Artigo

- Tecnologia Aplicada
A segurança da informação digital na Saúde

teste

A informação digital assume diferentes aspectos de segurança na área de Saúde. Sua maior importância reside na guarda e no manuseio de informações médicas em meios eletrônicos, visto a crescente demanda de sistemas computadorizados no controle de dados de saúde do paciente nos diversos provedores de serviços de saúde (clínicas, hospitais, laboratórios etc).

A informação em Saúde é um ativo que, como qualquer outro ativo importante para procedimentos de saúde, tem um valor para o meio e conseqüentemente necessita ser adequadamente protegida. A Segurança da Informação protege a informação de diversos tipos de ameaças a fim de minimizar os danos que possam ocasionar nos resultados de seus objetivos.

A informação pode existir de muitas formas. Ela pode ser impressa ou escrita em papel, armazenada eletronicamente, transmitida pelo correio ou através de meios eletrônicos, mostrada em imagens ou falada em conversas. Seja qual for a forma apresentada ou o meio através do qual a informação é compartilhada ou armazenada, é recomendado que ela seja sempre protegida adequadamente.

A Segurança da Informação é aqui caracterizada pela preservação de:

• Confidencialidade: garantia de que a informação é acessível somente por pessoas autorizadas a terem acesso;
• Integridade: salvaguarda da exatidão e completeza da informação e dos métodos de processamento;
• Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

Segurança da informação é obtida a partir da implementação de uma série de controles, que podem ser políticas, práticas, procedimentos, estruturas organizacionais e funções de software. Estes controles precisam ser estabelecidos para garantir que os objetivos de segurança específicos da organização sejam atendidos.

Hoje, graças aos avanços da tecnologia da informação, surgem novos meios de armazenamento de dados que vêm sendo explorados por vários serviços de saúde. Além das facilidades de armazenamento, as novas tecnologias de informação possibilitam que os dados sejam também processados, transmitidos e publicados, viabilizando as trocas eletrônicas de informações, muitas vezes do interesse do médico e do próprio paciente.

O uso da Tecnologia da Informação em saúde é bastante amplo. Destacam-se neste campo do conhecimento as seguintes atividades: o desenvolvimento dos sistemas de informação hospitalar, as redes de comunicação digital para a saúde, as aplicações voltadas para a saúde comunitária, os sistemas de apoio à decisão, o processamento de imagens e sinais biológicos, a avaliação e o controle de qualidade dos serviços de saúde, a Telemedicina, as aplicações voltadas para a área educacional e, finalmente, integrando todos os esforços, o registro eletrônico de saúde (RES), núcleo de toda a informação em saúde.

Idealmente, o RES é o registro longitudinal da vida de uma pessoa, não somente dos eventos relacionados à doença, mas também de informações de saúde, tais como: hábitos alimentares, prática desportiva e atividades de lazer.

Todos os eventos relacionados à saúde da pessoa devem estar registrados neste prontuário, do nascimento até a morte, agregados em torno de um identificador único. A informação deve estar representada de tal forma que a troca entre instituições e a recuperação de dados seja feita de forma transparente para aqueles que estiverem acessando a informação. Acima de tudo, o RES deve atender aos requisitos essenciais de integridade, autenticidade, disponibilidade e privacidade da informação.

Uma das maiores preocupações existentes em nosso meio quanto ao registro eletrônico e a transmissão de dados diz respeito ao sigilo profissional. Com o advento do prontuário eletrônico, novos desafios à preservação do segredo médico surgem em função da manipulação dos dados dos pacientes. Levando-se em conta o atual estágio de desenvolvimento da Tecnologia da Informação, temos condições de transmitir, via internet, dados do prontuário eletrônico com segurança matematicamente comprovada.

Num ambiente mais restrito, como o hospital, onde há a circulação interna do prontuário eletrônico sem transmissão dos dados via internet, os sistemas de segurança presentes nos bancos de dados são suficientes para a preservação do sigilo. É óbvio que cuidados devem ser tomados para preservar a integridade dos dados. No entanto, se forem observadas com rigor as normas técnicas dos sistemas para guarda e manuseio, certamente teremos níveis de segurança tão ou mais eficientes do que aqueles utilizados para a preservação dos prontuários em papel.

O prontuário médico, em qualquer meio de armazenamento, é propriedade física da instituição onde o paciente é assistido, seja uma unidade de saúde ou um consultório, a quem cabe o dever de guarda do documento. Ao paciente pertencem os dados ali contidos, que só podem ser divulgados com a sua autorização, ou dever legal.

É direito do paciente a disponibilidade permanente das informações, como é do médico e da instituição o dever de guarda do prontuário. Este é o entendimento expresso na Resolução CFM n. 1.605/2000. O sigilo profissional, que visa preservar a privacidade do indivíduo, deve estar sujeito às regras estabelecidas na legislação e no Código de Ética Médica, independentemente do meio utilizado para o armazenamento dos dados no prontuário, seja eletrônico ou em papel.

O Conselho Federal de Medicina (CFM) publicou duas resoluções recentemente que tratam especificamente sobre este assunto. A resolução CFM no. 1638/2002 define formalmente o que é prontuário eletrônico e torna obrigatória a criação da Comissão de Revisão de Prontuários nas instituições de saúde, enquanto que a resolução CFM no. 1639/2002 publica as ""Normas Técnicas para o Uso de Sistemas Informatizados para a Guarda e Manuseio do Prontuário Médico"", e dispõe sobre tempo de guarda dos prontuários, estabelece critérios para certificação dos sistemas de informação e dá outras providências.

Estas normas técnicas ressaltam a importância da integridade da informação e qualidade do serviço, especificando critérios de cópia de segurança (backup de dados), características técnicas dos bancos de dados médicos, além de definir critérios de privacidade e confidencialidade, autenticação, auditoria, transmissão de dados e digitalização de prontuários.

O atendimento destas normas deverá ser feito através de processo de certificação de software junto ao CFM. A SBIS (Sociedade Brasileira de Informática em Saúde), por solicitação do CFM, criou um grupo de trabalho para estudar e desenvolver este processo de certificação de sistemas informatizados para a guarda e manuseio do prontuário médico.

Assim, é de fundamental importância que a informação médica seja tratada com segurança e protegida por mecanismos de controle de qualidade, a fim de garantir uma assistência à saúde correta e responsável.

Referências

1 - Conselho Federal de Medicina. Resolução CFM no. 1638/2002. Define prontuário médico e torna obrigatória a criação da Comissão de Revisão de Prontuários nas instituições de saúde.

Disponível em: URL: http://www.cfm.org.br/ResolNormat/Numerico/1638_2002.htm

2 - Conselho Federal de Medicina. Resolução CFM no. 1639/2002. Aprova as ""Normas Técnicas para o Uso de Sistemas Informatizados para a Guarda e Manuseio do Prontuário Médico"", dispõe sobre tempo de guarda dos prontuários, estabelece critérios para certificação dos sistemas de informação e dá outras providências.

Disponível em: URL: http://www.cfm.org.br/ResolNormat/Numerico/1639_2002.htm

3 - Sociedade Brasileira de Informática em Saúde - GT de certificação de software. O processo de certificação está atualmente em análise pelo setor jurídico do CFM. A previsão é que se torne operacional em novembro/2003.

Disponível em: URL: http://www.sbis.org.br/certificação.htm

4 - Miller RA, Gardner RM. Recommendations for responsible monitoring and regulation of clinical software systems. American Medical Informatics Association, Computer-based Patient Record Institute, Medical Library Association, Association of Academic Health Science Libraries, American Health Information Management Association, American Nurses Association. J Am Med Inform Assoc 1997; 4: 442-57.

5 - Pan American Health Organization. Setting up healthcare services information systems: a guide for requirement analysis, application specification, and procurement. Washington: Paho; 1999. Disponível em: URL: (http://www.virtual.epm.br/material/healthcare/)

Fonte: Revista Einstein, por Marivan Santiago Abrahão em 11 de outubro de 2004.

A informação digital assume diferentes aspectos de segurança na área de Saúde. Sua maior importância reside na guarda e no manuseio de informações médicas em meios eletrônicos, visto a crescente demanda de sistemas computadorizados no controle de dados de saúde do paciente nos diversos provedores de serviços de saúde (clínicas, hospitais, laboratórios etc).

A informação em Saúde é um ativo que, como qualquer outro ativo importante para procedimentos de saúde, tem um valor para o meio e conseqüentemente necessita ser adequadamente protegida. A Segurança da Informação protege a informação de diversos tipos de ameaças a fim de minimizar os danos que possam ocasionar nos resultados de seus objetivos.

A informação pode existir de muitas formas. Ela pode ser impressa ou escrita em papel, armazenada eletronicamente, transmitida pelo correio ou através de meios eletrônicos, mostrada em imagens ou falada em conversas. Seja qual for a forma apresentada ou o meio através do qual a informação é compartilhada ou armazenada, é recomendado que ela seja sempre protegida adequadamente.

A Segurança da Informação é aqui caracterizada pela preservação de:

• Confidencialidade: garantia de que a informação é acessível somente por pessoas autorizadas a terem acesso;

• Integridade: salvaguarda da exatidão e completeza da informação e dos métodos de processamento;

• Disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

Segurança da informação é obtida a partir da implementação de uma série de controles, que podem ser políticas, práticas, procedimentos, estruturas organizacionais e funções de software. Estes controles precisam ser estabelecidos para garantir que os objetivos de segurança específicos da organização sejam atendidos.

Hoje, graças aos avanços da tecnologia da informação, surgem novos meios de armazenamento de dados que vêm sendo explorados por vários serviços de saúde. Além das facilidades de armazenamento, as novas tecnologias de informação possibilitam que os dados sejam também processados, transmitidos e publicados, viabilizando as trocas eletrônicas de informações, muitas vezes do interesse do médico e do próprio paciente.

O uso da Tecnologia da Informação em saúde é bastante amplo. Destacam-se neste campo do conhecimento as seguintes atividades: o desenvolvimento dos sistemas de informação hospitalar, as redes de comunicação digital para a saúde, as aplicações voltadas para a saúde comunitária, os sistemas de apoio à decisão, o processamento de imagens e sinais biológicos, a avaliação e o controle de qualidade dos serviços de saúde, a Telemedicina, as aplicações voltadas para a área educacional e, finalmente, integrando todos os esforços, o registro eletrônico de saúde (RES), núcleo de toda a informação em saúde.

Idealmente, o RES é o registro longitudinal da vida de uma pessoa, não somente dos eventos relacionados à doença, mas também de informações de saúde, tais como: hábitos alimentares, prática desportiva e atividades de lazer.

Todos os eventos relacionados à saúde da pessoa devem estar registrados neste prontuário, do nascimento até a morte, agregados em torno de um identificador único. A informação deve estar representada de tal forma que a troca entre instituições e a recuperação de dados seja feita de forma transparente para aqueles que estiverem acessando a informação. Acima de tudo, o RES deve atender aos requisitos essenciais de integridade, autenticidade, disponibilidade e privacidade da informação.

Uma das maiores preocupações existentes em nosso meio quanto ao registro eletrônico e a transmissão de dados diz respeito ao sigilo profissional. Com o advento do prontuário eletrônico, novos desafios à preservação do segredo médico surgem em função da manipulação dos dados dos pacientes. Levando-se em conta o atual estágio de desenvolvimento da Tecnologia da Informação, temos condições de transmitir, via internet, dados do prontuário eletrônico com segurança matematicamente comprovada.

Num ambiente mais restrito, como o hospital, onde há a circulação interna do prontuário eletrônico sem transmissão dos dados via internet, os sistemas de segurança presentes nos bancos de dados são suficientes para a preservação do sigilo. É óbvio que cuidados devem ser tomados para preservar a integridade dos dados. No entanto, se forem observadas com rigor as normas técnicas dos sistemas para guarda e manuseio, certamente teremos níveis de segurança tão ou mais eficientes do que aqueles utilizados para a preservação dos prontuários em papel.

O prontuário médico, em qualquer meio de armazenamento, é propriedade física da instituição onde o paciente é assistido, seja uma unidade de saúde ou um consultório, a quem cabe o dever de guarda do documento. Ao paciente pertencem os dados ali contidos, que só podem ser divulgados com a sua autorização, ou dever legal.

É direito do paciente a disponibilidade permanente das informações, como é do médico e da instituição o dever de guarda do prontuário. Este é o entendimento expresso na Resolução CFM n. 1.605/2000. O sigilo profissional, que visa preservar a privacidade do indivíduo, deve estar sujeito às regras estabelecidas na legislação e no Código de Ética Médica, independentemente do meio utilizado para o armazenamento dos dados no prontuário, seja eletrônico ou em papel.

O Conselho Federal de Medicina (CFM) publicou duas resoluções recentemente que tratam especificamente sobre este assunto. A resolução CFM no. 1638/2002 define formalmente o que é prontuário eletrônico e torna obrigatória a criação da Comissão de Revisão de Prontuários nas instituições de saúde, enquanto que a resolução CFM no. 1639/2002 publica as "Normas Técnicas para o Uso de Sistemas Informatizados para a Guarda e Manuseio do Prontuário Médico", e dispõe sobre tempo de guarda dos prontuários, estabelece critérios para certificação dos sistemas de informação e dá outras providências.

Estas normas técnicas ressaltam a importância da integridade da informação e qualidade do serviço, especificando critérios de cópia de segurança (backup de dados), características técnicas dos bancos de dados médicos, além de definir critérios de privacidade e confidencialidade, autenticação, auditoria, transmissão de dados e digitalização de prontuários.

O atendimento destas normas deverá ser feito através de processo de certificação de software junto ao CFM. A SBIS (Sociedade Brasileira de Informática em Saúde), por solicitação do CFM, criou um grupo de trabalho para estudar e desenvolver este processo de certificação de sistemas informatizados para a guarda e manuseio do prontuário médico.

Assim, é de fundamental importância que a informação médica seja tratada com segurança e protegida por mecanismos de controle de qualidade, a fim de garantir uma assistência à saúde correta e responsável.

Referências

1 - Conselho Federal de Medicina. Resolução CFM no. 1638/2002. Define prontuário médico e torna obrigatória a criação da Comissão de Revisão de Prontuários nas instituições de saúde.

Disponível em: URL: http://www.cfm.org.br/ResolNormat/Numerico/1638_2002.htm

2 - Conselho Federal de Medicina. Resolução CFM no. 1639/2002. Aprova as "Normas Técnicas para o Uso de Sistemas Informatizados para a Guarda e Manuseio do Prontuário Médico", dispõe sobre tempo de guarda dos prontuários, estabelece critérios para certificação dos sistemas de informação e dá outras providências.

Disponível em: URL: http://www.cfm.org.br/ResolNormat/Numerico/1639_2002.htm

3 - Sociedade Brasileira de Informática em Saúde - GT de certificação de software. O processo de certificação está atualmente em análise pelo setor jurídico do CFM. A previsão é que se torne operacional em novembro/2003.

Disponível em: URL: http://www.sbis.org.br/certificação.htm

4 - Miller RA, Gardner RM. Recommendations for responsible monitoring and regulation of clinical software systems. American Medical Informatics Association, Computer-based Patient Record Institute, Medical Library Association, Association of Academic Health Science Libraries, American Health Information Management Association, American Nurses Association. J Am Med Inform Assoc 1997; 4: 442-57.

5 - Pan American Health Organization. Setting up healthcare services information systems: a guide for requirement analysis, application specification, and procurement. Washington: Paho; 1999. Disponível em: URL: (http://www.virtual.epm.br/material/healthcare/)

Fonte: Revista Einstein, por Marivan Santiago Abrahão em 11 de outubro de 2004.