Post on 08-Dec-2018
Segurança no TISSLuis Gustavo Kiatake
kiatake@evaltec.com.br
I IMPLANTA TISS Prestadores e Operadoras em Direção à Padronização
30 de outubro de 2008 - São Paulo – SP
I Implanta TISS – Prestadores e Operadoras em direção à padronização
A Informatização na Saúde
Tendência irreversível
Melhora da qualidade do atendimento
Redução de erros
Maior acesso à informação
Apoio à decisão
Redução de custos
Eliminação do papel
Agilidade nos processos
Reutilização da informação
3kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
A Informatização na Saúde
Realização em curto prazoSistemas de imagens
Viabilização dos equipamentos
TISS – ANSPadrão de Troca de Informações da Saúde Suplementar
Adotado na maioria dos hospitais, laboratórios e clínicas
Ampliação para consultórios isolados
Controle medicamentos - ANVISASistema para medicamentos controlados
Certificação de Software SBIS/CFMApoio da classe médica
Engajamento dos fornecedores e desenvolvedores
4kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Viabilizadores da migração
Papel -> Eletrônico
Pré-requisitos
Privacidade +
Segurança dos Pacientes
= Segurança dos Sistemas
kiatake@evaltec.com.br 6
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Pré-requisitos
Qual onível de segurança e
funçãodesses diferentes
dispositivos?
Integridade
Disponibilidade
Auditoria
Sigilo
7kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Pré-requisitos
ORACLE
SQL Server
E desses?
JAVA.NET
VBPHP
Cache
PKIHTTPS
hash
Access
PostGre
8kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Pré-requisitos
Da mesma forma que há tempos conhecemos os controles “físicos e mecânicos” para segurança
Agora precisamos conhecer os controles “digitais”
Em diferentes níveis:
Usuários, precisam ter noções
Desenvolvedores, precisam conhecer profundamente
9kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Pré-requisitos
2006
Países de origem dos ataques reportados no Brasil
US24,61%
BR21,18%
10kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
eConnect – 01/06/2008
Medical records security at risk
The security of electronic medical records has been national news in recent months, thanks largely to the widely publicized breaches of celebrity medical records at UCLA Medical Center in Los Angeles. Approximately 70 current and former UCLA employees – including physicians –have been accused of illegally viewing celebrity medical records.
Notícias
12kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
HealthcareITNews – 12/06/2008
Patient billing records stolen from Utah hospital
SALT LAKE CITY - Billing records for approximately 2.2 million patients and guarantors were reported stolen this week from the University of Utah Hospitals & Clinics. Officials said they are now assessing the network's information systems and safeguarding patient records.
Notícias
13kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
InformationWeek – 18/06/2008
Finjan Finds Health And Business Data Being Auctioned Online
More than 500 megabytes of premium health-and business-related data, along with stolen social security numbers, have been found being offered to the highest bidder on crimewareservers in Argentina and Malaysia.
Notícias
14kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
eHealthInsider / BBC – 18/07/2008Over 150 data losses uncovered in Wales
Fourteen computers have been stolen from NHS... The papers released to BBC Wales show that other breaches occurred when staff allowed relatives to read confidential files and clerical errors led to more staff viewing files than necessary.Welsh health minister, Edwina Hart, told the BBC that she found “pretty horrific” and said more must be done to protect patient confidentiality. “I regard this as absolute tardiness… we cannot have confidential information on patients going out in this way,” she added. “I appreciate a lot of information flows within the NHS – out of hospitals, into hospitals – but we must try and protect patient records.A spokesperson for analysts IDC told E-Health Insider: “Continuing incidents like this clearly show that it is time for IT managers to be responsible for the data they are in charge of. “Patients do not want incidents like this to happen, and after cases like HMRC, it is understandable that there are concerns. We must get serious about the importance of good quality secure data.
Notícias
15kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Pré-requisitos
Portanto, só podemos levar as informações dos pacientes e profissionais para o mundo digital com garantias mínimas de segurança
Sigilo
Integridade
Autenticidade
Disponibilidade
Auditabilidade ...
Dessa forma, é fundamental, no momento da implantação e aquisição dos sistemas, observar os controles de segurança implementados!
16kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Legislação de Segurança da Informação da área de Saúde:
Código Penal art. 154, 305, 313, 313b (Acesso, alteração, privacidade)Código Civil art. 159, 1545 e 1056 (Privacidade)Constituição Federal, art. 5, XIV, XXXIII, LX; art. 37, §3, II (Acesso e Privacidade)Código de Defesa do Consumidor (Acesso)Código de Ética Médica, de Enfermagem, ...CFM
Resolução CFM 1.638/2002 (PM e Comissão de Revisão de Prontuário)Resolução CFM 1.821/2007 (PEP, SBIS, Eliminação do Papel)
Legislação
18kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
ANS
Resolução RDC ANS 24/2000 (Penalidades)
Resolução RDC ANS 64/2001 (Coord. Médico)
Resolução RN ANS 21/2002 (Privacidade)
Resolução RN ANS 114/2005 (TISS e Segurança)
Instrução Normativa IN ANS 22/2006 (TISS v 2.1)
Resolução RN ANS 135/2006 (TISS)
Legislação ANS
19kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Resolução RN ANS 21/2002, RDC 24/2000, RDC 64/2001 (Privacidade e Penalidades)
As operadoras ... deverão manter protegidas as informações assistenciais fornecidas pelos seus consumidores ou por sua rede de prestadores ... quando acompanhadas de dados que possibilitem a sua individualização, não podendo as mesmas ser divulgadas ou fornecidas a terceiros ... .
Legislação ANS
20kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Art. 5º Constitui infração, punível com multa pecuniária no valor de R$ 35.000,00:
"XIV - divulgar ou fornecer a terceiros não envolvidos na prestação de serviços assistenciais, informação sobre as condições de saúde dos consumidores, contendo dados de identificação, sem a anuência expressa dos mesmos ..."; e
"XV - divulgar ou fornecer a terceiros não envolvidos na prestação de serviços assistenciais, as informações contidas na declaração de saúde preenchida pelo consumidor por ocasião da contratação de plano de assistência à saúde."
Legislação ANS
21kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
ANS RN 153
CAPÍTULO VIDA SEGURANÇA E DA PRIVACIDADE
Art 8º
Art 9º
Legislação ANS
kiatake@evaltec.com.br 22
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Art. 8o As operadoras ... e os prestadores ... devem constituir proteções administrativas, técnicas e físicas para impedir o acesso eletrônico ou manual impróprio à informação de saúde, em especial a toda informação identificada individualmente, conforme normas técnicas estabelecidas na Resolução CFM nº 1639 de 10 de julho de 2002, e na RN nº 21 de 12 de dezembro de 2002, e na RDC nº 64 de 10 de abril de 2001 ambas da ANS.
ANS RN 153
23kiatake@evaltec.com.br
Revogada pela CFM 1821/2007
I Implanta TISS – Prestadores e Operadoras em direção à padronização
§ 1o As operadoras ... e prestadores ... que optem pela forma de comunicação através da Internet, inclusive as que optem pela ... conectividade, devem obrigatoriamente adotar os requisitos de segurança do Nível de Garantia de Segurança 1 (NGS-1), descritos no Manual SBIS/CFM ...
§ 2o Para as operadoras ... e prestadores ... que utilizarem Webservices, recomenda-se a utilização do Nível de Garantia de Segurança 2 (NGS-2).
ANS RN 153
24kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Art. 9º Para as transmissões remotas ..., os sistemas deverão possuir um certificado digital de aplicação única emitido por uma Autoridade Certificadora ... ICP-Brasil, a fim de garantir a identidade do sistema.
§ 1o O certificado digital deve ter ... CPF ou ... CNPJ do prestador.
§ 2o No caso de pessoa jurídica em que trabalhem vários prestadores pessoa física, todos os dados poderão trafegar sob o certificado da pessoa jurídica, devendo as operadoras manter registro do vínculo entre esses prestadores.
ANS RN 153
25kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Conceitos
NíveisNGS1
Controles básicos de segurança
NGS2Controles necessários para a eliminação do papel Evitar a impressão e consumo de papel Permitir a eliminação do papel já existente - digitalização
Uso da certificação digital ICP-Brasil
Classificação do SistemaLocal
O sistema roda em uma única máquina e não se comunica
RemotoSistema web ou cliente servidorAcesso a rede ou Internet
27kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
NGS1
Provê condições mínimas para o processamento seguro de informações de saúde
Baseado em referências internacionais como ISO/IEC 27001, ISO/IEC 27002, HL7 e ISO 18308.
Exigido em sistemas TISS que utilizam a Internet
Não pressupõe a eliminação do papel
29kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
NGS1
11 áreas
NGS1.01 - Controle de versão do software
NGS1.02 - Identificação e autenticação de usuário
NGS1.03 - Controle de sessão de usuário
NGS1.04 - Autorização e controle de acesso
NGS1.05 - Disponibilidade do RES
NGS1.06 - Comunicação remota
NGS1.07 - Segurança de Dados
NGS1.08 – Auditoria
NGS1.09 – Documentação
NGS1.10 – Tempo
NGS1.11 – Notificação de Ocorrências
30kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Cenário 1: Operadora oferece sistema portal ou cliente-servidor
Considera-se a existência de um único sistema (da operadora), sendo que os prestadores são considerados clientes remotos.
Os clientes utilizam um executável ou navegador, que se comunica com o sistema da operadora.
Não é necessário possuir certificado digital no lado cliente (mas também não elimina o papel).
O sistema (da operadora) deve satisfazer todos os requisitos do NGS1.
NGS1
31kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Exemplo de requisito do lado servidor (operadora)NGS1.06.05
Em S-RES composto por diversos componentes distribuídos (localizados em computadores diferentes), na comunicação entre tais componentes (como, por exemplo, com o banco de dados), o acesso ao componente deve ser restrito somente aos parceiros (componentes) previamente autorizados.
Script de teste do requisitoProcedimento: Verificar se há alguma restrição de acesso entre os componentes, através de um cliente de BD, se somente requisições realizadas a partir do servidor de aplicação são aceitas pelo servidor de BD.
Resultado esperado: O acesso entre os componentes deve ser restrito somente aos componentes previamente autorizados.
NGS1
32kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Exemplo de requisito que afetam os clientes
NGS1.02.05
O S-RES deve ter mecanismos para bloquear o usuário após um número máximo configurável de tentativas inválidas de login.
NGS1.03.01
Sessão de usuário (local ou remota) inativa deve ser encerrada após um período definido de inatividade.
NGS1
33kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
NGS1
Exemplo de requisito da comunicação cliente-servidor
NGS1.06.01Em S-RES de acesso remoto , a sessão de comunicação entre o componente cliente (do lado do usuário) e o componente servidor deve oferecer os seguintes serviços de segurança: autenticação do servidor, integridade dos dados e confidencialidade dos dados. Como exemplo, pode-se citar a utilização do protocolo HTTPS (HTTP + SSL/TLS).
Script de teste do requisitoProcedimento: Verificar através da utilização de um sniffer, verificar se é possível ter acesso a dados legíveis do SRES.Resultado esperado: Não deve ser possível ter dados inteligíveis através da utilização de sniffer.
34kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
NGS1
Execução de um script de verificação do requisito:
Esse sistemas NÃO atende ao requisito, pois o username e a senha podem ser identificados (são transmitidos “em claro”)
Username = teste@teste.com
Senha = senha
35kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Cenário 2: Operadora interage com sistema do Prestador
Considera-se dois sistemas independentes, os quais ambos precisam satisfazer os requisitos NGS1.
Existem requisitos adicionais a serem satisfeitos.
NGS1
36kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Exemplo de requisito de comunicação
NGS1.06.05
O canal de comunicação entre S-RES deve oferecer os seguintes serviços de segurança: autenticação de parceiro (cliente e servidor), integridade dos dados e confidencialidade dos dados. Quando a comunicação envolva S-RES de diferentes entidades, a autenticação de parceiro deve utilizar certificados digitais ICP-Brasil.
NGS1
37kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
NGS2
Objetivo é de permitir a eliminação de papel
O NGS1 é pré-requisito para o NGS2
4 áreasNGS2.01 – Certificação Digital
NGS2.02 – Assinatura Digital
NGS2.03 – Autenticação de usuário utilizando certificado digital
NGS2.04 – Digitalização de Documentos (Considerar apenas para S-RES da categoria GED – Gerenciamento Eletrônico de Documentos)
39kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
NGS2
Exemplo de RequisitoNGS2.02.05
Manter os elementos necessários (informações sobre certificados raiz, cadeias de certificação, certificados dos signatários e informações de revogação) a fim de possibilitar que a assinatura digital possa ser validada a qualquer momento futuro. Esses elementos podem estar incluídos no registro assinado digitalmente ou referenciado por este e armazenado no S-RES.
Script de testesProcedimento: Exportar um registro assinado e verificar utilizando um aplicativo de verificação de assinatura se ele possui todos os elementos necessários para a validação da assinatura.
Resultado Esperado: Todos os elementos necessários para a validação da assinatura devem estar presentes.
40kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Sistemas “portais” oferecidos pelas operadoras precisam satisfazer os requisitos SBIS/CFM NGS1
Minimamente exige um certificado digital de servidor (mesmo não ICP-Brasil)
Considerações
42kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Sistemas Webservices precisam de certificados ICP-Brasil em ambos os lados, prestador e operadora
Utilizando esse certificado somente para autenticação implica em atendimento apenas ao NGS1
Para a eliminação do papel, é necessário o atendimento NGS2, que incorpora assinatura digital
Isso representa somente fazer um outro uso do mesmo certificado
Considerações
43kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Quais tipos de certificado ICP-Brasil usarPor enquanto, pode-se usar qualquer tipo de certificado tipo A (A1, A2, A3 ou A4), podendo ser de Pessoa Física (PF) ou Jurídica (PJ).
A escolha dependerá de fatores como: Nível de segurança desejado
Tamanho da instituição
Desempenho – volume de transações
Custos
Prazos
Compatibilidade e arquitetura da solução de software
Considerações
44kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Futuro e TendênciasFormalizar uma especificação de uso do certificado digital no TISS junto ANS
Definição do processos de assinatura
Integração com XML
Integração com Webservices
Agregação de funcionalidades de sigilo
Formalização da eliminação do papel
Viabilização do CRM-Digital junto CFM
Incorporação do certificado nos cartões
Treinamentos no processo certificação SBIS/CFM
Considerações
45kiatake@evaltec.com.br
I Implanta TISS – Prestadores e Operadoras em direção à padronização
Obrigado !
Luis Gustavo G. Kiatakekiatake@evaltec.com.br
Coordenador do Grupo de SegurançaABNT/CEE-Informática em Saúde e Membro Delegação Brasileira na ISO
Responsável pelos Requisitos de Segurança do Manual de Certificação SBIS/CFM
Colaborador ao COPISS/ANS
Colaborador ao CFM e Ministério da Saúde / Datasus em Certificação Digital
Sócio do Instituto HL7 Brasil
Sócio Titular da SBIS
Diretor Executivo E-VAL Tecnologia