Controle de acesso na saúde: da entrada ao desligamento
Leitura estimada: 4 min
Para começar
O essencial deste artigo
- A permissão acompanha a atividade e deve mudar quando a função muda.
- O aceite precisa testar o acesso permitido e o que deve ser negado.
“Dê o mesmo acesso de quem saiu.” Esse pedido pode parecer eficiente, mas copia também permissões antigas, exceções esquecidas e responsabilidades que não pertencem à nova função. Uma conta ativa não é prova de que o acesso está correto.
O controle deve acompanhar a vida da pessoa na operação: entrada, mudança de atividade, afastamento, retorno e desligamento. Isso vale para funcionários, prestadores, parceiros e equipes de suporte, respeitando as diferenças de cada vínculo.
Separe identificar, permitir e conferir
A ANPD distingue autenticação, autorização e auditoria: identificar quem acessa, definir o que essa pessoa pode fazer e registrar o que aconteceu. Seu guia também recomenda permissões proporcionais à necessidade do trabalho e evitar contas compartilhadas. Fonte: guia da ANPD, seção 3.2.1.
Autenticação forte não corrige uma autorização excessiva. Uma pessoa pode entrar legitimamente na conta e encontrar informações ou operações que não deveria acessar. Por isso, avaliar apenas a tela de login deixa a pergunta principal sem resposta.
Comece pela atividade que precisa ser realizada
O pedido de acesso deve descrever a atividade, o conjunto de registros necessário e as ações permitidas. Consultar, registrar, corrigir, exportar e administrar usuários são necessidades diferentes. O título do cargo, sozinho, pode não descrevê-las.
| Situação | Pergunta para o responsável pela operação | Verificação com TI ou fornecedor |
|---|---|---|
| Equipe hospitalar | O trabalho exige dados de qual unidade ou atendimento? | Como o perfil limita o conjunto acessível? |
| Prestador domiciliar | Quais registros são necessários para a atividade atribuída? | Como mudanças na atribuição alteram o acesso? |
| Auditoria da operadora | O escopo é consultar, registrar parecer ou extrair uma base? | Essas permissões são separadas e verificáveis? |
| Suporte técnico | Qual problema exige acesso e por quanto tempo? | Como autorização, acompanhamento e encerramento são registrados? |
O roteiro é uma proposta para discutir requisitos. Ele não afirma que um fornecedor oferece cada controle ou que um perfil atende a qualquer organização.
Teste também o que a pessoa não deve conseguir fazer
Uma demonstração em que tudo funciona com uma conta administradora diz pouco sobre a rotina dos demais usuários. Peça um teste com perfis fictícios representativos e uma atividade que cada perfil deve poder concluir. Depois confira uma tentativa que deveria ser negada, inclusive no serviço que entrega os dados, não apenas na aparência da tela.
A OWASP recomenda menor privilégio, negação por padrão e validação das permissões em cada requisição. São princípios técnicos para orientar a conversa com desenvolvimento e TI; a implementação precisa ser demonstrada. Fonte: OWASP Authorization Cheat Sheet.
Ocultar um botão não comprova que a operação está protegida. O aceite deve indicar o cenário testado, o resultado esperado, a evidência e a pendência encontrada.
Visão geral
O ciclo de vida de um acesso
Solicitar
Explicar tarefa, dados e operações necessárias.
Aprovar
Registrar a justificativa e o responsável.
Testar
Conferir permissões e restrições.
Revisar
Ajustar na movimentação e no desligamento.
Mudança de função exige revisão, não acúmulo
Quem aprova um acesso assume a responsabilidade de compreender sua finalidade. Repassar o pedido sem ler, copiar permissões por conveniência ou deixar uma exceção aberta porque ninguém cobrou são desvios previsíveis. O processo deve tornar essas decisões visíveis e permitir sua revisão.
Imagine uma profissional que deixa a coordenação e passa a uma atividade assistencial. O novo acesso pode ser concedido rapidamente, enquanto o anterior permanece. Com o tempo, a conta acumula permissões que já não têm justificativa.
Propomos que a movimentação tenha duas perguntas obrigatórias: o que precisa entrar e o que deixa de ser necessário? A decisão é do responsável pela atividade, com execução e conferência pelo processo definido. O encarregado e a equipe de privacidade participam conforme suas atribuições; não devem ser tratados como aprovadores universais de toda conta.
Uma revisão periódica deve confrontar a lista de acessos com o trabalho atual, e não apenas pedir que alguém assine uma planilha sem examiná-la. Exceções precisam de motivo, responsável e condição de encerramento.
Desligamento não termina no bloqueio do login principal
O procedimento deve considerar sessões, dispositivos, integrações, acessos de terceiros e materiais já compartilhados. Quais desses elementos existem depende da arquitetura da organização. Não se deve presumir que uma única alteração interrompe todas as possibilidades de acesso.
Ao mesmo tempo, revogar acesso não significa apagar os registros profissionais ou assistenciais. A preservação, a rastreabilidade e a destinação dos dados obedecem às responsabilidades e regras aplicáveis. A transição precisa manter o serviço funcionando e o histórico íntegro.
Leve um cenário completo à avaliação do fornecedor
Escolha uma entrada, uma mudança de função e um desligamento fictícios. Para cada um, peça a demonstração do pedido, aprovação, configuração, teste e conferência. Registre também o que depende do cliente, do fornecedor ou de outro sistema.
Se você acompanha uma rede domiciliar, use esse roteiro junto dos critérios para avaliar software para operadoras e conheça o escopo da HAI para operadoras. Para hospitais, a avaliação de integração pode seguir as perguntas de oxigênio e prontuário para TI. Nenhum desses caminhos dispensa validar as permissões no ambiente e no contrato concretos.