Setenta e três processos por minuto durante cinco dias, e ninguém deu por isso

O número a olhar não é quinhentos mil euros, nem sequer setecentas mil pessoas. É setenta e três: processos clínicos retirados por minuto, durante cinco dias seguidos, sem que um único alerta disparasse. Um ritmo assim não se parece com nada que um ser humano produza a trabalhar, e um sistema que não o distingue do trabalho normal não é um sistema vigiado.

• A entrada fez-se com credenciais legítimas de um médico, comprometidas noutro lado: do ponto de vista do sistema era um acesso autorizado.
• No processo clínico não estava ativa a autenticação multifator, que teria tornado aquelas credenciais inúteis por si só.
• Não existia nenhuma ferramenta capaz de detetar atividade anómala: nem limiares, nem avisos, nem registos lidos por alguém.
• A CNIL impôs a revisão das autorizações de acesso em quinze meses e um registo eficaz dos acessos em três, com uma sanção de 1 000 euros por cada dia de atraso.

As duas injunções mostram como a autoridade leu o caso. Três meses para os registos, quinze para as autorizações: os prazos diferentes não são uma benevolência, são uma prioridade. Rever quem pode ver o quê num hospital é trabalho longo e tem de ser bem feito; reparar que alguém está a descarregar o arquivo é algo que se tem de conseguir fazer já.

O art. 32.º exige medidas adequadas ao risco, e num arquivo de saúde o risco não é só que alguém entre: é que fique lá dentro sem ser visto. A prevenção tem um limite conhecido — as credenciais roubam-se, e estas tinham sido roubadas noutro lado — ao passo que a deteção é a única coisa que funciona depois de a prevenção já ter falhado. É a parte que nos orçamentos chega sempre em segundo lugar, e é a parte que a CNIL mediu.