitigar ataques de negação de serviço (DDoS) e a bloquear tráfego malicioso, ao mesmo tempo que acelera o acesso à plataforma.

A comunicação entre o seu dispositivo e a Tellocare é encriptada, e o acesso à infraestrutura é restrito e controlado. Tudo isto cria uma robusta primeira linha de defesa — antes ainda de qualquer dado chegar à aplicação.

Isolamento rigoroso entre contas (arquitetura multi-tenant)

A Tellocare é uma plataforma multi-tenant — ou seja, diferentes profissionais e clínicas operam em espaços completamente separados dentro do sistema. Cada profissional ou clínica tem o seu próprio “inquilino” (tenant) isolado, e os dados de um nunca se misturam com os de outro.

Na prática, isto significa que o acesso aos dados está segmentado por desenho. Mesmo que uma conta seja comprometida, o alcance desse acesso fica limitado ao espaço daquele profissional — não há uma “base de dados única” onde uma só chave abre tudo. A própria identificação de cada conta é validada dentro do seu contexto, e não de forma global, precisamente para evitar que um utilizador de um espaço veja dados de outro.

Sessões limpas para evitar a “contaminação” de identidades

Um dos riscos mais subtis em sistemas com vários tipos de utilizador é a chamada contaminação de papéis — quando os vestígios da sessão de um utilizador anterior podem, por erro, dar privilégios indevidos ao seguinte.

A Tellocare elimina este risco no momento da autenticação. É uma prática de segurança fundamental que garante que ninguém herda, por acidente, as permissões de outra pessoa.

Pagamentos seguros, sem nunca tocar nos seus dados bancários

Todos os pagamentos na Tellocare são processados através do Stripe, um dos fornecedores de pagamentos mais seguros e certificados do mundo. Os dados do seu cartão são introduzidos diretamente num campo seguro do Stripe e nunca passam pelos servidores da Tellocare nem ficam lá guardados. A plataforma trata da consulta; o Stripe trata, de forma blindada, do dinheiro.

Videoconsultas privadas, sem gravação

As teleconsultas decorrem numa sala de vídeo encriptada, fornecida através de uma API profissional. E há uma decisão de privacidade que é absoluta e inegociável na Tellocare: a gravação das videoconsultas está permanentemente desativada. Nenhuma consulta é gravada, em circunstância alguma.

O que continuamos a reforçar — com transparência

Tão importante como dizer o que já fazemos é ser honesto sobre o nosso compromisso contínuo. Uma plataforma séria nunca está “terminada” em matéria de segurança — é um trabalho permanente.

Continuamos a investir no reforço contínuo da nossa infraestrutura de produção e dos registos de auditoria, para que qualquer acesso possa ser rastreado com clareza e qualquer anomalia detetada o mais cedo possível. A vigilância sobre quem acede, quando e a quê é, para nós, um processo vivo — não uma caixa que se assinala uma vez e se esquece.

Em suma, o caso do SNS é um lembrete de que, na saúde digital, a confiança constrói-se nos detalhes: em quem entra, no que cada um pode ver, e na capacidade de detetar rapidamente o que está errado. A Tellocare foi desenhada com estes princípios no centro — autenticação de dois fatores nas contas de profissionais e administração, isolamento de dados, sessões seguras, pagamentos blindados, videoconsultas sem gravação e controlos de acesso rigorosos — e continuará a evoluir, com honestidade, naquilo que ainda há a fazer.

A sua saúde é privada. Os seus dados também devem ser.

Tem dúvidas sobre como os seus dados são protegidos na Tellocare? Fale connosco. A transparência faz parte da forma como trabalhamos.