Cultura e governança são tão importantes quanto tecnologia na cibersegurança da saúde

O avanço da transformação digital e da inteligência artificial está ampliando a superfície de ataque das organizações de saúde, tornando processos, cultura e governança tão importantes quanto as ferramentas tecnológicas na estratégia de cibersegurança. Essa foi a principal mensagem apresentada por Lucio Comanche Monteiro, Gerente de Segurança da Informação do A.C.Camargo Cancer Center, durante o painel “Cibersegurança e proteção de dados como pilares da continuidade operacional na saúde”, realizado no Fórum Saúde Digital 2026.

Segundo o executivo, hospitais e centros de pesquisa passaram a operar cada vez mais como organizações orientadas por dados, tornando-se alvos mais atrativos para criminosos.

“O hospital está virando uma empresa data-driven”, afirmou ao comentar que a crescente digitalização da assistência e da pesquisa amplia a responsabilidade das instituições sobre a proteção das informações.

Na avaliação de Lúcio, embora os investimentos em tecnologia tenham aumentado, a maturidade da saúde brasileira ainda está em processo de evolução quando comparada a outros segmentos econômicos.

Processos custam menos do que tecnologia

Ao abordar estratégias de proteção, o executivo destacou que muitas organizações concentram esforços na aquisição de novas ferramentas, mas deixam de executar medidas básicas de segurança.

“Tem muita coisa que é barata e a gente não faz”, afirmou.

Como exemplo, ele citou práticas relacionadas à cultura organizacional, ao mapeamento de processos e ao controle do compartilhamento de credenciais entre colaboradores.

“Você gasta bilhões com soluções de identidade e o usuário vai lá e empresta a senha para outra pessoa”, exemplificou.

Segundo Lúcio, iniciativas como treinamento, conscientização e revisão dos processos internos frequentemente produzem resultados relevantes sem exigir investimentos elevados.

Conhecer os ativos críticos é prioridade

Outro ponto destacado pelo executivo foi a necessidade de as organizações compreenderem exatamente quais ativos sustentam suas operações.

Segundo ele, muitas equipes concentram a atenção apenas nos ambientes tradicionais de tecnologia da informação (IT), deixando em segundo plano equipamentos médicos conectados e outros ativos clínicos essenciais.

“Eu tenho noção de onde realmente está o meu ativo crítico?”, questionou.

Lúcio explicou que análises de impacto no negócio devem contemplar não apenas servidores e data centers, mas também equipamentos de radiologia, dispositivos médicos e demais tecnologias diretamente relacionadas ao atendimento dos pacientes.

Proteção acompanha toda a jornada do paciente

Ao apresentar a realidade do A.C.Camargo Cancer Center, o executivo ressaltou que o cuidado com a privacidade acompanha toda a jornada assistencial.

Segundo ele, pacientes em tratamento oncológico encontram-se em condição de elevada vulnerabilidade, o que torna a proteção das informações clínicas ainda mais relevante.

Lúcio explicou que a instituição adota fluxos específicos para pacientes considerados de maior sensibilidade, incluindo pessoas publicamente expostas, com mecanismos adicionais de proteção dos prontuários para reduzir riscos de exposição indevida.

IA exige novas políticas de segurança

Ao comentar a popularização da inteligência artificial generativa, o executivo afirmou que um dos maiores desafios atuais é controlar o compartilhamento de informações sensíveis em plataformas públicas.

Segundo ele, o A.C.Camargo revisou políticas internas, fortaleceu normas de segurança e criou mecanismos específicos para monitorar o uso dessas ferramentas pelos colaboradores.

“A gente está revisitando regras, criando políticas e normas para conseguir tecnicamente bloquear compartilhamentos indevidos”, afirmou.

Lúcio destacou que o risco não está apenas nas aplicações desenvolvidas e controladas pelas organizações, mas principalmente no uso espontâneo de plataformas públicas pelos próprios funcionários.

“O que preocupa muito é a IA generativa que as pessoas usam em excesso”, afirmou.

IA corporativa deve substituir contas pessoais

Durante o debate, o executivo defendeu que a adoção da inteligência artificial precisa ser conduzida institucionalmente.

Segundo ele, impedir completamente o uso dessas ferramentas deixou de ser uma opção. O desafio passou a ser oferecer versões corporativas, contratadas pelas próprias organizações, com mecanismos adequados de governança e proteção das informações.

“A gente não vai segurar o uso da IA”, afirmou.

Na avaliação de Lúcio, manter colaboradores utilizando contas pessoais e gratuitas para tratar informações relacionadas ao trabalho aumenta significativamente os riscos de exposição de dados sensíveis.

Por isso, defendeu que as organizações passem a adquirir licenças corporativas e estabeleçam políticas claras para o uso da tecnologia.

“Se a IA for uma ferramenta de trabalho, a empresa tem que comprar a IA”, afirmou.

Ao encerrar sua participação, o executivo reforçou que a inteligência artificial deve ser incorporada à rotina das organizações de saúde acompanhada por políticas, monitoramento contínuo e governança, preservando a segurança das informações clínicas e dos dados estratégicos das instituições.