Início/Quem atendemos/Saúde
// Saúde — clínicas, laboratórios e operadoras
Prontuário é o dado que a lei mais protege e o crime mais valoriza.
Dado de saúde é pessoal sensível: tem regra própria na LGPD, exige base legal específica e, quando vaza, custa mais caro que em qualquer outro setor do país.
// A dor do setor
O que encontramos em saúde.
Os padrões que mais aparecem quando avaliamos empresas deste segmento.
Acesso clínico sem segunda camadaProntuário atrás de usuário e senha apenas, em sistema que a equipe inteira acessa. Uma credencial vazada abre tudo.
Sistema legado sem patchSoftware de gestão que não recebe atualização há anos porque "funciona" e trocar é caro. Cada vulnerabilidade conhecida continua aberta.
Dado sensível sem segregaçãoProntuário, exame e imagem no mesmo lugar que dado administrativo, com o mesmo nível de acesso.
Backup em nuvem nunca restauradoExiste, roda, e ninguém testou. Em ransomware, atendimento parado é risco clínico, não só financeiro.
Compartilhamento com terceirosLaboratório, convênio, telemedicina, sistema de agendamento — cada integração é um caminho, e quase nunca há contrato de tratamento amarrando.
Equipamento médico em redeAparelho conectado que ninguém considera "computador", rodando sistema antigo, no mesmo segmento do resto.
// O que está em jogo
É o custo médio de uma violação de dados no setor de saúde no Brasil — o mais alto de todos os setores. (IBM, 2025)
// Caso real
Uma empresa deste setor.
Anonimizado, sob NDA. O padrão da falha permanece; a identificação, não.
Operadora de saúde · CVSS 8.9
Sistema homologado, firewall, antivírus, DPO nomeado e backup em nuvem. O prontuário estava atrás de um login sem segunda camada, em sistema legado sem atualização há anos. A restauração nunca tinha sido testada.
// Por onde começar
Os serviços que fazem sentido aqui.
Na ordem que costuma funcionar para este segmento.
// Perguntas do setor
O que perguntam nesta área.
A LGPD é diferente para dado de saúde?
Sim. Prontuário é dado pessoal sensível (art. 11), com hipóteses de tratamento mais restritas e exigência maior de segurança. Tratamento de risco elevado costuma pedir relatório de impacto (RIPD).
Preciso de DPO mesmo sendo uma clínica pequena?
A lei exige encarregado indicado. Para clínica pequena, terceirizar costuma sair mais barato e mais competente do que designar alguém que já tem outra função.
O teste tem acesso a prontuário real?
Não. Trabalhamos com dado de teste sempre que possível. Se for inevitável tocar dado real para comprovar um achado, extraímos o mínimo, sob NDA, e registramos exatamente o que foi acessado.
Atendemos outros setores também.
SaaS
E-commerce
Indústria
Financeiro, fintechs
// Diagnóstico
Descubra o que está exposto na sua operação.
Uma conversa inicial para entender o seu cenário — com quem já avaliou empresas deste setor e sabe onde costuma doer.