SPMS do Ministério da Saúde só detectou acesso indevido a dados de 100 mil usuários do SNS dois dias depois

Os Serviços Partilhados do Ministério da Saúde (SPMS) só ficaram cientes do acesso indevido a dados de 100 mil usuários do Serviço Nacional de Saúde (SNS) aproximadamente dois dias após o início do incidente, admitiu nesta quinta-feira o presidente da entidade.

Cronologia do incidente no registro de saúde eletrônico do SNS

Em audiência na Comissão Parlamentar de Saúde, solicitada pela bancada da Iniciativa Liberal, Luís Goes Pinheiro confirmou que o primeiro acesso aos dados ocorreu em 19 de maio, por meio das credenciais de um médico, que não teria qualquer envolvimento no caso.

Depois disso, as consultas ilegítimas aos dados de mais de 100 mil usuários - de diferentes idades e de várias regiões - passaram a ocorrer de forma automatizada. Segundo ele, não houve um padrão de comportamento que sugerisse ação humana.

"Tomamos conhecimento deste fato no início da tarde do dia 21 de maio, na sequência de quatro pedidos de explicações por parte de usuários", que haviam sido notificados de acessos ao seu registro de saúde eletrônico e não conseguiam entender o motivo, relatou o responsável pelo órgão que administra todos os sistemas de informação e as infraestruturas tecnológicas do SNS.

Medidas dos SPMS após o acesso indevido

Na mesma audição, Luís Goes Pinheiro afirmou que, embora este caso tenha tido sucesso, os sistemas dos SPMS enfrentam uma média de mais de 10 tentativas de ataque por dia. A "larguíssima maioria" não gera qualquer impacto, por serem "rechaçadas numa fase inicial".

Ele também garantiu que os dados acessados eram exclusivamente de natureza administrativa, sem registo de acesso às informações clínicas dos usuários.

O presidente dos SPMS destacou ainda que o registro de saúde eletrônico inclui, entre várias camadas de segurança, a funcionalidade de alertar o usuário quando seus dados são consultados e por quem - o que permite ao cidadão avaliar se aquele acesso faz sentido dentro da sua relação com o sistema de saúde.

Após o acesso ilegítimo, e como medida de contingência, o registro de saúde eletrônico foi retirado da internet por um período e passou a ficar disponível apenas dentro da rede informática da saúde. De acordo com Luís Goes Pinheiro, essa restrição se manteve até a implementação do duplo fator de autenticação, em 01 de junho.

Segundo o presidente, o incidente foi comunicado à Polícia Judiciária, ao Centro Nacional de Cibersegurança e à Comissão Nacional de Proteção de Dados. Já a comunicação aos usuários foi feita por meio da publicação, no portal dos SPMS, das orientações necessárias para que cada pessoa pudesse verificar se seus dados haviam sido acessados sem justificativa.

PRR e investimento em cibersegurança

Ele acrescentou que uma das "boas notícias" recentes para os SPMS foi a possibilidade de executar as medidas do Plano de Recuperação e Resiliência (PRR) até o fim deste ano, o que representou um "balão de oxigénio" para aprimorar e desenvolver novos sistemas de informação, mais atualizados e mais seguros.

"Temos um investimento no PRR de cerca de oito milhões de euros exclusivamente para esta área da cibersegurança", informou Luís Goes Pinheiro.