Salvaguardas técnicas da HIPAA, traduzidas para times de engenharia

As salvaguardas técnicas da Regra de Segurança são cinco parágrafos curtos de regulação que geram uma quantidade enorme de engenharia confusa. Parte da confusão é estrutural: a regra deliberadamente não prescreve tecnologia, porque precisa valer tanto para uma clínica de duas pessoas quanto para uma operadora nacional.

Este é aquele trecho traduzido para as decisões que um time de fato precisa tomar. Não é aconselhamento jurídico, e a sua análise de risco define as especificidades.

O vocabulário que confunde

Cada salvaguarda é marcada como obrigatória ou endereçável. Endereçável não significa opcional. Significa: implemente, ou documente por que não é razoável e apropriado no seu ambiente e implemente uma alternativa equivalente.

A decisão de não cifrar sem justificativa escrita não é uma decisão endereçável. É um apontamento de auditoria.

As cinco salvaguardas como trabalho de engenharia

Salvaguarda	Situação	O que a satisfaz na prática
Controle de acesso	Obrigatória	IDs únicos, procedimento de acesso emergencial, logoff automático, cifragem
Controles de auditoria	Obrigatória	Registro de atividade nos sistemas com informação protegida, retido e consultável
Integridade	Endereçável	Mecanismos para detectar alteração ou destruição indevida
Autenticação de pessoa ou entidade	Obrigatória	Verificar que quem pede acesso é quem diz ser
Segurança de transmissão	Endereçável	Controles de integridade e cifragem em trânsito

Controle de acesso

IDs únicos é o que pega os times. Uma conta de serviço compartilhada por três engenheiros para consultar produção derruba todo controle a jusante, porque o log de auditoria deixa de atribuir qualquer coisa a uma pessoa.

Logoff automático não é só expiração de sessão na aplicação web. Vale para qualquer interface que alcance a informação protegida, incluindo clientes de banco e ferramentas administrativas.

O procedimento de acesso emergencial é o requisito que os times esquecem por completo: um caminho documentado para alcançar a informação quando a autenticação normal está indisponível, que seja auditável em vez de uma senha compartilhada numa gaveta.

Controles de auditoria

A regra diz registrar atividade. Não diz qual atividade, o que significa que a sua análise de risco decide. Na prática, uma linha de base defensável registra quem acessou qual registro, quando, de onde e o que mudou.

Duas falhas são comuns. A primeira é registrar escrita e não leitura: para informação de saúde, a olhada indevida é o incidente mais provável. A segunda são logs que ninguém consegue consultar, o que cumpre a letra e falha o propósito.

Integridade

Isso trata de detectar alteração indevida, e é onde checksums, restrições de banco e trilhas imutáveis fazem o trabalho. Histórico somente-acrescentar para registro clínico é o padrão usual: correções criam nova versão em vez de sobrescrever, e as duas continuam recuperáveis.

Autenticação

Múltiplo fator para qualquer coisa que alcance produção é a linha de base prática, qualquer que seja o mínimo da regra. A lacuna aqui normalmente não é a aplicação; é o acesso ao redor: a VPN, o console da nuvem, o banco e o sistema de CI/CD que consegue publicar código que lê a informação.

Segurança de transmissão

TLS em toda parte é a parte fácil e está majoritariamente resolvida. As partes que escapam:

• Backups e exportações. Cifrados em repouso, e cifrados para onde quer que sejam enviados.
• Telemetria de terceiros. Rastreadores de erro e gravadores de sessão transmitem o que estiver na tela.
• E-mail e troca de arquivos. Ainda a forma mais comum de a informação sair de uma organização sem cifragem.

O que o checklist não cobre

As salvaguardas técnicas são um de três conjuntos. As administrativas (análise de risco, treinamento, resposta a incidentes) e as físicas (acesso às instalações, controle de dispositivos e mídia) têm peso igual, e as administrativas são onde as auditorias mais se concentram, porque uma análise de risco documentada é a base sobre a qual todo o resto se apoia.

A cifragem também carrega um incentivo específico que vale conhecer: informação protegida cifrada no padrão da orientação da Regra de Notificação de Violação não é considerada violada se for perdida, o que converte um evento reportável em um não evento.

Onde isso encontra o contrato

Se você é fornecedor e não entidade coberta, essas obrigações chegam a você por um Business Associate Agreement, e esse contrato determina por quais delas você responde diretamente. O que aquele documento compromete e o que não está em o que um BAA realmente obriga.

Se um modelo de linguagem está em qualquer ponto do caminho, os requisitos de registro e revisão interagem diretamente com o desenho ao redor dele: veja colocar um LLM em produção.

Como implementamos isso nos projetos está nas nossas práticas de segurança, e o que fazemos e não fazemos com dado de cliente está na política de privacidade.