SlideShare uma empresa Scribd logo
1 de 31
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Programa de Pós-Graduação em Administração (PPGAd)
Mestrado em Administração e Negócios (MAN)
Odirlei Antonio Magnagnagno
Orientadora: Profª. Drª. Edimara Mezzomo Luciano
IDENTIFICAÇÃO DE MECANISMOS DE
PROTEÇÃO DA PRIVACIDADE DAS
INFORMAÇÕES DO PRONTUÁRIO ELETRÔNICO
DE PACIENTES DE INSTITUIÇÕES DE SAÚDE
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
ESTRUTURA DA APRESENTAÇÃO
▪ Introdução
▪ Referencial Teórico
▪ Metodologia
▪ Resultados
▪ Considerações Finais
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
DELIMITAÇÃO DO TEMA
- Privacidade da Informação
- Privacidade das Informações na Saúde
- Prontuário eletrônico
- Privacidade das informações do paciente no
prontuário eletrônico
- Mecanismos de proteção da informação
contidas no prontuário eletrônico
ACQUISTI e GROSSKLAGS, 2007; GAERTNER e SILVA, 2005; FRANCISCONI e GOLDIM,1998;
LUCIANO, BRAGANÇA e TESTA , 2011; LI, 2012
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
PROBLEMA DE PESQUISA
- Situações de quebra de privacidade com a utilização de
prontuário eletrônico
- Como manter a integridade da informação do paciente,
desde o seu registro, acesso e armazenamento
Quais mecanismos podem ser adotados para preservar a
privacidade das informações do paciente, presentes no
prontuário eletrônico?
BULGURCU et al., 2010; ALBRECHTSEN e HOVDEN, 2009; HERATH e RAO,2009; ABRAHÃO,
2003; NG et al.,2009; GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; GOLDIM e
FRANCISCONI, 2005
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
OBJETIVO GERAL
• Identificar os mecanismos que podem contribuir para
preservar a privacidade das informações registradas no
prontuário eletrônico do paciente
OBJETIVOS ESPECÍFICOS
- Identificar os documentos regulatórios e normativos que
possam conter mecanismos de privacidade das
informações
- Identificar e classificar as práticas de privacidade das
informações dos casos estudados
- Classificar os mecanismos identificados nos Documentos
Regulatórios e Normativos e os mecanismos encontrados
nos Estudos de caso
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
JUSTIFICATIVA
- Tentativa de maximizar a segurança da informação
(LIGINLAL et al., 2009)
- Grande volume de dados sigilosos no prontuário
(ABRAHÃO, 2003; GOLDIM e FRANCISCONI, 2005)
- Muitos indivíduos com acesso ao prontuário eletrônico
(GOLDIM e FRANCISCONI, 2005)
- A informação pessoal tem muito valor é uma grande
moeda de troca (HAMELINK, 2000)
- Desafio de colocar em prática os meios de proteção
(ACQUISTI e GROSSKLAGS, 2005; TRCEK et al., 2007)
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
REFERENCIAL TEÓRICO
➢ USO DE TI NA ÁREA DE SAÚDE
GOLDSTEIN, 2010; OLIVEIRA, 2012; XU et al., 2012; KALORAMA, 2007; ABU-DALBOUH,
2014; GAERTNER e SILVA, 2005; LOHR, 2012; MASSAD et al., 2003; ABRAHÃO, 2003;
CAMPARA et al., 2013; COSTA, 2003
➢ PRIVACIDADE DE INFORMAÇÕES
LEIKO-LILLPI et al., 2001; LOCH, 2003; FADEN e BEAUCHAMP, 1986; ALDERMAN e
KENNEDY, 1995; WESTIN, 1967; ANDERSON e MOORE, 2006; HENDERSON e SNYDER,
1999; BRAGANÇA, 2010; DOURISH e ANDERSON, 2006; D’ARCY e HOVAV, 2009; HERATH e
RAO, 2009; BULGURCU et al., 2010
➢ PRIVACIDADE DE INFORMAÇÕES NA SAÚDE
BULGURCU et al.,2010; VANCE et al.,2012; FERREIRA e ARAÚJO, 2008; BRAGANÇA et al.,
2010; SIPONEN, 2000; NRC,1997; WIN et al.,2006; MERCURI, 2004; APPARI e JOHNSON,
2008; LUCIANO e KLEIN, 2014; SÊMOLA, 2003; SMITH, 1996; LEINO KILPI et al., 1999;
LIGINLAL et al., 2009; GOLDIM e FRANCISCONI, 2004; MOTTA, 2003; RAMAN, 2007;
FONTES, 2006; MOREIRA, 2001; PUPULIM e SAWADA, 2002
➢ SEGURANÇA DA INFORMAÇÃO
VON SOLMS e VON SOLMS, 2004; ISO/IEC 27002, 2005; LUCIANO e KLEIN, 2014; SÊMOLA,
2003; ISO/IEC 27001, 2006; ABRAHÃO, 2003
➢ DOCUMENTOS REGULADORES DE PRIVACIDADE EM HOSPITAIS
BAUMER, 2000, ANS, 2013; MENDES, 2009; CAMPARA et al., 2013; ONA 2014; ALONSO et
al., 2014; JCI, 2014; EMIDIO, 2013; CAMPOS, 2008
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Classificação da pesquisa
Estratégia de pesquisa: Pesquisa exploratória descritiva
de corte transversal;
Tipo de Dados: Qualitativos
Coleta de Dados: Análise de Documentos, entrevistas e
observação
Análise de Dados: Análise de dados categorial
Método de Pesquisa
MATTAR, 1999; MALHOTRA, 2001; BARDIN, 2010 .
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Documentos Regulatórios e Normativos
Análise de 17 referências bibliográficas
SIMIONATO, SANT’ANA e SANTOS, 2013; MENDES, 2009; SALVADOR e ALMEIDA,
2005; OLIVEIRA, 2012; FABRI, 2003; PATRÍCIO et al, 2011; GAERTNER e SILVA, 2005;
ALONSO, DROVAL, FERNEDA e EMÍDIO, 2014; JUNIOR e SANTOS, 2013;
BRAGANÇA, LUCIANO e TESTA, 2010; KLEIN, 2014; APPARI e JOHNSON, 2008;
KAMEDA e PAZELLO, 2013; BRAGANÇA, 2010; LOUREIRO, 2008; MARQUES, 2013;
WAINER, 2008; KOBAYASHI e FURUIE, 2006
Critérios de seleção
Estudos de Caso
Caso 1 -Um dos hospitais mais importantes do Brasil e
da América Latina - Com 5 mil colaboradores
Caso 2 - Um dos maiores Hospitais públicos Brasileiros -
Com 6 mil colaboradores
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Desenho de Pesquisa
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Fase 1 – Documentos Regulatórios e
Normativos
- Foram selecionados através de artigos
- Analisados com a finalidade de encontrar mecanismos
- Criado um quadro com o Objetivo e aplicação de cada
documento
- Os mecanismos encontrados foram agrupados
Técnicas de coleta de dados
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Fase 2 - Estudo de caso
Entrevista Semiestruturada
5 Entrevistas hospital Beta
4 Entrevistas no hospital Gama
Gravadas , transcritas a analisadas
Agrupadas por Hospital individualmente com a
relação de cada mecanismo encontrado
Técnicas de coleta de dados
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Fase 2 - Estudo de caso
Documentos internos
1 documento fornecido pelo hospital Beta (PSI)
2 documentos fornecidos pelo hospital Gama
(PSI) e Políticas de Redes Sociais
Observações
Visitas, conversas informais e consulta de sites
Os mecanismos foram agrupadas em um quadro por
Hospital considerando as 3 técnicas.
Unificação de todas as técnicas dos 2 casos
Técnicas de coleta de dados
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Agrupamento das Abordagens
- Unificação dos Mecanismos das duas abordagens
Análise de Documentos x Estudos de Caso.
- Classificação dos mecanismos, com a revisão
auxiliada por 2 experts.
Tipo – Estrutura, Processo ou Relacionamento
GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013
Requisito de Segurança – Confidencialidade, Integridade,
Disponibilidade, Autenticidade, Confiabilidade, Conformidade ou
Irrefutabilidade
LUCIANO e KLEIN, 2014
Eixo de ação – Vulnerabilidade, Salvaguarda, Detecção, Punição
ou Conscientização
ALBRECHTSEN e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e
HOVAV, 2009
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
RESULTADOS
Código Tipo de Documento
DE1 Norma ABNT NBR ISO/IEC 27001
DE2 TISS - Troca de Informação em Saúde Suplementar
DE3 Resolução CFM Nº 1.821
DE4 Código de Ética Médica - Brasil
DE5 Código de Ética dos Profissionais de Enfermagem
DE6 Constituição Federal
DE7 Código Civil (lei 10.406)
DE8 Código de Defesa do Consumidor (lei 8.078)
DE9 Código Penal (lei nº 2.848)
DE10 Código de Ética da IMIA para Profissionais de Informática em Saúde
DE11 Lei de Acesso à informação (lei nº 12.527)
DE12 Política Nacional de Informação e Informática em Saúde (PNIIS)
DE13 HIPAA - Health Insurance Portability and Accountability Act
DE14 ISO / TC 215
DE15 NBR ISO/IEC 27002
DE16 Marco Civil da internet
DE17 A Infraestrutura de Chaves Públicas ICP-Brasil MP Nº 2.200-2
DE18 Manual de Acreditação da ONA
DE19 Manual de Acreditação da Joint Commission International (JCI)
DE20 PIPEDA- “Personal Information Protection and Electronic Documents Act”
Documentos Regulatórios e Normativos
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Análise de Documentos Regulatórios
DE.. - Documentos Regulatórios e Normativos
MDE.. – Mecanismos Localizados nos documentos Regulatórios e Normativos
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Estudos de Caso
CódigoGênero Idade Escolaridade Área de
Formação
Cargo Experiência
profissional/Anos de
empresa
EB1 F 41 Especialização Informática Administrador de Projetos
na área de Inovação
21/6
EB2 M 37 Especialização Informática Gerente de Infraestrutura 18/1
EB3 M 29 Especialização Informática Analista de Negócios 11/11
EB4 M 31 Especialização Informática Administrador de Projetos 10/8
EB5 M 36 Graduação Informática Analista de suporte técnico
Pleno
18/7
Entrevistados – Hospital Beta
Entrevistados – Hospital Gama
Código Gênero Idade Escolaridade Área de
Formação
Cargo Experiência
profissional/Anos de
empresa
EG1 M 38 Especialização Administração Coordenador de TI 10/10
EG2 F 43 Especialização Administração –
Ênfase em
Análise
Chefe do setor de
Segurança da
Informação
17/15
EG3 F 49 Graduação Administração –
Ênfase em
Análise
Chefe do Setor de
Sistemas
Assistenciais
23/23
EG4 M 25 Graduação Informática Analista de TI 5/5
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Estudos de Caso
22 20
5
10
18
0
5
10
15
20
25
EB1 EB2 EB3 EB4 EB5
33
25
10
24
0
5
10
15
20
25
30
35
EG1 EG2 EG3 EG4
Total de mecanismos identificados por entrevistado–Hospital Gama
Total de mecanismos identificados por entrevistado–Hospital Beta
Total de Mecanismos = 41
Total de Mecanismos = 32
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Estudos de Caso
32
14 17
0
5
10
15
20
25
30
35
40
Entrevistas Documentos Observações
Total de mecanismos por técnica de coleta de dados
Estudo de Caso Beta
Total de Mecanismos = 36
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Estudos de Caso
41
17 19
0
10
20
30
40
50
Entrevistas Documentos Observações
Total de mecanismos por técnica de coleta de dados
Estudo de Caso Gama
Total de Mecanismos = 43
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Estudos de Caso
Código Mecanismos
BETA GAMA
TG
E D O T E D O T
MEC1
Implantar e manter um Sistema de Gestão da Segurança da Informação 2 1 3 2 1 1 4 7
MEC2
Ter uma pessoa responsável pela Política de Segurança da Informação 2 2 2 1 3 5
MEC3
Identificar e autenticar o usuário em sistemas, arquivos, portais ou webservices 5 1 1 7 3 2 1 6 13
MEC4
Determinar a qualidade da senha e o período máximo de obrigatoriedade de troca da mesma e o bloqueio por
muitas tentativas
4 1 5 2 2 1 5 10
MEC5
Utilizar o certificado digital (Chave pública para autenticação) para prontuários eletrônicos 1 1 2 2 1 3 5
MEC6
Controlar e armazenar os prontuários eletrônicos num sistema especializado em GED 0 2 2 2
MEC7 Possuir uma Comissão de Revisão de Prontuários 1 1 3 1 4 5
MEC8 Instruir o médico e enfermeiro a não divulgar casos de exemplos que possam ser identificados, mesmo
informalmente.
2 1 3 3 3 6
MEC9 Prevenir para que médicos e enfermeiros não conversem com pacientes a respeito de diagnósticos em áreas
públicas.
1 1 2 2 1 3 5
MEC10
Enviar comunicados constantemente aos colaboradores, orientando como o hospital pode divulgar informações
e também como ele protege as informações.
2 1 3 2 1 3 6
MEC11 Treinar constantemente os colaboradores a respeito de políticas e procedimentos de acordo com a sua atuação
no trabalho
4 1 5 2 1 3 8
MEC12
Instalar Antivírus, VPN e firewall 2 1 3 1 1 2 5
MEC13 Liberar acesso dos prontuários eletrônicos aos colaboradores da TI, somente àqueles com necessidades
legitimas e relevantes.
4 1 5 3 3 8
MEC14 Ter estrutura física apropriada para a coleta, armazenagem, recuperação, processamento e acesso das
informações.
3 1 1 5 2 1 1 4 9
MEC15 Planejar as atividades, avaliando as condições operacionais e infraestrutura, para executar as tarefas de forma
segura.
1 1 3 1 4 5
E – Entrevistas; D – Documentos Internos; O- Observações; T- Total por Caso ; TG – Total Geral
Total de Mecanismos = 48
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Cód Mecanismo Documentos
Regulatórios
/Normativos
Estudos
de Caso
Total
M1 Identificar e autenticar o usuário em sistemas, arquivos, portais ou webservices MDE3 MEC3 19
M2 Ter estrutura física apropriada para a coleta, armazenagem, recuperação,
processamento e acesso das informações.
MDE14 MEC14 17
M3 Treinar constantemente os colaboradores a respeito de políticas e
procedimentos de acordo com a sua atuação no trabalho
MDE11 MEC11 16
M4 Impor sanções adequadas para os que violam as políticas de privacidade MDE19 MEC19 16
M5 Enviar comunicados constantemente aos colaboradores, orientando como o
hospital pode divulgar informações e também como ele protege as
informações.
MDE10 MEC10 14
M6 Criar e divulgar aos colaboradores uma política de privacidade MDE27 MEC26 14
M7 Implantar e manter um Sistema de Gestão da Segurança da Informação MDE1 MEC1 13
M8 Liberar acesso dos prontuários eletrônicos aos colaboradores da TI, somente
àqueles com necessidades legitimas e relevantes.
MDE13 MEC13 13
M9 Instalar Antivírus, VPN e firewall MDE12 MEC12 12
M10 Liberar acesso aos dados relevantes somente para pessoas devidamente
autorizadas
MDE17 MEC17 12
M11 Determinar a qualidade da senha e o período máximo de obrigatoriedade de
troca da mesma e o bloqueio por muitas tentativas
MDE4 MEC4 11
M12 Ter uma pessoa responsável pela Política de Segurança da Informação MDE2 MEC2 10
M13 Utilizar o certificado digital (Chave pública para autenticação) para prontuários
eletrônicos
MDE5 MEC5 10
M14 Criptografar o tráfego externo de informações MDE25 MEC24 10
M15 Instruir o médico e enfermeiro a não divulgar casos de exemplos que possam
ser identificados, mesmo informalmente.
MDE8 MEC8 9
Documentos Regulatórios e Normativos
x Estudos de Caso
M.. – Código do Mecanismo Unificado; MD.. – Mecanismo identificado nos Documentos Reguladores ;
MEC... Mecanismo identificado nos Estudos de Caso. Total de Mecanismos = 50
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Mecanismos de Estrutura
(Código/Nome/Quantidade de citações)
Requisito*
1 Área de qualidade para controlar os documentos -2 X CONFD
2 Comissão de Revisão de Prontuários - 6 X CONFM
3
Controle e armazenamento dos prontuários eletrônicos em um sistema
especializado em GED - 3
X DISP
4 Estrutura física adequada para o gerenciamento do SI - 17 X DISP
5
Implantação e manutenção do Sistema de Gestão da Segurança da
Informação - 13
X CONFD
6 Instalação de Antivírus, VPN e firewall - 12 X CONFD
7 Pessoa responsável pela Política de Segurança da Informação - 10 X CONFD
8
Proteções internas para a conexão de um novo hardware ou software
na rede - 8
X CONFD
9
Quantidade de profissionais dimensionados de acordo com a realidade
da organização ou departamento - 8
X DISP
Tipo de Mecanismo: GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Eixo de ação: ALBRECHTSEN
e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009 Requisito de
Segurança: LUCIANO e KLEIN, 2014
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Mecanismos de Processo
(Código/Nome/Quantidade de citações)
Requisito*
10 Acesso do prontuário somente no momento da internação - 4 X CONFD
11
Acesso dos prontuários eletrônicos aos colaboradores da TI, somente
àqueles com necessidades legitimas e relevantes - 13
X CONFD
12
Análise dos antecedentes de candidatos a empregos de cargos que têm
acesso a informação sigilosa - 2
X INT
13 Análise regular da segurança dos Sistemas de Informação - 7 X CONFD
14 Anulação imediata dos acessos do empregado demitido - 4 X CONFD
15
Armazenamento de logs de acesso e logs de alterações realizadas no
prontuário do paciente - 9
X CONFM
16 Backup estruturado das informações - 8 X DISP
17
Bloqueio de utilização de mídias de gravação (pendrive), acesso a
repositórios na internet e e-mail externo - 1
X INT
18 Ciência da leitura dos termos de Segurança da Informação -3 X CONFD
19 Coleta somente dados relevantes dos clientes/pacientes - 3 X INT
20
Criação de uma integração de login e senha válidos para todos os
sistemas - 2
X IRR
21 Criptografia para o tráfego externo de informações - 10 X AUT
22
Cursos e treinamentos a distância obrigatórios com provas e avaliações
de teste de conhecimento - 5
X CONFD
23 Definição de regras para transmissão de dados externos - 7 X INT
24
Determinação de máscara de senha e tempo máximo de troca de senha
e bloqueio por muitas tentativas - 11
X CONFD
25 Divisão das funções dos colaboradores nos sistemas - 4 X INT
26 Identificação e autenticação dos usuários - 19 X CONFB
27 Inativação do sistema por tempo ocioso - 4 X CONFD
28
Liberação do acesso aos dados relevantes somente para pessoas
devidamente autorizadas - 12
X CONFD
29
Monitoramento constantemente das atividades incomuns de
processamento da informação - 7
X CONFM
30 Não utilização do celular, principalmente no beira leito -2 X INT
31 Obrigatoriedade de assinatura do termo de conduta na contratação - 5 X CONFB
32 Penalização com multa -1 X CONFM
33 Planejamento das atividades, para executar as tarefas com segurança- 8 X DISP
34 Plano de contingência para desastres com informações - 9 X DISP
35 Política pública especifica para a privacidade da informação no Brasil-2 X INT
36
Prevenção no posicionamento de computadores próximos a corredores -
3
X CONFD
37 Sanções adequadas para os que violam as políticas de privacidade-16 X CONFM
38 Software de HIS adequado e de boa qualidade - 7 X CONFD
39 Treinamento constante para os colaboradores - 16 X CONFD
40 Utilização de nomes fictícios nas bases de testes e homologações - 4 X INT
41 Utilização do certificado digital nos prontuários eletrônicos - 10 X CONFB
Tipo de Mecanismo: GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Eixo de ação: ALBRECHTSEN e HOVDEN, 2009; LIGINLAL et al., 2009;
BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009 Requisito de Segurança: LUCIANO e KLEIN, 2014
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Mecanismos de Relacionamento
(Código/Nome/Quantidade de citações)
Requisito*
42 Criação e divulgação aos colaboradores da política de privacidade - 13 X CONFM
43
Disponibilização das políticas de Segurança da Informação aos clientes
-1
X INT
44 Divulgação dos meios de segurança de SI antes da implantação - 4 X INT
45
Envio de comunicados constantes aos colaboradores, orientando sobre
a proteção da informação - 16
X CONFM
46 Instrução informal de médicos e enfermeiros a não divulgar casos - 9 X CONFM
47 Intranet para consulta dos documentos de políticas - 9 X DISP
48
Manutenção das informações dos clientes apenas o tempo necessário
por lei - 4
X DISP
49
Prevenção para que os colaboradores não conversem com pacientes a
respeito de diagnósticos em áreas públicas - 6
X CONFM
50
Valorização e premiação pelo cumprimento da Segurança da
Informação - 4
X CONFD
Tipo de Mecanismo: GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Eixo de ação: ALBRECHTSEN
e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009 Requisito de
Segurança: LUCIANO e KLEIN, 2014
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Tipo de mecanismo X Requisito de Segurança
Tipo de mecanismos Total Citações Requisitos
CONFD INT DISP AUT CONFB CONFM IRR
Estrutura 9 79 5 0 3 0 0 1 0
Processo 32 217 12 8 3 1 3 4 1
Relacionamento 9 65 1 2 2 0 0 4 0
TOTAL 50 361 18 10 8 1 3 9 1
Legenda: CONFD–Confidencialidade; INT–Integridade; DISP–Disponibilidade; AUT-Autenticidade; CONFB –
Confiabilidade; CONFM – Conformidade; IRR - Irrefutabilidade
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Eixo de Ação Estrutura Processo Relacionamento TOTAL
QTD* CIT** QTD CIT QTD CIT QTD CIT
Vulnerabilidade 1 3 1 19 1 9 3 31
Salvaguarda 8 76 26 160 4 18 38 254
Detecção 0 0 1 1 0 0 1 1
Punição 0 0 2 17 0 0 2 17
Conscientização 0 0 2 20 4 38 6 58
TOTAL 9 79 32 217 9 65 50 361
Eixo de Ação X Tipo de mecanismo
Legenda: * QTD – Quantidade de mecanismos ; ** CIT – Total de Citações dos mecanismos
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Contribuições
Considerações Finais
- Mostrar em quais documentos Regulatórios e
Normativos os hospitais podem se basear
- Relação dos Mecanismos que possam ser utilizados
em hospitais para a proteção da informação
- Os Hospitais estão se concentrando muito em
apenas um eixo de ação, que é a Salvaguarda
- Os hospitais possuem alguns mecanismos, mas
ainda ocorrem incidentes
- É necessário ter uma lei específica no Brasil a
respeito de Segurança da Informação
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Limitações
CONCLUSÕES
- As entrevistas dos Estudos de Caso foram
somente com pessoal de TI
- Os Estudos de Caso foram realizados em
somente dois hospitais
- Alto custo de alguns documentos,
impossibilitando a análise na íntegra
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Pesquisas Futuras
CONCLUSÕES
- Identificar os fatores críticos de sucesso em cada
mecanismo encontrado nesse trabalho
- Fazer uma pesquisa com novos hospitais. Para validar
e classificar os mecanismos fazer um Grupo de Foco
para identificar os mecanismos mais relevantes
- Realizar uma revisão com um grupo maior de
especialistas dos mecanismos encontrados para
qualificá-los e agrupar
- Analisar detalhadamente os documentos do comitê da
ISO/TC 215, explorando formas de viabilizar a sua
aquisição
A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS
Programa de pós-Graduação em Administração (PPGAd)
Mestrado em Administração e Negócios (MAN)
Orientando: Odirlei Antonio Magnagnagno
Orientador: Profª. Drª. Edimara Mezzomo Luciano
MUITO OBRIGADO!

Mais conteúdo relacionado

Semelhante a Mecanismos de proteção da privacidade das informações de prontuário eletrônico de pacientes de instituições de saúde

Segurança, ética e privacidade da informação
Segurança, ética e privacidade da informaçãoSegurança, ética e privacidade da informação
Segurança, ética e privacidade da informação
Daiana de Ávila
 
Avaliação dos sistemas biométricos e suas oportunidades de aplicação
Avaliação dos sistemas biométricos e suas oportunidades de aplicaçãoAvaliação dos sistemas biométricos e suas oportunidades de aplicação
Avaliação dos sistemas biométricos e suas oportunidades de aplicação
Rafael Duarte de Paula Ribas
 
Cristiani Passolongo
Cristiani PassolongoCristiani Passolongo
Cristiani Passolongo
Antonio Artur de Souza
 
Gestão Estratégica de Informação em Instituições de Educação Superior
Gestão Estratégica de Informação em Instituições de Educação SuperiorGestão Estratégica de Informação em Instituições de Educação Superior
Gestão Estratégica de Informação em Instituições de Educação Superior
Roberto C. S. Pacheco
 

Semelhante a Mecanismos de proteção da privacidade das informações de prontuário eletrônico de pacientes de instituições de saúde (20)

Fatores que influenciam a predisposição em seguir uma política de segurança d...
Fatores que influenciam a predisposição em seguir uma política de segurança d...Fatores que influenciam a predisposição em seguir uma política de segurança d...
Fatores que influenciam a predisposição em seguir uma política de segurança d...
 
FINAL_Apresentação2 Template FCCN vHR Versão 26.06.2023- FC.pptx
FINAL_Apresentação2 Template FCCN vHR Versão 26.06.2023- FC.pptxFINAL_Apresentação2 Template FCCN vHR Versão 26.06.2023- FC.pptx
FINAL_Apresentação2 Template FCCN vHR Versão 26.06.2023- FC.pptx
 
Segurança, ética e privacidade da informação
Segurança, ética e privacidade da informaçãoSegurança, ética e privacidade da informação
Segurança, ética e privacidade da informação
 
Monitoramento de Informações para Sistemas de Informações
Monitoramento de Informações para Sistemas de InformaçõesMonitoramento de Informações para Sistemas de Informações
Monitoramento de Informações para Sistemas de Informações
 
Artigo renato goncalves da silva - 13 seg
Artigo    renato goncalves da silva - 13 segArtigo    renato goncalves da silva - 13 seg
Artigo renato goncalves da silva - 13 seg
 
Brochura arcsi 3ª Edição 2014
Brochura arcsi 3ª Edição 2014Brochura arcsi 3ª Edição 2014
Brochura arcsi 3ª Edição 2014
 
Avaliação dos sistemas biométricos e suas oportunidades de aplicação
Avaliação dos sistemas biométricos e suas oportunidades de aplicaçãoAvaliação dos sistemas biométricos e suas oportunidades de aplicação
Avaliação dos sistemas biométricos e suas oportunidades de aplicação
 
Esquema de suporte e gestão de dados científicos em organizações de pesquisae...
Esquema de suporte e gestão de dados científicos em organizações de pesquisae...Esquema de suporte e gestão de dados científicos em organizações de pesquisae...
Esquema de suporte e gestão de dados científicos em organizações de pesquisae...
 
A carreira de cientista de dados para a saúde digital
A carreira de cientista de dados para a saúde digitalA carreira de cientista de dados para a saúde digital
A carreira de cientista de dados para a saúde digital
 
Segurança da informação e sistema informatizado
Segurança da informação e sistema informatizadoSegurança da informação e sistema informatizado
Segurança da informação e sistema informatizado
 
Gestãorisco
GestãoriscoGestãorisco
Gestãorisco
 
Segurança da informação aplicação em órgão público
Segurança da informação aplicação em órgão públicoSegurança da informação aplicação em órgão público
Segurança da informação aplicação em órgão público
 
Cristiani Passolongo
Cristiani PassolongoCristiani Passolongo
Cristiani Passolongo
 
Brochura Pós-Graduação 4ª edição arcsi Edição 2015/16
Brochura Pós-Graduação 4ª edição arcsi Edição 2015/16 Brochura Pós-Graduação 4ª edição arcsi Edição 2015/16
Brochura Pós-Graduação 4ª edição arcsi Edição 2015/16
 
Artigo Comunicações Críticas Candido e Freire.pdf
Artigo Comunicações Críticas Candido e Freire.pdfArtigo Comunicações Críticas Candido e Freire.pdf
Artigo Comunicações Críticas Candido e Freire.pdf
 
Gestão Estratégica de Informação em Instituições de Educação Superior
Gestão Estratégica de Informação em Instituições de Educação SuperiorGestão Estratégica de Informação em Instituições de Educação Superior
Gestão Estratégica de Informação em Instituições de Educação Superior
 
Trabalho de Conclusão de Curso Técnico em Administração: Utilização da Tecnol...
Trabalho de Conclusão de Curso Técnico em Administração: Utilização da Tecnol...Trabalho de Conclusão de Curso Técnico em Administração: Utilização da Tecnol...
Trabalho de Conclusão de Curso Técnico em Administração: Utilização da Tecnol...
 
Relatório - Sistemas periciais
Relatório - Sistemas periciaisRelatório - Sistemas periciais
Relatório - Sistemas periciais
 
A experiência de uma empresa de P&D na construção de uma política de governan...
A experiência de uma empresa de P&D na construção de uma política de governan...A experiência de uma empresa de P&D na construção de uma política de governan...
A experiência de uma empresa de P&D na construção de uma política de governan...
 
Plano governanca-em-ti-sti
Plano governanca-em-ti-stiPlano governanca-em-ti-sti
Plano governanca-em-ti-sti
 

Mais de dgovs_pucrs

O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...
O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...
O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...
dgovs_pucrs
 

Mais de dgovs_pucrs (8)

Cidadania Ativa e Valor Público
Cidadania Ativa e  Valor PúblicoCidadania Ativa e  Valor Público
Cidadania Ativa e Valor Público
 
The Roles Of Governments In The Open Data Ecosystem
The Roles Of Governments In The Open Data EcosystemThe Roles Of Governments In The Open Data Ecosystem
The Roles Of Governments In The Open Data Ecosystem
 
FATORES QUE INFLUENCIAM A TOMADA DE DECISÃO POR STAKEHOLDERS ENVOLVIDOS NA GO...
FATORES QUE INFLUENCIAM A TOMADA DE DECISÃO POR STAKEHOLDERS ENVOLVIDOS NA GO...FATORES QUE INFLUENCIAM A TOMADA DE DECISÃO POR STAKEHOLDERS ENVOLVIDOS NA GO...
FATORES QUE INFLUENCIAM A TOMADA DE DECISÃO POR STAKEHOLDERS ENVOLVIDOS NA GO...
 
DADOS ABERTOS GOVERNAMENTAIS NA TOMADA DE DECISÃO BASEADA EM EVIDÊNCIA: UM ES...
DADOS ABERTOS GOVERNAMENTAIS NA TOMADA DE DECISÃO BASEADA EM EVIDÊNCIA: UM ES...DADOS ABERTOS GOVERNAMENTAIS NA TOMADA DE DECISÃO BASEADA EM EVIDÊNCIA: UM ES...
DADOS ABERTOS GOVERNAMENTAIS NA TOMADA DE DECISÃO BASEADA EM EVIDÊNCIA: UM ES...
 
O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...
O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...
O Impacto da Institucionalização dos Mecanismos de Governança de TI no desemp...
 
PROPOSTA DE UM MODELO DE GOVERNANÇA DE TECNOLOGIA DA INFORMAÇÃO PARA UMA EMPR...
PROPOSTA DE UM MODELO DE GOVERNANÇA DE TECNOLOGIA DA INFORMAÇÃO PARA UMA EMPR...PROPOSTA DE UM MODELO DE GOVERNANÇA DE TECNOLOGIA DA INFORMAÇÃO PARA UMA EMPR...
PROPOSTA DE UM MODELO DE GOVERNANÇA DE TECNOLOGIA DA INFORMAÇÃO PARA UMA EMPR...
 
Promoting social participation through Digital Governance: identifying barrie...
Promoting social participation through Digital Governance: identifying barrie...Promoting social participation through Digital Governance: identifying barrie...
Promoting social participation through Digital Governance: identifying barrie...
 
The Role of Collaborative Governance in the Barriers to the Brazilian Digital...
The Role of Collaborative Governance in the Barriers to the Brazilian Digital...The Role of Collaborative Governance in the Barriers to the Brazilian Digital...
The Role of Collaborative Governance in the Barriers to the Brazilian Digital...
 

Último

19- Pedagogia (60 mapas mentais) - Amostra.pdf
19- Pedagogia (60 mapas mentais) - Amostra.pdf19- Pedagogia (60 mapas mentais) - Amostra.pdf
19- Pedagogia (60 mapas mentais) - Amostra.pdf
marlene54545
 
Expansão Marítima- Descobrimentos Portugueses século XV
Expansão Marítima- Descobrimentos Portugueses século XVExpansão Marítima- Descobrimentos Portugueses século XV
Expansão Marítima- Descobrimentos Portugueses século XV
lenapinto
 
Os editoriais, reportagens e entrevistas.pptx
Os editoriais, reportagens e entrevistas.pptxOs editoriais, reportagens e entrevistas.pptx
Os editoriais, reportagens e entrevistas.pptx
TailsonSantos1
 

Último (20)

Renascimento Cultural na Idade Moderna PDF
Renascimento Cultural na Idade Moderna PDFRenascimento Cultural na Idade Moderna PDF
Renascimento Cultural na Idade Moderna PDF
 
Camadas da terra -Litosfera conteúdo 6º ano
Camadas da terra -Litosfera  conteúdo 6º anoCamadas da terra -Litosfera  conteúdo 6º ano
Camadas da terra -Litosfera conteúdo 6º ano
 
19- Pedagogia (60 mapas mentais) - Amostra.pdf
19- Pedagogia (60 mapas mentais) - Amostra.pdf19- Pedagogia (60 mapas mentais) - Amostra.pdf
19- Pedagogia (60 mapas mentais) - Amostra.pdf
 
Expansão Marítima- Descobrimentos Portugueses século XV
Expansão Marítima- Descobrimentos Portugueses século XVExpansão Marítima- Descobrimentos Portugueses século XV
Expansão Marítima- Descobrimentos Portugueses século XV
 
Poesiamodernismo fase dois. 1930 prosa e poesiapptx
Poesiamodernismo fase dois. 1930 prosa e poesiapptxPoesiamodernismo fase dois. 1930 prosa e poesiapptx
Poesiamodernismo fase dois. 1930 prosa e poesiapptx
 
Historia de Portugal - Quarto Ano - 2024
Historia de Portugal - Quarto Ano - 2024Historia de Portugal - Quarto Ano - 2024
Historia de Portugal - Quarto Ano - 2024
 
Os editoriais, reportagens e entrevistas.pptx
Os editoriais, reportagens e entrevistas.pptxOs editoriais, reportagens e entrevistas.pptx
Os editoriais, reportagens e entrevistas.pptx
 
Polígonos, Diagonais de um Polígono, SOMA DOS ANGULOS INTERNOS DE UM POLÍGON...
Polígonos, Diagonais de um Polígono, SOMA DOS ANGULOS INTERNOS DE UM  POLÍGON...Polígonos, Diagonais de um Polígono, SOMA DOS ANGULOS INTERNOS DE UM  POLÍGON...
Polígonos, Diagonais de um Polígono, SOMA DOS ANGULOS INTERNOS DE UM POLÍGON...
 
Pesquisa Ação René Barbier Livro acadêmico
Pesquisa Ação René Barbier Livro  acadêmicoPesquisa Ação René Barbier Livro  acadêmico
Pesquisa Ação René Barbier Livro acadêmico
 
O que é arte. Definição de arte. História da arte.
O que é arte. Definição de arte. História da arte.O que é arte. Definição de arte. História da arte.
O que é arte. Definição de arte. História da arte.
 
P P P 2024 - *CIEJA Santana / Tucuruvi*
P P P 2024  - *CIEJA Santana / Tucuruvi*P P P 2024  - *CIEJA Santana / Tucuruvi*
P P P 2024 - *CIEJA Santana / Tucuruvi*
 
E a chuva ... (Livro pedagógico para ser usado na educação infantil e trabal...
E a chuva ...  (Livro pedagógico para ser usado na educação infantil e trabal...E a chuva ...  (Livro pedagógico para ser usado na educação infantil e trabal...
E a chuva ... (Livro pedagógico para ser usado na educação infantil e trabal...
 
Aula 67 e 68 Robótica 8º ano Experimentando variações da matriz de Led
Aula 67 e 68 Robótica 8º ano Experimentando variações da matriz de LedAula 67 e 68 Robótica 8º ano Experimentando variações da matriz de Led
Aula 67 e 68 Robótica 8º ano Experimentando variações da matriz de Led
 
Slides Lição 6, Betel, Ordenança para uma vida de obediência e submissão.pptx
Slides Lição 6, Betel, Ordenança para uma vida de obediência e submissão.pptxSlides Lição 6, Betel, Ordenança para uma vida de obediência e submissão.pptx
Slides Lição 6, Betel, Ordenança para uma vida de obediência e submissão.pptx
 
Aula 1 - Psicologia Cognitiva, aula .ppt
Aula 1 - Psicologia Cognitiva, aula .pptAula 1 - Psicologia Cognitiva, aula .ppt
Aula 1 - Psicologia Cognitiva, aula .ppt
 
Apresentação ISBET Jovem Aprendiz e Estágio 2023.pdf
Apresentação ISBET Jovem Aprendiz e Estágio 2023.pdfApresentação ISBET Jovem Aprendiz e Estágio 2023.pdf
Apresentação ISBET Jovem Aprendiz e Estágio 2023.pdf
 
Monoteísmo, Politeísmo, Panteísmo 7 ANO2.pptx
Monoteísmo, Politeísmo, Panteísmo 7 ANO2.pptxMonoteísmo, Politeísmo, Panteísmo 7 ANO2.pptx
Monoteísmo, Politeísmo, Panteísmo 7 ANO2.pptx
 
classe gramatical Substantivo apresentação..pptx
classe gramatical Substantivo apresentação..pptxclasse gramatical Substantivo apresentação..pptx
classe gramatical Substantivo apresentação..pptx
 
LENDA DA MANDIOCA - leitura e interpretação
LENDA DA MANDIOCA - leitura e interpretaçãoLENDA DA MANDIOCA - leitura e interpretação
LENDA DA MANDIOCA - leitura e interpretação
 
M0 Atendimento – Definição, Importância .pptx
M0 Atendimento – Definição, Importância .pptxM0 Atendimento – Definição, Importância .pptx
M0 Atendimento – Definição, Importância .pptx
 

Mecanismos de proteção da privacidade das informações de prontuário eletrônico de pacientes de instituições de saúde

  • 1. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Programa de Pós-Graduação em Administração (PPGAd) Mestrado em Administração e Negócios (MAN) Odirlei Antonio Magnagnagno Orientadora: Profª. Drª. Edimara Mezzomo Luciano IDENTIFICAÇÃO DE MECANISMOS DE PROTEÇÃO DA PRIVACIDADE DAS INFORMAÇÕES DO PRONTUÁRIO ELETRÔNICO DE PACIENTES DE INSTITUIÇÕES DE SAÚDE
  • 2. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS ESTRUTURA DA APRESENTAÇÃO ▪ Introdução ▪ Referencial Teórico ▪ Metodologia ▪ Resultados ▪ Considerações Finais
  • 3. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS DELIMITAÇÃO DO TEMA - Privacidade da Informação - Privacidade das Informações na Saúde - Prontuário eletrônico - Privacidade das informações do paciente no prontuário eletrônico - Mecanismos de proteção da informação contidas no prontuário eletrônico ACQUISTI e GROSSKLAGS, 2007; GAERTNER e SILVA, 2005; FRANCISCONI e GOLDIM,1998; LUCIANO, BRAGANÇA e TESTA , 2011; LI, 2012
  • 4. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS PROBLEMA DE PESQUISA - Situações de quebra de privacidade com a utilização de prontuário eletrônico - Como manter a integridade da informação do paciente, desde o seu registro, acesso e armazenamento Quais mecanismos podem ser adotados para preservar a privacidade das informações do paciente, presentes no prontuário eletrônico? BULGURCU et al., 2010; ALBRECHTSEN e HOVDEN, 2009; HERATH e RAO,2009; ABRAHÃO, 2003; NG et al.,2009; GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; GOLDIM e FRANCISCONI, 2005
  • 5. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS OBJETIVO GERAL • Identificar os mecanismos que podem contribuir para preservar a privacidade das informações registradas no prontuário eletrônico do paciente OBJETIVOS ESPECÍFICOS - Identificar os documentos regulatórios e normativos que possam conter mecanismos de privacidade das informações - Identificar e classificar as práticas de privacidade das informações dos casos estudados - Classificar os mecanismos identificados nos Documentos Regulatórios e Normativos e os mecanismos encontrados nos Estudos de caso
  • 6. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS JUSTIFICATIVA - Tentativa de maximizar a segurança da informação (LIGINLAL et al., 2009) - Grande volume de dados sigilosos no prontuário (ABRAHÃO, 2003; GOLDIM e FRANCISCONI, 2005) - Muitos indivíduos com acesso ao prontuário eletrônico (GOLDIM e FRANCISCONI, 2005) - A informação pessoal tem muito valor é uma grande moeda de troca (HAMELINK, 2000) - Desafio de colocar em prática os meios de proteção (ACQUISTI e GROSSKLAGS, 2005; TRCEK et al., 2007)
  • 7. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS REFERENCIAL TEÓRICO ➢ USO DE TI NA ÁREA DE SAÚDE GOLDSTEIN, 2010; OLIVEIRA, 2012; XU et al., 2012; KALORAMA, 2007; ABU-DALBOUH, 2014; GAERTNER e SILVA, 2005; LOHR, 2012; MASSAD et al., 2003; ABRAHÃO, 2003; CAMPARA et al., 2013; COSTA, 2003 ➢ PRIVACIDADE DE INFORMAÇÕES LEIKO-LILLPI et al., 2001; LOCH, 2003; FADEN e BEAUCHAMP, 1986; ALDERMAN e KENNEDY, 1995; WESTIN, 1967; ANDERSON e MOORE, 2006; HENDERSON e SNYDER, 1999; BRAGANÇA, 2010; DOURISH e ANDERSON, 2006; D’ARCY e HOVAV, 2009; HERATH e RAO, 2009; BULGURCU et al., 2010 ➢ PRIVACIDADE DE INFORMAÇÕES NA SAÚDE BULGURCU et al.,2010; VANCE et al.,2012; FERREIRA e ARAÚJO, 2008; BRAGANÇA et al., 2010; SIPONEN, 2000; NRC,1997; WIN et al.,2006; MERCURI, 2004; APPARI e JOHNSON, 2008; LUCIANO e KLEIN, 2014; SÊMOLA, 2003; SMITH, 1996; LEINO KILPI et al., 1999; LIGINLAL et al., 2009; GOLDIM e FRANCISCONI, 2004; MOTTA, 2003; RAMAN, 2007; FONTES, 2006; MOREIRA, 2001; PUPULIM e SAWADA, 2002 ➢ SEGURANÇA DA INFORMAÇÃO VON SOLMS e VON SOLMS, 2004; ISO/IEC 27002, 2005; LUCIANO e KLEIN, 2014; SÊMOLA, 2003; ISO/IEC 27001, 2006; ABRAHÃO, 2003 ➢ DOCUMENTOS REGULADORES DE PRIVACIDADE EM HOSPITAIS BAUMER, 2000, ANS, 2013; MENDES, 2009; CAMPARA et al., 2013; ONA 2014; ALONSO et al., 2014; JCI, 2014; EMIDIO, 2013; CAMPOS, 2008
  • 8. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Classificação da pesquisa Estratégia de pesquisa: Pesquisa exploratória descritiva de corte transversal; Tipo de Dados: Qualitativos Coleta de Dados: Análise de Documentos, entrevistas e observação Análise de Dados: Análise de dados categorial Método de Pesquisa MATTAR, 1999; MALHOTRA, 2001; BARDIN, 2010 .
  • 9. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Documentos Regulatórios e Normativos Análise de 17 referências bibliográficas SIMIONATO, SANT’ANA e SANTOS, 2013; MENDES, 2009; SALVADOR e ALMEIDA, 2005; OLIVEIRA, 2012; FABRI, 2003; PATRÍCIO et al, 2011; GAERTNER e SILVA, 2005; ALONSO, DROVAL, FERNEDA e EMÍDIO, 2014; JUNIOR e SANTOS, 2013; BRAGANÇA, LUCIANO e TESTA, 2010; KLEIN, 2014; APPARI e JOHNSON, 2008; KAMEDA e PAZELLO, 2013; BRAGANÇA, 2010; LOUREIRO, 2008; MARQUES, 2013; WAINER, 2008; KOBAYASHI e FURUIE, 2006 Critérios de seleção Estudos de Caso Caso 1 -Um dos hospitais mais importantes do Brasil e da América Latina - Com 5 mil colaboradores Caso 2 - Um dos maiores Hospitais públicos Brasileiros - Com 6 mil colaboradores
  • 10. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Desenho de Pesquisa
  • 11. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Fase 1 – Documentos Regulatórios e Normativos - Foram selecionados através de artigos - Analisados com a finalidade de encontrar mecanismos - Criado um quadro com o Objetivo e aplicação de cada documento - Os mecanismos encontrados foram agrupados Técnicas de coleta de dados
  • 12. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Fase 2 - Estudo de caso Entrevista Semiestruturada 5 Entrevistas hospital Beta 4 Entrevistas no hospital Gama Gravadas , transcritas a analisadas Agrupadas por Hospital individualmente com a relação de cada mecanismo encontrado Técnicas de coleta de dados
  • 13. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Fase 2 - Estudo de caso Documentos internos 1 documento fornecido pelo hospital Beta (PSI) 2 documentos fornecidos pelo hospital Gama (PSI) e Políticas de Redes Sociais Observações Visitas, conversas informais e consulta de sites Os mecanismos foram agrupadas em um quadro por Hospital considerando as 3 técnicas. Unificação de todas as técnicas dos 2 casos Técnicas de coleta de dados
  • 14. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Agrupamento das Abordagens - Unificação dos Mecanismos das duas abordagens Análise de Documentos x Estudos de Caso. - Classificação dos mecanismos, com a revisão auxiliada por 2 experts. Tipo – Estrutura, Processo ou Relacionamento GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Requisito de Segurança – Confidencialidade, Integridade, Disponibilidade, Autenticidade, Confiabilidade, Conformidade ou Irrefutabilidade LUCIANO e KLEIN, 2014 Eixo de ação – Vulnerabilidade, Salvaguarda, Detecção, Punição ou Conscientização ALBRECHTSEN e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009
  • 15. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS RESULTADOS Código Tipo de Documento DE1 Norma ABNT NBR ISO/IEC 27001 DE2 TISS - Troca de Informação em Saúde Suplementar DE3 Resolução CFM Nº 1.821 DE4 Código de Ética Médica - Brasil DE5 Código de Ética dos Profissionais de Enfermagem DE6 Constituição Federal DE7 Código Civil (lei 10.406) DE8 Código de Defesa do Consumidor (lei 8.078) DE9 Código Penal (lei nº 2.848) DE10 Código de Ética da IMIA para Profissionais de Informática em Saúde DE11 Lei de Acesso à informação (lei nº 12.527) DE12 Política Nacional de Informação e Informática em Saúde (PNIIS) DE13 HIPAA - Health Insurance Portability and Accountability Act DE14 ISO / TC 215 DE15 NBR ISO/IEC 27002 DE16 Marco Civil da internet DE17 A Infraestrutura de Chaves Públicas ICP-Brasil MP Nº 2.200-2 DE18 Manual de Acreditação da ONA DE19 Manual de Acreditação da Joint Commission International (JCI) DE20 PIPEDA- “Personal Information Protection and Electronic Documents Act” Documentos Regulatórios e Normativos
  • 16. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Análise de Documentos Regulatórios DE.. - Documentos Regulatórios e Normativos MDE.. – Mecanismos Localizados nos documentos Regulatórios e Normativos
  • 17. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Estudos de Caso CódigoGênero Idade Escolaridade Área de Formação Cargo Experiência profissional/Anos de empresa EB1 F 41 Especialização Informática Administrador de Projetos na área de Inovação 21/6 EB2 M 37 Especialização Informática Gerente de Infraestrutura 18/1 EB3 M 29 Especialização Informática Analista de Negócios 11/11 EB4 M 31 Especialização Informática Administrador de Projetos 10/8 EB5 M 36 Graduação Informática Analista de suporte técnico Pleno 18/7 Entrevistados – Hospital Beta Entrevistados – Hospital Gama Código Gênero Idade Escolaridade Área de Formação Cargo Experiência profissional/Anos de empresa EG1 M 38 Especialização Administração Coordenador de TI 10/10 EG2 F 43 Especialização Administração – Ênfase em Análise Chefe do setor de Segurança da Informação 17/15 EG3 F 49 Graduação Administração – Ênfase em Análise Chefe do Setor de Sistemas Assistenciais 23/23 EG4 M 25 Graduação Informática Analista de TI 5/5
  • 18. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Estudos de Caso 22 20 5 10 18 0 5 10 15 20 25 EB1 EB2 EB3 EB4 EB5 33 25 10 24 0 5 10 15 20 25 30 35 EG1 EG2 EG3 EG4 Total de mecanismos identificados por entrevistado–Hospital Gama Total de mecanismos identificados por entrevistado–Hospital Beta Total de Mecanismos = 41 Total de Mecanismos = 32
  • 19. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Estudos de Caso 32 14 17 0 5 10 15 20 25 30 35 40 Entrevistas Documentos Observações Total de mecanismos por técnica de coleta de dados Estudo de Caso Beta Total de Mecanismos = 36
  • 20. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Estudos de Caso 41 17 19 0 10 20 30 40 50 Entrevistas Documentos Observações Total de mecanismos por técnica de coleta de dados Estudo de Caso Gama Total de Mecanismos = 43
  • 21. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Estudos de Caso Código Mecanismos BETA GAMA TG E D O T E D O T MEC1 Implantar e manter um Sistema de Gestão da Segurança da Informação 2 1 3 2 1 1 4 7 MEC2 Ter uma pessoa responsável pela Política de Segurança da Informação 2 2 2 1 3 5 MEC3 Identificar e autenticar o usuário em sistemas, arquivos, portais ou webservices 5 1 1 7 3 2 1 6 13 MEC4 Determinar a qualidade da senha e o período máximo de obrigatoriedade de troca da mesma e o bloqueio por muitas tentativas 4 1 5 2 2 1 5 10 MEC5 Utilizar o certificado digital (Chave pública para autenticação) para prontuários eletrônicos 1 1 2 2 1 3 5 MEC6 Controlar e armazenar os prontuários eletrônicos num sistema especializado em GED 0 2 2 2 MEC7 Possuir uma Comissão de Revisão de Prontuários 1 1 3 1 4 5 MEC8 Instruir o médico e enfermeiro a não divulgar casos de exemplos que possam ser identificados, mesmo informalmente. 2 1 3 3 3 6 MEC9 Prevenir para que médicos e enfermeiros não conversem com pacientes a respeito de diagnósticos em áreas públicas. 1 1 2 2 1 3 5 MEC10 Enviar comunicados constantemente aos colaboradores, orientando como o hospital pode divulgar informações e também como ele protege as informações. 2 1 3 2 1 3 6 MEC11 Treinar constantemente os colaboradores a respeito de políticas e procedimentos de acordo com a sua atuação no trabalho 4 1 5 2 1 3 8 MEC12 Instalar Antivírus, VPN e firewall 2 1 3 1 1 2 5 MEC13 Liberar acesso dos prontuários eletrônicos aos colaboradores da TI, somente àqueles com necessidades legitimas e relevantes. 4 1 5 3 3 8 MEC14 Ter estrutura física apropriada para a coleta, armazenagem, recuperação, processamento e acesso das informações. 3 1 1 5 2 1 1 4 9 MEC15 Planejar as atividades, avaliando as condições operacionais e infraestrutura, para executar as tarefas de forma segura. 1 1 3 1 4 5 E – Entrevistas; D – Documentos Internos; O- Observações; T- Total por Caso ; TG – Total Geral Total de Mecanismos = 48
  • 22. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Cód Mecanismo Documentos Regulatórios /Normativos Estudos de Caso Total M1 Identificar e autenticar o usuário em sistemas, arquivos, portais ou webservices MDE3 MEC3 19 M2 Ter estrutura física apropriada para a coleta, armazenagem, recuperação, processamento e acesso das informações. MDE14 MEC14 17 M3 Treinar constantemente os colaboradores a respeito de políticas e procedimentos de acordo com a sua atuação no trabalho MDE11 MEC11 16 M4 Impor sanções adequadas para os que violam as políticas de privacidade MDE19 MEC19 16 M5 Enviar comunicados constantemente aos colaboradores, orientando como o hospital pode divulgar informações e também como ele protege as informações. MDE10 MEC10 14 M6 Criar e divulgar aos colaboradores uma política de privacidade MDE27 MEC26 14 M7 Implantar e manter um Sistema de Gestão da Segurança da Informação MDE1 MEC1 13 M8 Liberar acesso dos prontuários eletrônicos aos colaboradores da TI, somente àqueles com necessidades legitimas e relevantes. MDE13 MEC13 13 M9 Instalar Antivírus, VPN e firewall MDE12 MEC12 12 M10 Liberar acesso aos dados relevantes somente para pessoas devidamente autorizadas MDE17 MEC17 12 M11 Determinar a qualidade da senha e o período máximo de obrigatoriedade de troca da mesma e o bloqueio por muitas tentativas MDE4 MEC4 11 M12 Ter uma pessoa responsável pela Política de Segurança da Informação MDE2 MEC2 10 M13 Utilizar o certificado digital (Chave pública para autenticação) para prontuários eletrônicos MDE5 MEC5 10 M14 Criptografar o tráfego externo de informações MDE25 MEC24 10 M15 Instruir o médico e enfermeiro a não divulgar casos de exemplos que possam ser identificados, mesmo informalmente. MDE8 MEC8 9 Documentos Regulatórios e Normativos x Estudos de Caso M.. – Código do Mecanismo Unificado; MD.. – Mecanismo identificado nos Documentos Reguladores ; MEC... Mecanismo identificado nos Estudos de Caso. Total de Mecanismos = 50
  • 23. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Mecanismos de Estrutura (Código/Nome/Quantidade de citações) Requisito* 1 Área de qualidade para controlar os documentos -2 X CONFD 2 Comissão de Revisão de Prontuários - 6 X CONFM 3 Controle e armazenamento dos prontuários eletrônicos em um sistema especializado em GED - 3 X DISP 4 Estrutura física adequada para o gerenciamento do SI - 17 X DISP 5 Implantação e manutenção do Sistema de Gestão da Segurança da Informação - 13 X CONFD 6 Instalação de Antivírus, VPN e firewall - 12 X CONFD 7 Pessoa responsável pela Política de Segurança da Informação - 10 X CONFD 8 Proteções internas para a conexão de um novo hardware ou software na rede - 8 X CONFD 9 Quantidade de profissionais dimensionados de acordo com a realidade da organização ou departamento - 8 X DISP Tipo de Mecanismo: GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Eixo de ação: ALBRECHTSEN e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009 Requisito de Segurança: LUCIANO e KLEIN, 2014
  • 24. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Mecanismos de Processo (Código/Nome/Quantidade de citações) Requisito* 10 Acesso do prontuário somente no momento da internação - 4 X CONFD 11 Acesso dos prontuários eletrônicos aos colaboradores da TI, somente àqueles com necessidades legitimas e relevantes - 13 X CONFD 12 Análise dos antecedentes de candidatos a empregos de cargos que têm acesso a informação sigilosa - 2 X INT 13 Análise regular da segurança dos Sistemas de Informação - 7 X CONFD 14 Anulação imediata dos acessos do empregado demitido - 4 X CONFD 15 Armazenamento de logs de acesso e logs de alterações realizadas no prontuário do paciente - 9 X CONFM 16 Backup estruturado das informações - 8 X DISP 17 Bloqueio de utilização de mídias de gravação (pendrive), acesso a repositórios na internet e e-mail externo - 1 X INT 18 Ciência da leitura dos termos de Segurança da Informação -3 X CONFD 19 Coleta somente dados relevantes dos clientes/pacientes - 3 X INT 20 Criação de uma integração de login e senha válidos para todos os sistemas - 2 X IRR 21 Criptografia para o tráfego externo de informações - 10 X AUT 22 Cursos e treinamentos a distância obrigatórios com provas e avaliações de teste de conhecimento - 5 X CONFD 23 Definição de regras para transmissão de dados externos - 7 X INT 24 Determinação de máscara de senha e tempo máximo de troca de senha e bloqueio por muitas tentativas - 11 X CONFD 25 Divisão das funções dos colaboradores nos sistemas - 4 X INT 26 Identificação e autenticação dos usuários - 19 X CONFB 27 Inativação do sistema por tempo ocioso - 4 X CONFD 28 Liberação do acesso aos dados relevantes somente para pessoas devidamente autorizadas - 12 X CONFD 29 Monitoramento constantemente das atividades incomuns de processamento da informação - 7 X CONFM 30 Não utilização do celular, principalmente no beira leito -2 X INT 31 Obrigatoriedade de assinatura do termo de conduta na contratação - 5 X CONFB 32 Penalização com multa -1 X CONFM 33 Planejamento das atividades, para executar as tarefas com segurança- 8 X DISP 34 Plano de contingência para desastres com informações - 9 X DISP 35 Política pública especifica para a privacidade da informação no Brasil-2 X INT 36 Prevenção no posicionamento de computadores próximos a corredores - 3 X CONFD 37 Sanções adequadas para os que violam as políticas de privacidade-16 X CONFM 38 Software de HIS adequado e de boa qualidade - 7 X CONFD 39 Treinamento constante para os colaboradores - 16 X CONFD 40 Utilização de nomes fictícios nas bases de testes e homologações - 4 X INT 41 Utilização do certificado digital nos prontuários eletrônicos - 10 X CONFB Tipo de Mecanismo: GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Eixo de ação: ALBRECHTSEN e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009 Requisito de Segurança: LUCIANO e KLEIN, 2014
  • 25. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Mecanismos de Relacionamento (Código/Nome/Quantidade de citações) Requisito* 42 Criação e divulgação aos colaboradores da política de privacidade - 13 X CONFM 43 Disponibilização das políticas de Segurança da Informação aos clientes -1 X INT 44 Divulgação dos meios de segurança de SI antes da implantação - 4 X INT 45 Envio de comunicados constantes aos colaboradores, orientando sobre a proteção da informação - 16 X CONFM 46 Instrução informal de médicos e enfermeiros a não divulgar casos - 9 X CONFM 47 Intranet para consulta dos documentos de políticas - 9 X DISP 48 Manutenção das informações dos clientes apenas o tempo necessário por lei - 4 X DISP 49 Prevenção para que os colaboradores não conversem com pacientes a respeito de diagnósticos em áreas públicas - 6 X CONFM 50 Valorização e premiação pelo cumprimento da Segurança da Informação - 4 X CONFD Tipo de Mecanismo: GULDENTOPS, VAN GREMBERGEN e DE HAES, 2004; WIEDENHOFT, 2013 Eixo de ação: ALBRECHTSEN e HOVDEN, 2009; LIGINLAL et al., 2009; BULGURCU et al., 2010; HERATH e RAO, 2009; D’ARCY e HOVAV, 2009 Requisito de Segurança: LUCIANO e KLEIN, 2014
  • 26. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Tipo de mecanismo X Requisito de Segurança Tipo de mecanismos Total Citações Requisitos CONFD INT DISP AUT CONFB CONFM IRR Estrutura 9 79 5 0 3 0 0 1 0 Processo 32 217 12 8 3 1 3 4 1 Relacionamento 9 65 1 2 2 0 0 4 0 TOTAL 50 361 18 10 8 1 3 9 1 Legenda: CONFD–Confidencialidade; INT–Integridade; DISP–Disponibilidade; AUT-Autenticidade; CONFB – Confiabilidade; CONFM – Conformidade; IRR - Irrefutabilidade
  • 27. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Eixo de Ação Estrutura Processo Relacionamento TOTAL QTD* CIT** QTD CIT QTD CIT QTD CIT Vulnerabilidade 1 3 1 19 1 9 3 31 Salvaguarda 8 76 26 160 4 18 38 254 Detecção 0 0 1 1 0 0 1 1 Punição 0 0 2 17 0 0 2 17 Conscientização 0 0 2 20 4 38 6 58 TOTAL 9 79 32 217 9 65 50 361 Eixo de Ação X Tipo de mecanismo Legenda: * QTD – Quantidade de mecanismos ; ** CIT – Total de Citações dos mecanismos
  • 28. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Contribuições Considerações Finais - Mostrar em quais documentos Regulatórios e Normativos os hospitais podem se basear - Relação dos Mecanismos que possam ser utilizados em hospitais para a proteção da informação - Os Hospitais estão se concentrando muito em apenas um eixo de ação, que é a Salvaguarda - Os hospitais possuem alguns mecanismos, mas ainda ocorrem incidentes - É necessário ter uma lei específica no Brasil a respeito de Segurança da Informação
  • 29. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Limitações CONCLUSÕES - As entrevistas dos Estudos de Caso foram somente com pessoal de TI - Os Estudos de Caso foram realizados em somente dois hospitais - Alto custo de alguns documentos, impossibilitando a análise na íntegra
  • 30. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Pesquisas Futuras CONCLUSÕES - Identificar os fatores críticos de sucesso em cada mecanismo encontrado nesse trabalho - Fazer uma pesquisa com novos hospitais. Para validar e classificar os mecanismos fazer um Grupo de Foco para identificar os mecanismos mais relevantes - Realizar uma revisão com um grupo maior de especialistas dos mecanismos encontrados para qualificá-los e agrupar - Analisar detalhadamente os documentos do comitê da ISO/TC 215, explorando formas de viabilizar a sua aquisição
  • 31. A Escola de Negócios da PUCRSA Escola de Negócios da PUCRS Programa de pós-Graduação em Administração (PPGAd) Mestrado em Administração e Negócios (MAN) Orientando: Odirlei Antonio Magnagnagno Orientador: Profª. Drª. Edimara Mezzomo Luciano MUITO OBRIGADO!