Pentest para Hospitais e Healthechs: LGPD, HIPAA, CFM, ANVISA

Resumo:

• Dados de saúde são classificados como dados sensíveis pela LGPD e exigem medidas técnicas proporcionalmente mais robustas do que outros tipos de dados pessoais. É aí que entram os frameworks de compliance para saúde.
• O CFM, a ANVISA e a LGPD já formam um conjunto regulatório que impõe avaliação de segurança a qualquer sistema que processe dados de pacientes no Brasil, independentemente de operar ou não no mercado americano.
• Para healthtechs com parceiros americanos, o HIPAA adiciona requisitos técnicos. Desde dezembro de 2024, a proposta de atualização da Security Rule prevê pentest anual obrigatório e scanning trimestral para todos os business associates.
• Os sistemas prioritários no escopo são: prontuário eletrônico, APIs de integração, plataformas de telemedicina, mobile com acesso aos dados dos pacientes, armazenamento em nuvem e equipamentos médicos conectados à rede.
• Um único pentest bem estruturado pode gerar evidências formais para LGPD, HIPAA, CFM e auditorias de parceiros, desde que o escopo e a documentação sejam definidos corretamente desde o início.

Dados de saúde estão entre os mais sensíveis que existem. 

Um prontuário eletrônico exposto pode revelar condições médicas, histórico de tratamentos, medicamentos em uso e informações que o paciente não compartilharia em nenhuma outra circunstância. 

Por isso, healthtechs, hospitais, clínicas e sistemas de saúde digital têm um nível de responsabilidade técnica e regulatória mais elevado do que a maioria dos setores.

Este guia foi escrito para hospitais e empresas ligadas à saúde que operam exclusivamente no Brasil e healthtechs brasileiras com parceiros ou clientes americanos. Em ambos os casos, o pentest é o principal instrumento técnico disponível para demonstrar que os controles de segurança existem, funcionam e foram testados por um profissional independente.

Por que dados de saúde exigem um nível diferente de proteção

Dados de saúde são permanentes, profundamente pessoais e altamente valiosos para fraude, extorsão e discriminação,  como um  diagnóstico de câncer, um histórico psiquiátrico ou um resultado positivo para uma doença infecciosa. 

Isso se reflete diretamente no mercado de ataques. O custo médio por violação de dados no setor de saúde atingiu US$ 7,42 milhões em 2025, o mais alto entre todos os setores pelo 14º ano consecutivo, segundo o IBM Cost of a Data Breach Report 2025. 

No Brasil, o setor de saúde concentra 51% dos ataques de ransomware na América Latina em 2026, aponta a CISO Advisor. Hospitais brasileiros registraram 3.167 ataques por semana em 2025, conforme o Checkpoint Research 2025.

Ataques a sistemas hospitalares geram interrupção direta no atendimento. Estudos indicam aumento de até 30% na mortalidade de pacientes durante períodos de downtime forçado por ransomware. O impacto de um incidente no setor de saúde afeta vidas.

O cenário regulatório do compliance para saúde no Brasil

Empresas de saúde digital no Brasil operam sob uma camada regulatória que combina proteção de dados, regulação médica e vigilância sanitária. As três referências principais são a LGPD, as resoluções do CFM e as exigências da ANVISA para softwares classificados como dispositivos médicos.

LGPD: dados sensíveis e medidas técnicas proporcionais

A Lei Geral de Proteção de Dados classifica dados de saúde como dados sensíveis (art. 5º, inciso II), com regime jurídico mais restritivo do que o de dados pessoais comuns. As implicações para empresas de saúde são três:

• Base legal específica: o tratamento de dados de saúde exige base legal própria (art. 11), mais restrita do que as bases aplicáveis a dados comuns. Consentimento do titular ou tutela da saúde é o mais utilizado.
• Medidas técnicas proporcionais: a LGPD exige medidas de segurança adequadas ao risco (art. 46), e o risco associado a dados de saúde é, por definição, mais alto. Isso significa que controles aceitáveis para outros tipos de dado podem não ser suficientes aqui.
• RIPD para tratamento de alto risco: quando o tratamento de dados de saúde puder causar risco relevante aos titulares, a ANPD pode exigir Relatório de Impacto à Proteção de Dados. A ANPD, desde que se tornou autarquia especial pela Lei 15.352/2026, tem poder de fiscalização ampliado e pode solicitar esse documento a qualquer momento.

Em caso de incidente, a ANPD avalia se a empresa demonstrou diligência técnica. 

Um pentest com evidência de exploração e laudo de remediação é o instrumento mais concreto de demonstração dessa diligência. O prazo de notificação de incidentes à ANPD é de 3 dias úteis quando o incidente puder acarretar risco ou dano relevante aos titulares, prazo que só pode ser cumprido com preparo prévio e plano de resposta documentado.

CFM: Resolução 2.454/2026 e IA clínica

A Resolução CFM 2.454/2026, em vigor desde agosto de 2026, é o primeiro marco brasileiro sobre o uso de inteligência artificial em decisões clínicas. Para empresas de saúde digital, ela tem uma implicação direta de segurança: sistemas de IA usados em diagnóstico e prescrição precisam ter auditabilidade comprovada.

Auditabilidade, no contexto da resolução, significa que é possível rastrear quais dados alimentaram uma decisão, como o sistema chegou àquele resultado e se há viés ou falha no processo. 

Isso impõe avaliação técnica dos sistemas de IA clínica, avaliação que inclui, entre outras coisas, verificar se o modelo pode ser manipulado por entrada adversarial (prompt injection, data poisoning) ou se expõe dados de pacientes em suas respostas.

Para healthtechs que desenvolvem ou integram modelos de IA em fluxos clínicos, o pentest em sistemas de IA já é uma exigência implícita da resolução e tende a se tornar explícita nas próximas atualizações regulatórias.

ANVISA: software como dispositivo médico (SaMD)

A ANVISA regula softwares que influenciam decisões clínicas como dispositivos médicos, categoria conhecida como SaMD (Software as a Medical Device). O nível de exigência varia conforme o risco: sistemas que apenas armazenam dados têm requisitos menores do que sistemas que auxiliam ou tomam decisões de diagnóstico.

Para o SaMD de maior risco, o pentest integra o processo de homologação. Mesmo para sistemas de menor risco, a LGPD e o CFM criam obrigações de segurança que não dependem da classificação da ANVISA. 

Se o software processa, armazena ou transmite dados de pacientes, precisa de avaliação técnica de segurança, independentemente de estar ou não sujeito à regulação da ANVISA.

O que o HIPAA exige para quem opera com parceiros americanos

Healthtechs brasileiras podem também desenvolver softwares usados por organizações americanas de saúde, armazenando e processando dados de pacientes americanos. Essas healthtechs assinam Business Associate Agreements (BAA) com entidades cobertas pelo HIPAA.

Quem se enquadra como business associate

O HIPAA (Health Insurance Portability and Accountability Act) distingue duas categorias: covered entities (planos de saúde, hospitais, provedores de saúde americanos) e business associates, qualquer entidade que processa, armazena ou transmite Protected Health Information (PHI) em nome de uma covered entity. 

Empresas brasileiras que desenvolvem software para clientes americanos do setor de saúde se enquadram como business associates e precisam assinar um BAA com cada cliente.

A assinatura do BAA transfere responsabilidade regulatória para a empresa brasileira. O HIPAA Security Rule passa a se aplicar a todos os sistemas que processam ePHI (electronic PHI), e o descumprimento sujeita a empresa a penalidades americanas que podem chegar a US$ 1,9 milhão por categoria de violação por ano.

O que o HIPAA Security Rule exige tecnicamente

O HIPAA Security Rule organiza os requisitos em três categorias:

• Administrativas  

Análise de risco periódica, programa de segurança documentado e avaliação periódica da eficácia dos controles. É aqui que o pentest se encaixa diretamente: o §164.308(a)(8) exige avaliações técnicas que validem se as salvaguardas continuam eficazes.

• Técnicas (controles implementados nos sistemas):

• §164.312(a)(1) controle de acesso: apenas pessoal autorizado acessa ePHI. O pentest verifica a autenticação, a autorização e se o MFA está implementado nos sistemas críticos.
• §164.312(b) controles de auditoria: logs de acesso a prontuários, exportação de dados e modificação de registros devem ser íntegros e protegidos. O pentester verifica se esses logs podem ser alterados ou destruídos por um atacante.
• §164.312(e)(1) segurança de transmissão: ePHI transmitida via rede deve usar TLS 1.2 no mínimo, preferencialmente TLS 1.3. O pentester verifica a configuração de cipher suites, validade de certificados e ausência de vulnerabilidades de downgrade.

• Salvaguardas físicas 

São a  proteção do acesso físico a sistemas com ePHI. Em ambientes de nuvem, isso se traduz em controles de acesso ao ambiente de produção e segregação entre ambientes.

A atualização do HIPAA Security Rule: status em julho de 2026

Em dezembro de 2024, o HHS (Department of Health and Human Services) publicou uma proposta de atualização do HIPAA Security Rule, a mais abrangente desde 2013. 

A regra proposta ainda está em processo de finalização, mas seu conteúdo já orienta como auditores e parceiros americanos interpretam os requisitos hoje. As principais mudanças propostas com impacto direto no pentest:

• Pentest anual obrigatório explícito para todos os sistemas que processam ePHI. 
• Scanning automatizado de vulnerabilidades pelo menos a cada 6 meses, ou com maior frequência quando a análise de risco indicar.
• Verificação escrita anual de que business associates implementaram as salvaguardas técnicas exigidas, uma assinatura de BAA deixa de ser suficiente.
• Inventário documentado de todos os ativos tecnológicos que processam ePHI.

No caso das healthtechs brasileiras, ainda que a regra ainda não esteja finalizada, parceiros americanos e auditores já estão exigindo esses controles. 

Quais sistemas priorizar no escopo do pentest

A definição do escopo do pentest na área de saúde entende que quanto mais crítico o sistema para o processamento de dados de pacientes, mais urgente é testá-lo. A ordem abaixo reflete essa priorização, aplicável tanto para contextos de LGPD quanto de HIPAA.

Prontuário eletrônico (PEP/HIS/EMR)

É o repositório mais crítico de dados de pacientes, concentra histórico médico, diagnósticos, medicamentos, exames e notas clínicas. O escopo inclui interface web, APIs de integração com laboratórios e farmácias, controle de acesso por perfil (médico, enfermagem, administrativo, paciente) e armazenamento do banco de dados. Vetores frequentes: injeção de SQL nos campos de busca de pacientes, controle de acesso quebrado entre pacientes de diferentes médicos ou clínicas, e APIs sem autenticação adequada.

Plataforma de telemedicina

Envolve comunicação médico-paciente em tempo real, gravações de consultas, histórico de atendimentos e, frequentemente, transmissão de dados biométricos. O escopo inclui segurança das transmissões de vídeo e áudio, armazenamento de gravações, controle de acesso e integração com prontuário. Atenção especial para plataformas que usam WebRTC: a configuração incorreta pode expor fluxos de vídeo não autorizados.

APIs de integração

Laboratórios, farmácias, planos de saúde e sistemas de imagem médica (PACS/RIS) se conectam via APIs que frequentemente têm autenticação mais fraca do que a do sistema principal. São vetores de ataque preferidos por exporem grandes volumes de dados com menos controles. O pentest de API cobre autenticação entre sistemas, autorização por endpoint, rate limiting e exposição de dados em respostas.

Aplicativo mobile com acesso a dados de pacientes

Apps que permitem ao paciente acessar resultados de exames, histórico de consultas ou comunicar-se com profissionais de saúde que processam ePHI em dispositivos fora do controle da empresa. O escopo inclui armazenamento local de dados (o OWASP MASVS v2.0 é referência para esse teste), comunicação com o backend, proteção contra engenharia reversa e controle de sessão. Dados de saúde armazenados em texto claro no dispositivo são os achados mais críticos e mais frequentes nessa categoria.

Armazenamento em nuvem

Buckets S3 e equivalentes mal configurados são o principal vetor dos ataques recentes ao setor de saúde no Brasil. Em 2025, o grupo KillSec explorou um bucket S3 mal configurado de uma fornecedora de software para clínicas e exfiltrou 34 GB de prontuários, incluindo dados de menores. O pentest de cloud cobre configuração de permissões, acesso público inadvertido, criptografia em repouso e trilhas de auditoria de acesso.

Equipamentos médicos conectados à rede (IoT médico)

Monitores, bombas de infusão, equipamentos de imagem e dispositivos de diagnóstico frequentemente operam com firmware desatualizado, credenciais padrão e sem segmentação de rede adequada. 

Quando conectados à mesma rede que sistemas administrativos, criam um caminho de movimento lateral que um atacante pode usar para comprometer sistemas de dados. O teste inclui mapeamento de dispositivos na rede clínica, verificação de credenciais padrão e avaliação de segmentação.

O que o relatório precisa conter para fins regulatórios

Um relatório de pentest bem estruturado pode servir simultaneamente como evidência para LGPD, HIPAA, CFM e auditorias de parceiros, desde que cubra os elementos corretos. A diferença entre um relatório genérico e um relatório regulatório está no nível de rastreabilidade e no mapeamento explícito das exigências.

Para o HIPAA, o relatório deve mapear cada achado à salvaguarda correspondente do Security Rule. Por exemplo: a ausência de MFA em sistema com ePHI mapeia diretamente para §164.312(a)(1). Auditores QSA e parceiros americanos pedem esse mapeamento explícito.

Para a LGPD, o relatório serve como evidência de diligência técnica (art. 46) e pode ser solicitado pela ANPD em investigação de incidentes. Manter o conjunto completo de documentação, relatório técnico, laudo de reteste e carta de atestado, pelo período de validade de cada ciclo de pentest, é o padrão esperado.

Frequência recomendada por perfil de empresa

A frequência deve estar documentada na política de avaliação de risco da organização. Para empresas sujeitas ao HIPAA, essa política é um documento que auditores e parceiros com BAA vão solicitar e que precisa especificar quando e como os testes são realizados.

LGPD e HIPAA podem ser atendidas pelo mesmo pentest?

Sim, desde que o escopo e a documentação sejam estruturados para isso. Um único projeto de pentest pode gerar evidências simultâneas para LGPD e HIPAA quando:

• O escopo cobre todos os sistemas que processam dados de pacientes, tanto os relevantes para a LGPD quanto os que processam ePHI para fins de HIPAA.
• O relatório mapeia cada achado às salvaguardas correspondentes de cada regulação.
• A carta de atestado especifica que o teste foi realizado por profissional independente, requisito de ambas as regulações.
• A documentação é retida pelo prazo mais longo exigido: 6 anos para HIPAA (§164.316(b)(2)), prazo indefinido para LGPD enquanto o tratamento estiver ativo.

A eficiência desse modelo tem um limite: se os sistemas relevantes para LGPD e para HIPAA forem diferentes ou o escopo for muito amplo, pode fazer mais sentido estruturar dois projetos com focos distintos. O fornecedor de pentest deve ajudar a definir o escopo correto antes da proposta.

Sua empresa de saúde precisa demonstrar conformidade com LGPD, HIPAA, CFM ou ANVISA? 

A Vantico realiza pentests em sistemas de saúde com relatórios que atendem aos requisitos de auditores regulatórios, parceiros americanos e processos de due diligence. 

Atendemos hospitais, clínicas e healthtechs brasileiras com ou sem exposição ao mercado americano.

Nosso pentest inclui o retest ilimitado por até 90 dias. Para conhecer, agende uma demonstração conosco.

FAQ: Perguntas frequentes

O HIPAA é obrigatório para empresas brasileiras?

O HIPAA se aplica a empresas brasileiras quando elas processam, armazenam ou transmitem dados de pacientes americanos em nome de uma organização de saúde americana, categoria chamada de business associate. Se a empresa assina um Business Associate Agreement (BAA) com um cliente americano, o HIPAA Security Rule passa a se aplicar a todos os sistemas que processam esses dados. Empresas que operam exclusivamente com pacientes brasileiros não estão sujeitas ao HIPAA, mas continuam sujeitas à LGPD, ao CFM e às exigências da ANVISA.

O pentest é obrigatório para empresas de saúde no Brasil?

A LGPD não cita pentest pelo nome, mas exige medidas técnicas de segurança adequadas ao risco e, para informações de saúde, que são dados sensíveis, o risco é mais alto. A ANPD, em caso de incidente, avalia se a empresa demonstrou diligência técnica, e o pentest é a evidência mais concreta disponível. A Resolução CFM 2.454/2026 impõe auditabilidade a sistemas de IA clínica, o que inclui avaliação técnica de segurança. Para empresas sujeitas ao HIPAA, a proposta de atualização da Security Rule de 2024 prevê um pentest anual explícito como obrigação. 

O que é um BAA e por que importa para o pentest?

Um Business Associate Agreement (BAA) é o contrato que uma empresa brasileira assina com um cliente americano de saúde, formalizando a responsabilidade pelo tratamento de dados de pacientes americanos. Ao assinar um BAA, a empresa assume as obrigações da HIPAA Security Rule, incluindo avaliações técnicas periódicas. 

Quais sistemas de saúde precisam ser testados com mais urgência?

A priorização segue o volume e a sensibilidade dos dados processados. O prontuário eletrônico é sempre a primeira prioridade, é onde está a maior concentração de dados de pacientes. Em seguida: APIs de integração com laboratórios e farmácias (frequentemente com autenticação mais fraca), plataformas de telemedicina (transmissão de dados em tempo real), armazenamento em nuvem (principal vetor de ataques recentes no Brasil) e aplicativos mobile com acesso a dados do paciente. Equipamentos médicos conectados à rede devem entrar no escopo quando houver suspeita de má segmentação.

O relatório de pentest serve como evidência para o HIPAA e para a LGPD ao mesmo tempo?

Sim, desde que o escopo cubra os sistemas relevantes para cada regulação e o relatório mapeie explicitamente os achados às salvaguardas correspondentes. Para HIPAA, o mapeamento deve referenciar os parágrafos específicos do Security Rule (§164.312, §164.308, etc.). Para a LGPD, o relatório demonstra diligência técnica conforme o art. 46 e pode ser apresentado à ANPD em caso de investigação. A documentação deve ser retida pelo prazo mais longo exigido, sendo de 6 anos para HIPAA.

O que muda para healthtechs com a atualização do HIPAA Security Rule?

A proposta de atualização publicada em dezembro de 2024 é a mais abrangente desde 2013. As mudanças mais impactantes para healthtechs brasileiras são: pentest anual obrigatório expresso em lei, scanning trimestral de vulnerabilidades, inventário documentado de todos os ativos que processam ePHI e verificação escrita anual de que os controles técnicos foram implementados, o que significa que uma assinatura de BAA não é mais suficiente. A regra ainda está em processo de finalização, mas auditores e parceiros americanos já estão aplicando esses critérios.

Com que frequência uma healthtech deve fazer pentest?

Para empresas sujeitas ao HIPAA, o mínimo é anual em todos os sistemas que processam ePHI, com testes adicionais após mudanças significativas na infraestrutura. Para empresas que operam apenas no Brasil, o padrão recomendado é semestral para SaaS com desenvolvimento ativo, e anual para sistemas mais estáveis. Empresas em processo de certificação, due diligence de M&A ou captação de investimento devem fazer o teste antes do processo, o relatório de pentest é frequentemente o primeiro documento solicitado nessas situações.

Como escolher um fornecedor de pentest para sistemas de saúde?

Além dos critérios gerais de qualidade (metodologia documentada, profissionais certificados, relatório com evidências de exploração e reteste incluso), fornecedores para o setor de saúde devem ter experiência específica nos sistemas testados: prontuário eletrônico, APIs de integração com laboratórios, plataformas de telemedicina e equipamentos médicos conectados à rede têm vetores de ataque distintos dos de um SaaS genérico. Para empresas sujeitas ao HIPAA, o fornecedor deve conhecer o Security Rule.