Hospital Gregorio Marañón implementa segmentação de rede para proteger dispositivos médicos contra ataques cibernéticos

O setor de saúde e a indústria farmacêutica enfrentam um cenário crítico de cibersegurança, onde a vulnerabilidade de sistemas legados e a alta valorização de dados clínicos tornam as instituições alvos constantes. A complexidade do problema é exemplificada pelo Hospital Geral Universitario Gregorio Marañón, que opera com mais de 15 mil dispositivos de rede e 12 mil endereços IP. Entre eles, máquinas de ressonância magnética e analisadores de laboratório funcionam há anos sem atualizações, enquanto a unidade mantém um fluxo intenso de 150 cirurgias e três mil exames diagnósticos por dia.

Estratégias de Defesa e a Arquitetura Zero Trust

Diante da inevitabilidade de ataques, a resposta institucional tem migrado para modelos de prevenção ativa. O Hospital Gregorio Marañón implementou um protocolo que envolve o bloqueio de acessos externos e a segmentação de rede, desenvolvida com a Madrid Digital e apoiada por ferramentas de controle de acesso como a OpenNAC. Essa estrutura é complementada por monitoramento ininterrupto via SOC (Security Operations Center), operando 24 horas por dia.

Em escala regional, a Agência de Cibersegurança da Comunidade de Madrid adotou a arquitetura Zero Trust (confiança zero), que já abrange 500 mil pontos de conexão. O modelo baseia-se na premissa de "nunca confiar, sempre verificar", monitorando não apenas a rede, mas o comportamento dos usuários para identificar movimentações anômalas.

Essa mentalidade de desconfiança total é levada ao extremo por empresas como a Roche, que eliminou a lógica de perímetro ("castelo") e a dependência de VPNs, impedindo que funcionários se conectem diretamente à rede corporativa, independentemente de sua localização.

Vulnerabilidades em Equipamentos Médicos e Fornecedores

Um dos pontos mais frágeis do ecossistema são os dispositivos médicos. A dificuldade de atualização reside nas certificações de fábrica: qualquer patch de segurança pode anular a certificação do equipamento, impedindo modificações posteriores. Para mitigar esse risco, a tendência é o monitoramento e a proteção externa do aparelho em vez de sua substituição.

A partir de 11 de setembro de 2026, a lei de ciberresiliência passará a obrigar fabricantes a notificar todas as vulnerabilidades detectadas, encerrando a dependência da boa vontade das empresas.

Outro gargalo reside na gestão de terceiros. No Hospital Gregorio Marañón, a coexistência de 70 a 80 fornecedores com políticas de segurança distintas — incluindo pedidos de conexões 5G diretas — cria brechas no sistema. No setor farmacêutico, a Almirall monitora a infraestrutura de colaboradores externos com a mesma rigorosidade da rede interna, utilizando a diretiva NIS2 para elevar os padrões de exigência em toda a cadeia de suprimentos.

O Valor Estratégico dos Dados Clínicos

O objetivo final de muitos ataques não é a interrupção do serviço, mas o roubo de informações. Dados clínicos possuem um valor de mercado superior a dados financeiros; em um incidente recente em Barcelona, prontuários médicos foram vendidos por 600 euros cada, superando o valor de lotes de cartões de crédito.

Além do impacto financeiro, o roubo de ensaios clínicos compromete valores estratégicos, científicos e regulatórios, afetando diretamente o desenvolvimento de novos fármacos e o tratamento de pacientes. O desafio atual consiste em equilibrar a proteção rigorosa com a necessidade de compartilhamento de informações entre hospitais e laboratórios, distinguindo o uso primário (assistência ao paciente) do uso secundário (pesquisa científica).