Objetivos
Implantar um SGSI robusto conforme a ISO/IEC 27001 que oferecesse um marco de segurança e confiança em todos os níveis da organização: direção, operação assistencial, tecnologia e associados.
Saúde
Pioneiros no setor de saúde: um SGSI ISO/IEC 27001 certificado em plena pandemia
Implementação de um Sistema de Gestão da Segurança da Informação baseado na ISO/IEC 27001 para o principal serviço de emergência médica móvel do Uruguai, pertencente ao maior grupo de saúde do país.
- Setor
- Saúde — emergência médica móvel
- País
- Uruguai
- Norma
- ISO/IEC 27001
- Resultado
- Certificação sem não conformidades na etapa 2
- Marco
- Primeira instituição do setor no Uruguai
Problema
Em um setor tão sensível quanto o da saúde, a confidencialidade da informação clínica e pessoal não é mais um requisito técnico: é a base da relação com o associado. A instituição buscava consolidar essa confiança fortalecendo sua infraestrutura e suas práticas de segurança, com um marco reconhecido internacionalmente que pudesse demonstrar a terceiros.
Solução
Implementamos um SGSI conforme a ISO/IEC 27001 abrangendo a operação assistencial e os processos de apoio, sustentando o projeto durante os desafios sem precedentes da pandemia de COVID-19, com equipes trabalhando remotamente e a operação sob pressão excepcional.
Resultado
Certificação obtida sem nenhuma não conformidade na etapa 2 da certificação inicial —um resultado pouco frequente— e, além do certificado, uma cultura organizacional em que a segurança da informação passou a fazer parte da operação diária.
Contexto do cliente
O principal serviço de emergência médica móvel do Uruguai é referência no setor e integra o maior conglomerado de saúde do país. Seu compromisso histórico com o nível de serviço aos associados incluía, cada vez com mais peso, a integridade e a privacidade dos dados deles. A decisão de certificar não nasceu de uma exigência regulatória, mas de uma definição estratégica: demonstrar, com evidência auditável por um terceiro independente, que a informação dos seus associados está protegida.
O projeto
Abordagem
Apesar das restrições impostas pela pandemia, o trabalho concentrou-se em estabelecer políticas, práticas e ferramentas alinhadas à norma, cuidando de cada detalhe da implementação. A análise de riscos foi feita sobre os processos reais da instituição, não sobre um modelo genérico, e a transferência de conhecimento à equipe interna fez parte do escopo desde o primeiro dia: o sistema tinha que ficar nas mãos da organização.
Resultados
Obteve-se a certificação ISO/IEC 27001 sem não conformidades na etapa crítica do processo. O verdadeiro feito, porém, é a cultura de segurança que permeou a organização e a posicionou como líder não só em atendimento, mas também na proteção da informação dos seus associados, sendo a primeira do setor a obter esse reconhecimento no país.
Reflexão e aprendizados
O projeto demonstrou que com determinação e foco é possível sustentar um processo exigente mesmo em tempos de incerteza global. A segurança não termina em uma certificação: é uma promessa de confiança aos associados e à sociedade.
Perguntas frequentes
Quanto tempo leva certificar a ISO/IEC 27001 em uma instituição de saúde?
Depende da maturidade inicial e do escopo, mas um projeto completo de implantação e certificação em uma organização do setor de saúde costuma ficar entre nove e dezoito meses, da auditoria de diagnóstico até a etapa 2 da certificação. Neste caso, o projeto foi desenvolvido durante a pandemia de COVID-19, com a equipe trabalhando de forma remota.
O que significa certificar sem não conformidades?
Significa que o auditor externo não encontrou, na etapa 2 da certificação inicial, nenhum descumprimento dos requisitos da norma —nem maior nem menor. É um resultado pouco frequente: o habitual é encerrar a auditoria com algumas não conformidades menores que a organização precisa sanar antes de receber o certificado.
A ISO/IEC 27001 cobre a proteção do prontuário do paciente?
A ISO/IEC 27001 não é uma norma específica de saúde, mas sua análise de riscos e seus controles se aplicam aos ativos de informação que a organização define em seu escopo, prontuário incluído. Complementa-se com a legislação de proteção de dados —a LGPD no Brasil, a Lei 18.331 no Uruguai—, que trata dados de saúde como dados sensíveis, com exigências reforçadas.