segurança no tiss - s.p.a. saúde - · legislação de segurança da informação da área ......

Segurança no TISSLuis Gustavo Kiatake

[email protected]

I IMPLANTA TISS Prestadores e Operadoras em Direção à Padronização

30 de outubro de 2008 - São Paulo – SP

A Informatização na Saúde

I Implanta TISS – Prestadores e Operadoras em direção à padronização


Tendência irreversível

Melhora da qualidade do atendimento

Redução de erros

Maior acesso à informação

Apoio à decisão

Redução de custos

Eliminação do papel

Agilidade nos processos

Reutilização da informação

[email protected]



Realização em curto prazoSistemas de imagens

Viabilização dos equipamentos

TISS – ANSPadrão de Troca de Informações da Saúde Suplementar

Adotado na maioria dos hospitais, laboratórios e clínicas

Ampliação para consultórios isolados

Controle medicamentos - ANVISASistema para medicamentos controlados

Certificação de Software SBIS/CFMApoio da classe médica

Engajamento dos fornecedores e desenvolvedores

[email protected]

Pré-requisitos


Viabilizadores da migração

Papel -> Eletrônico

Pré-requisitos

Privacidade +

Segurança dos Pacientes

= Segurança dos Sistemas

[email protected] 6


Pré-requisitos

Qual onível de segurança e

funçãodesses diferentes

dispositivos?

Integridade

Disponibilidade

Auditoria

Sigilo

[email protected]


Pré-requisitos

ORACLE

SQL Server

E desses?

JAVA.NET

VBPHP

Cache

PKIHTTPS

hash

Access

PostGre

[email protected]


Pré-requisitos

Da mesma forma que há tempos conhecemos os controles “físicos e mecânicos” para segurança

Agora precisamos conhecer os controles “digitais”

Em diferentes níveis:

Usuários, precisam ter noções

Desenvolvedores, precisam conhecer profundamente

[email protected]


Pré-requisitos

2006

Países de origem dos ataques reportados no Brasil

US24,61%

BR21,18%

[email protected]

Notícias


eConnect – 01/06/2008

Medical records security at risk

The security of electronic medical records has been national news in recent months, thanks largely to the widely publicized breaches of celebrity medical records at UCLA Medical Center in Los Angeles. Approximately 70 current and former UCLA employees – including physicians –have been accused of illegally viewing celebrity medical records.

Notícias

[email protected]


HealthcareITNews – 12/06/2008

Patient billing records stolen from Utah hospital

SALT LAKE CITY - Billing records for approximately 2.2 million patients and guarantors were reported stolen this week from the University of Utah Hospitals & Clinics. Officials said they are now assessing the network's information systems and safeguarding patient records.

Notícias

[email protected]


InformationWeek – 18/06/2008

Finjan Finds Health And Business Data Being Auctioned Online

More than 500 megabytes of premium health-and business-related data, along with stolen social security numbers, have been found being offered to the highest bidder on crimewareservers in Argentina and Malaysia.

Notícias

[email protected]


eHealthInsider / BBC – 18/07/2008Over 150 data losses uncovered in Wales

Fourteen computers have been stolen from NHS... The papers released to BBC Wales show that other breaches occurred when staff allowed relatives to read confidential files and clerical errors led to more staff viewing files than necessary.Welsh health minister, Edwina Hart, told the BBC that she found “pretty horrific” and said more must be done to protect patient confidentiality. “I regard this as absolute tardiness… we cannot have confidential information on patients going out in this way,” she added. “I appreciate a lot of information flows within the NHS – out of hospitals, into hospitals – but we must try and protect patient records.A spokesperson for analysts IDC told E-Health Insider: “Continuing incidents like this clearly show that it is time for IT managers to be responsible for the data they are in charge of. “Patients do not want incidents like this to happen, and after cases like HMRC, it is understandable that there are concerns. We must get serious about the importance of good quality secure data.

Notícias

[email protected]


Pré-requisitos

Portanto, só podemos levar as informações dos pacientes e profissionais para o mundo digital com garantias mínimas de segurança

Sigilo

Integridade

Autenticidade

Disponibilidade

Auditabilidade ...

Dessa forma, é fundamental, no momento da implantação e aquisição dos sistemas, observar os controles de segurança implementados!

[email protected]

LegislaçãoSegurança no TISS


Legislação de Segurança da Informação da área de Saúde:

Código Penal art. 154, 305, 313, 313b (Acesso, alteração, privacidade)Código Civil art. 159, 1545 e 1056 (Privacidade)Constituição Federal, art. 5, XIV, XXXIII, LX; art. 37, §3, II (Acesso e Privacidade)Código de Defesa do Consumidor (Acesso)Código de Ética Médica, de Enfermagem, ...CFM

Resolução CFM 1.638/2002 (PM e Comissão de Revisão de Prontuário)Resolução CFM 1.821/2007 (PEP, SBIS, Eliminação do Papel)

Legislação

[email protected]


ANS

Resolução RDC ANS 24/2000 (Penalidades)

Resolução RDC ANS 64/2001 (Coord. Médico)

Resolução RN ANS 21/2002 (Privacidade)

Resolução RN ANS 114/2005 (TISS e Segurança)

Instrução Normativa IN ANS 22/2006 (TISS v 2.1)

Resolução RN ANS 135/2006 (TISS)

Legislação ANS

[email protected]


Resolução RN ANS 21/2002, RDC 24/2000, RDC 64/2001 (Privacidade e Penalidades)

As operadoras ... deverão manter protegidas as informações assistenciais fornecidas pelos seus consumidores ou por sua rede de prestadores ... quando acompanhadas de dados que possibilitem a sua individualização, não podendo as mesmas ser divulgadas ou fornecidas a terceiros ... .

Legislação ANS

[email protected]


Art. 5º Constitui infração, punível com multa pecuniária no valor de R$ 35.000,00:

"XIV - divulgar ou fornecer a terceiros não envolvidos na prestação de serviços assistenciais, informação sobre as condições de saúde dos consumidores, contendo dados de identificação, sem a anuência expressa dos mesmos ..."; e

"XV - divulgar ou fornecer a terceiros não envolvidos na prestação de serviços assistenciais, as informações contidas na declaração de saúde preenchida pelo consumidor por ocasião da contratação de plano de assistência à saúde."

Legislação ANS

[email protected]


ANS RN 153

CAPÍTULO VIDA SEGURANÇA E DA PRIVACIDADE

Art 8º

Art 9º

Legislação ANS

[email protected] 22


Art. 8o As operadoras ... e os prestadores ... devem constituir proteções administrativas, técnicas e físicas para impedir o acesso eletrônico ou manual impróprio à informação de saúde, em especial a toda informação identificada individualmente, conforme normas técnicas estabelecidas na Resolução CFM nº 1639 de 10 de julho de 2002, e na RN nº 21 de 12 de dezembro de 2002, e na RDC nº 64 de 10 de abril de 2001 ambas da ANS.

ANS RN 153

[email protected]

Revogada pela CFM 1821/2007


§ 1o As operadoras ... e prestadores ... que optem pela forma de comunicação através da Internet, inclusive as que optem pela ... conectividade, devem obrigatoriamente adotar os requisitos de segurança do Nível de Garantia de Segurança 1 (NGS-1), descritos no Manual SBIS/CFM ...

§ 2o Para as operadoras ... e prestadores ... que utilizarem Webservices, recomenda-se a utilização do Nível de Garantia de Segurança 2 (NGS-2).

ANS RN 153

[email protected]


Art. 9º Para as transmissões remotas ..., os sistemas deverão possuir um certificado digital de aplicação única emitido por uma Autoridade Certificadora ... ICP-Brasil, a fim de garantir a identidade do sistema.

§ 1o O certificado digital deve ter ... CPF ou ... CNPJ do prestador.

§ 2o No caso de pessoa jurídica em que trabalhem vários prestadores pessoa física, todos os dados poderão trafegar sob o certificado da pessoa jurídica, devendo as operadoras manter registro do vínculo entre esses prestadores.

ANS RN 153

[email protected]

Requisitos de Segurança da Certificação SBIS/CFM


Conceitos

NíveisNGS1

Controles básicos de segurança

NGS2Controles necessários para a eliminação do papel Evitar a impressão e consumo de papel Permitir a eliminação do papel já existente - digitalização

Uso da certificação digital ICP-Brasil

Classificação do SistemaLocal

O sistema roda em uma única máquina e não se comunica

RemotoSistema web ou cliente servidorAcesso a rede ou Internet

[email protected]


NGS1

Provê condições mínimas para o processamento seguro de informações de saúde

Baseado em referências internacionais como ISO/IEC 27001, ISO/IEC 27002, HL7 e ISO 18308.

Exigido em sistemas TISS que utilizam a Internet

Não pressupõe a eliminação do papel

[email protected]


NGS1

11 áreas

NGS1.01 - Controle de versão do software

NGS1.02 - Identificação e autenticação de usuário

NGS1.03 - Controle de sessão de usuário

NGS1.04 - Autorização e controle de acesso

NGS1.05 - Disponibilidade do RES

NGS1.06 - Comunicação remota

NGS1.07 - Segurança de Dados

NGS1.08 – Auditoria

NGS1.09 – Documentação

NGS1.10 – Tempo

NGS1.11 – Notificação de Ocorrências

[email protected]


Cenário 1: Operadora oferece sistema portal ou cliente-servidor

Considera-se a existência de um único sistema (da operadora), sendo que os prestadores são considerados clientes remotos.

Os clientes utilizam um executável ou navegador, que se comunica com o sistema da operadora.

Não é necessário possuir certificado digital no lado cliente (mas também não elimina o papel).

O sistema (da operadora) deve satisfazer todos os requisitos do NGS1.

NGS1

[email protected]


Exemplo de requisito do lado servidor (operadora)NGS1.06.05

Em S-RES composto por diversos componentes distribuídos (localizados em computadores diferentes), na comunicação entre tais componentes (como, por exemplo, com o banco de dados), o acesso ao componente deve ser restrito somente aos parceiros (componentes) previamente autorizados.

Script de teste do requisitoProcedimento: Verificar se há alguma restrição de acesso entre os componentes, através de um cliente de BD, se somente requisições realizadas a partir do servidor de aplicação são aceitas pelo servidor de BD.

Resultado esperado: O acesso entre os componentes deve ser restrito somente aos componentes previamente autorizados.

NGS1

[email protected]


Exemplo de requisito que afetam os clientes

NGS1.02.05

O S-RES deve ter mecanismos para bloquear o usuário após um número máximo configurável de tentativas inválidas de login.

NGS1.03.01

Sessão de usuário (local ou remota) inativa deve ser encerrada após um período definido de inatividade.

NGS1

[email protected]


NGS1

Exemplo de requisito da comunicação cliente-servidor

NGS1.06.01Em S-RES de acesso remoto , a sessão de comunicação entre o componente cliente (do lado do usuário) e o componente servidor deve oferecer os seguintes serviços de segurança: autenticação do servidor, integridade dos dados e confidencialidade dos dados. Como exemplo, pode-se citar a utilização do protocolo HTTPS (HTTP + SSL/TLS).

Script de teste do requisitoProcedimento: Verificar através da utilização de um sniffer, verificar se é possível ter acesso a dados legíveis do SRES.Resultado esperado: Não deve ser possível ter dados inteligíveis através da utilização de sniffer.

[email protected]


NGS1

Execução de um script de verificação do requisito:

Esse sistemas NÃO atende ao requisito, pois o username e a senha podem ser identificados (são transmitidos “em claro”)

Username = [email protected]

Senha = senha

[email protected]

mailto:[email protected]


Cenário 2: Operadora interage com sistema do Prestador

Considera-se dois sistemas independentes, os quais ambos precisam satisfazer os requisitos NGS1.

Existem requisitos adicionais a serem satisfeitos.

NGS1

[email protected]


Exemplo de requisito de comunicação

NGS1.06.05

O canal de comunicação entre S-RES deve oferecer os seguintes serviços de segurança: autenticação de parceiro (cliente e servidor), integridade dos dados e confidencialidade dos dados. Quando a comunicação envolva S-RES de diferentes entidades, a autenticação de parceiro deve utilizar certificados digitais ICP-Brasil.

NGS1

[email protected]


NGS2

Objetivo é de permitir a eliminação de papel

O NGS1 é pré-requisito para o NGS2

4 áreasNGS2.01 – Certificação Digital

NGS2.02 – Assinatura Digital

NGS2.03 – Autenticação de usuário utilizando certificado digital

NGS2.04 – Digitalização de Documentos (Considerar apenas para S-RES da categoria GED – Gerenciamento Eletrônico de Documentos)

[email protected]


NGS2

Exemplo de RequisitoNGS2.02.05

Manter os elementos necessários (informações sobre certificados raiz, cadeias de certificação, certificados dos signatários e informações de revogação) a fim de possibilitar que a assinatura digital possa ser validada a qualquer momento futuro. Esses elementos podem estar incluídos no registro assinado digitalmente ou referenciado por este e armazenado no S-RES.

Script de testesProcedimento: Exportar um registro assinado e verificar utilizando um aplicativo de verificação de assinatura se ele possui todos os elementos necessários para a validação da assinatura.

Resultado Esperado: Todos os elementos necessários para a validação da assinatura devem estar presentes.

[email protected]

Considerações


Sistemas “portais” oferecidos pelas operadoras precisam satisfazer os requisitos SBIS/CFM NGS1

Minimamente exige um certificado digital de servidor (mesmo não ICP-Brasil)

Considerações

[email protected]


Sistemas Webservices precisam de certificados ICP-Brasil em ambos os lados, prestador e operadora

Utilizando esse certificado somente para autenticação implica em atendimento apenas ao NGS1

Para a eliminação do papel, é necessário o atendimento NGS2, que incorpora assinatura digital

Isso representa somente fazer um outro uso do mesmo certificado

Considerações

[email protected]


Quais tipos de certificado ICP-Brasil usarPor enquanto, pode-se usar qualquer tipo de certificado tipo A (A1, A2, A3 ou A4), podendo ser de Pessoa Física (PF) ou Jurídica (PJ).

A escolha dependerá de fatores como: Nível de segurança desejado

Tamanho da instituição

Desempenho – volume de transações

Custos

Prazos

Compatibilidade e arquitetura da solução de software

Considerações

[email protected]


Futuro e TendênciasFormalizar uma especificação de uso do certificado digital no TISS junto ANS

Definição do processos de assinatura

Integração com XML

Integração com Webservices

Agregação de funcionalidades de sigilo

Formalização da eliminação do papel

Viabilização do CRM-Digital junto CFM

Incorporação do certificado nos cartões

Treinamentos no processo certificação SBIS/CFM

Considerações

[email protected]


Obrigado !

Luis Gustavo G. [email protected]

Coordenador do Grupo de SegurançaABNT/CEE-Informática em Saúde e Membro Delegação Brasileira na ISO

Responsável pelos Requisitos de Segurança do Manual de Certificação SBIS/CFM

Colaborador ao COPISS/ANS

Colaborador ao CFM e Ministério da Saúde / Datasus em Certificação Digital

Sócio do Instituto HL7 Brasil

Sócio Titular da SBIS

Diretor Executivo E-VAL Tecnologia

http://www.saude.gov.br/

http://www.abnt.org.br/default.asp

segurança no tiss - s.p.a. saúde - · legislação de segurança da informação da área ......

Documents