A NIS2 é hoje um dos primeiros pontos de qualquer conversa com um departamento de sistemas de informação na saúde. E com razão: a diretiva alargou o universo de entidades abrangidas, subiu o nível de exigência técnica e — a parte que mais muda o dia a dia — responsabilizou as entidades pela segurança da sua cadeia de fornecimento.
Ou seja: a partir do momento em que um equipamento da RVer entra numa instituição abrangida, a postura de segurança da RVer deixa de ser um assunto só nosso. Passa a ser um item do vosso dossiê.
Este artigo responde à pergunta como ela costuma ser feita: em que estado está a RVer?
O estado, em duas frases
A plataforma RVer cumpre os requisitos técnicos aplicáveis do regime. Uma parte dos requisitos da NIS2, porém, é organizacional e não técnica — e essa parte não pertence a nenhum fornecedor: pertence à instituição. Sobre essa, o que fazemos é recomendar, documentar e apoiar.
Essa distinção é a coisa mais útil que podemos trazer para a reunião, e é o resto deste artigo.
Do nosso lado: as medidas técnicas
Por razões evidentes não publicamos configurações, versões ou detalhes de implementação — descrever a fechadura em público é trabalhar contra o objetivo. Na generalidade, e é isto que consta da documentação que entregamos:
- Os dados são cifrados, em trânsito e em repouso. As cópias de segurança são igualmente cifradas, e a chave de recuperação não vive na mesma infraestrutura que protege.
- Autenticação forte obrigatória em todos os acessos administrativos, com segundo fator. Sem exceções por conveniência.
- Menor privilégio por perfil — cada utilizador vê e faz apenas o que a sua função exige.
- Registo de auditoria de acessos, alterações e operações sensíveis, com quem, quando e o quê.
- Proteção contra tentativas de acesso abusivas, com bloqueio automático.
- Infraestrutura e dados em jurisdição europeia, incluindo as cópias de segurança.
- Atualizações e correções de segurança aplicadas de forma controlada, com procedimento de reposição.
Nada disto é vendido como um selo. É a linha de base que consideramos mínima para pôr equipamento dentro de uma instituição de saúde.
Os dados do utente não saem do equipamento
Esta é, na prática, a resposta que resolve metade das reuniões de segurança.
Nenhum dado de utilização do utente sai do equipamento. O registo de sessão, as estatísticas de atividade, as leituras associadas a uma pessoa — tudo isso fica no equipamento e dentro do perímetro da instituição. Não é enviado para a RVer, não alimenta nenhum painel nosso e não existe do nosso lado.
O que efetivamente circula são duas coisas, e só duas:
- Informação técnica para atualização e suporte remoto do equipamento — estado do dispositivo, versões, diagnóstico de falhas. É o que permite manter uma frota atualizada sem deslocar alguém a cada sala.
- Dados agregados sobre o funcionamento do produto, que usamos para o melhorar — como se comporta, onde falha, o que é lento.
Nenhuma destas categorias inclui conteúdo clínico de uma sessão nem leituras associadas a um utente identificado.
O efeito prático para o vosso encarregado de proteção de dados é simples: a instituição é a responsável pelo tratamento desses dados e a RVer não fica com uma cópia deles. A superfície de risco que teria de ser avaliada, negociada e monitorizada... não chega a existir.
Do vosso lado: o que a NIS2 não deixa delegar
Esta é a parte que às vezes apanha as instituições de surpresa. Uma parte substancial da NIS2 não é sobre tecnologia — é sobre governação. E não há fornecedor no mercado que a possa cumprir por vocês:
- Responsabilidade do órgão de gestão — a direção responde pelas medidas, e tem de as conhecer.
- Análise de risco e política de segurança da própria organização.
- Gestão de acessos e do ciclo de vida das contas — quem entra, quem sai, quem deixa de precisar. Nós damos as ferramentas; a política é vossa.
- Plano de resposta a incidentes e deveres de notificação, com prazos apertados e um destinatário definido.
- Continuidade de negócio e recuperação, incluindo os testes que provam que o plano funciona.
- Formação e sensibilização das pessoas que usam os sistemas.
- Gestão de risco da cadeia de fornecimento — na qual nós somos um dos itens a avaliar.
Sobre estes pontos, o que a RVer faz é sugerir e apoiar: entregamos as recomendações aplicáveis ao nosso equipamento, documentamos as nossas próprias medidas para o vosso processo de avaliação de fornecedores, e temos um canal definido para comunicação de incidentes que envolvam o nosso produto.
O que vos entregamos para o dossiê
Quando uma instituição nos pede a documentação de segurança, o que segue é:
- descrição das medidas técnicas aplicadas ao produto e à plataforma;
- localização e jurisdição dos dados, incluindo as cópias de segurança;
- que categorias de dados saem do equipamento — e, sobretudo, quais não saem;
- política de retenção e de eliminação;
- canal e prazos de contacto para incidentes de segurança;
- recomendações de configuração do lado da instituição (rede, contas, gestão do equipamento).
É material pensado para ser anexado ao vosso processo, não para ser lido como marketing.
Porque é que isto importa a quem compra
Um equipamento que obriga a abrir uma exceção de segurança custa muito mais do que o preço de tabela. Custa reuniões, custa um parecer, custa risco assumido por alguém que assina.
A posição da RVer foi construída para o caso contrário: dados de utente que não saem, cifra por omissão, autenticação forte obrigatória, jurisdição europeia e um registo de auditoria que responde à pergunta "quem fez o quê". O que fica por fazer fica do lado certo — o da governação da própria instituição — e nós dizemo-lo à partida, em vez de deixar que apareça na auditoria.
A plataforma RVer tem como produto base um Dispositivo Médico Classe I registado no Infarmed, com registo de sessões em conformidade com o RGPD.
Numa versão mais curta e prática para uma reunião: as oito perguntas da informática.