NIS2: onde está a RVer, e o que fica do lado da instituição

A NIS2 é hoje um dos primeiros pontos de qualquer conversa com um departamento de sistemas de informação na saúde. E com razão: a diretiva alargou o universo de entidades abrangidas, subiu o nível de exigência técnica e, a parte que mais muda o dia a dia, responsabilizou as entidades pela segurança da sua cadeia de fornecimento.

Ou seja: a partir do momento em que um equipamento da RVer entra numa instituição abrangida, a postura de segurança da RVer deixa de ser um assunto só nosso. Passa a ser um item do vosso dossiê.

Este artigo responde à pergunta como ela costuma ser feita: em que estado está a RVer?

O estado, em duas frases

A plataforma RVer cumpre os requisitos técnicos aplicáveis do regime. Uma parte dos requisitos da NIS2, porém, é organizacional e não técnica, e essa parte não pertence a nenhum fornecedor: pertence à instituição. Sobre essa, o que fazemos é recomendar, documentar e apoiar.

Essa distinção é a coisa mais útil que podemos trazer para a reunião, e é o resto deste artigo.

Do nosso lado: as medidas técnicas

Por razões evidentes não publicamos configurações, versões ou detalhes de implementação: descrever a fechadura em público é trabalhar contra o objetivo. Na generalidade, e é isto que consta da documentação que entregamos:

• Os dados são cifrados, em trânsito e em repouso. As cópias de segurança são igualmente cifradas, e a chave de recuperação não vive na mesma infraestrutura que protege.
• Autenticação forte obrigatória em todos os acessos administrativos, com segundo fator. Sem exceções por conveniência.
• Menor privilégio por perfil: cada utilizador vê e faz apenas o que a sua função exige.
• Registo de auditoria de acessos, alterações e operações sensíveis, com quem, quando e o quê.
• Proteção contra tentativas de acesso abusivas, com bloqueio automático.
• Infraestrutura e dados em jurisdição europeia, incluindo as cópias de segurança.
• Atualizações e correções de segurança aplicadas de forma controlada, com procedimento de reposição.

Nada disto é vendido como um selo. É a linha de base que consideramos mínima para pôr equipamento dentro de uma instituição de saúde.

Os dados do utente não saem do equipamento

Esta é, na prática, a resposta que resolve metade das reuniões de segurança.

Nenhum dado de utilização do utente sai do equipamento. O registo de sessão, as estatísticas de atividade, as leituras associadas a uma pessoa: tudo isso fica no equipamento e dentro do perímetro da instituição. Não é enviado para a RVer, não alimenta nenhum painel nosso e não existe do nosso lado.

O que efetivamente circula são duas coisas, e só duas:

1. Informação técnica para atualização e suporte remoto do equipamento: estado do dispositivo, versões, diagnóstico de falhas. É o que permite manter uma frota atualizada sem deslocar alguém a cada sala.
2. Dados agregados sobre o funcionamento do produto, que usamos para o melhorar: como se comporta, onde falha, o que é lento.

Nenhuma destas categorias inclui conteúdo clínico de uma sessão nem leituras associadas a um utente identificado.

O efeito prático para o vosso encarregado de proteção de dados é simples: a instituição é a responsável pelo tratamento desses dados e a RVer não fica com uma cópia deles. A superfície de risco que teria de ser avaliada, negociada e monitorizada... não chega a existir.

Do vosso lado: o que a NIS2 não deixa delegar

Esta é a parte que às vezes apanha as instituições de surpresa. Uma parte substancial da NIS2 não é sobre tecnologia, é sobre governação. E não há fornecedor no mercado que a possa cumprir por vocês:

• Responsabilidade do órgão de gestão: a direção responde pelas medidas, e tem de as conhecer.
• Análise de risco e política de segurança da própria organização.
• Gestão de acessos e do ciclo de vida das contas: quem entra, quem sai, quem deixa de precisar. Nós damos as ferramentas; a política é vossa.
• Plano de resposta a incidentes e deveres de notificação, com prazos apertados e um destinatário definido.
• Continuidade de negócio e recuperação, incluindo os testes que provam que o plano funciona.
• Formação e sensibilização das pessoas que usam os sistemas.
• Gestão de risco da cadeia de fornecimento: na qual nós somos um dos itens a avaliar.

Sobre estes pontos, o que a RVer faz é sugerir e apoiar: entregamos as recomendações aplicáveis ao nosso equipamento, documentamos as nossas próprias medidas para o vosso processo de avaliação de fornecedores, e temos um canal definido para comunicação de incidentes que envolvam o nosso produto.

O que vos entregamos para o dossiê

Quando uma instituição nos pede a documentação de segurança, o que segue é:

• descrição das medidas técnicas aplicadas ao produto e à plataforma;
• localização e jurisdição dos dados, incluindo as cópias de segurança;
• que categorias de dados saem do equipamento, e, sobretudo, quais não saem;
• política de retenção e de eliminação;
• canal e prazos de contacto para incidentes de segurança;
• recomendações de configuração do lado da instituição (rede, contas, gestão do equipamento).

É material pensado para ser anexado ao vosso processo, não para ser lido como marketing.

Porque é que isto importa a quem compra

Um equipamento que obriga a abrir uma exceção de segurança custa muito mais do que o preço de tabela. Custa reuniões, custa um parecer, custa risco assumido por alguém que assina.

A posição da RVer foi construída para o caso contrário: dados de utente que não saem, cifra por omissão, autenticação forte obrigatória, jurisdição europeia e um registo de auditoria que responde à pergunta "quem fez o quê". O que fica por fazer fica do lado certo, o da governação da própria instituição, e nós dizemo-lo à partida, em vez de deixar que apareça na auditoria.

A plataforma RVer tem como produto base um Dispositivo Médico Classe I registado no INFARMED e na EUDAMED, com registo de sessões em conformidade com o RGPD.

Numa versão mais curta e prática para uma reunião: as oito perguntas da informática.