A distinção entre portal interno e extranet em um CHU não se reduz a uma questão de perímetro de rede. Ela envolve escolhas de arquitetura que determinam a superfície de ataque, a granularidade das permissões e a capacidade de rastrear usos anormais. Observamos que a maioria das instituições ainda trata essa questão como um simples arbitramento técnico, enquanto ela diz respeito, antes de tudo, à gestão de risco aplicada aos dados de saúde.
Segmentação dos acessos de agentes CHU por nível de risco
Um portal interno (intranet) e um extranet não protegem os mesmos recursos com a mesma intensidade. O verdadeiro critério de escolha não é a localização geográfica do agente, mas a sensibilidade do recurso ao qual ele acessa.
Em uma intranet clássica, o agente conectado à rede cabeada ou ao Wi-Fi profissional do CHU se beneficia de um primeiro nível de confiança relacionado à infraestrutura física. As aplicações críticas (prontuário do paciente, prescrição, vigilância de identidade) permanecem restritas a esse perímetro. O extranet abre um segundo canal, destinado a conexões fora do local, mas esse canal exige controles compensatórios que muitas instituições subdimensionam.
Recomendamos mapear cada aplicação do SIH de acordo com três níveis: acesso restrito à rede interna apenas, acesso remoto com autenticação reforçada, acesso aberto em portal web padrão. Esse mapeamento condiciona a escolha da arquitetura muito mais do que o orçamento ou a marca da solução escolhida. Um artigo detalhado sobre o acesso de agentes CHU no Tranquilidade Saúde descreve precisamente as diferenças funcionais entre esses dois modos.
Autenticação multifator e SSO federado: o que muda para o extranet hospitalar
A autenticação multifator é um pré-requisito, não uma opção. Em um portal interno, a própria rede constitui um fator implícito de confiança. Em um extranet, esse fator desaparece. O agente que se conecta de sua casa, de um posto de guarda remoto ou de um terminal móvel deve provar sua identidade por pelo menos dois meios independentes.
O erro frequente diz respeito ao registro MFA. Em vários CHUs, a associação entre a conta do agente e a aplicação de autenticação (tipo Microsoft Authenticator) deve ser feita obrigatoriamente a partir da rede interna. Tentar a operação a partir de uma rede externa bloqueia o procedimento sem mensagem de erro explícita. Esse ponto técnico, raramente documentado nos guias do usuário, gera um volume significativo de chamados ao suporte de TI.
A arquitetura SSO federada simplifica a experiência do agente unificando a autenticação em todas as aplicações (e-mail, portal de RH, gestão do tempo de trabalho, intranet documental). Em contrapartida, ela multiplica as portas de entrada. Cada caminho de conexão deve ser coberto pela mesma política de segurança, seja no portal web, no aplicativo móvel ou no cliente pesado VPN.
VPN ou reverse proxy: duas filosofias de acesso remoto
A VPN cria um túnel criptografado que conecta virtualmente o terminal remoto à rede interna. O reverse proxy expõe apenas as aplicações publicadas, sem expandir o perímetro da rede. A escolha depende do perfil de uso:
- A VPN é adequada para agentes que usam aplicações pesadas que requerem uma conexão de rede completa (imagem, bancos de dados locais).
- O reverse proxy é suficiente para usos web (e-mail, consulta de agenda, portal de RH) e reduz a superfície de ataque ao publicar apenas os serviços estritamente necessários.
- Um modelo híbrido, onde a VPN é reservada para perfis técnicos e o reverse proxy para agentes funcionais, é o compromisso mais frequente em CHUs de tamanho intermediário.
Permissões dos intervenientes externos: o elo fraco do SIH
Os guias de acesso de agentes CHU se concentram no pessoal titular. Os intervenientes externos (médicos liberais, temporários, prestadores de manutenção biomédica, parceiros de pesquisa) representam, no entanto, um risco específico que nem o portal interno nem o extranet padrão tratam corretamente sem configuração dedicada.
Uma conta genérica compartilhada entre vários intervenientes externos é uma falha de segurança. As recomendações atuais impõem contas individuais, revogação rápida das permissões ao final da missão e a aplicação rigorosa do princípio da necessidade de saber. Um temporário que atua três dias por mês em cardiologia não tem razão para acessar o módulo de prescrição de psiquiatria.
O extranet oferece aqui uma vantagem estrutural sobre o portal interno: permite criar perímetros de acesso isolados, com durações de validade configuráveis e uma rastreabilidade completa das conexões. O portal interno, projetado para agentes permanentes, gerencia mais difícilmente esses perfis de geometria variável.
Registro e detecção de usos anormais no portal de agentes
Um controle de acesso inicial, por mais robusto que seja, não protege contra uma comprometimento de conta. A diferença entre um portal bem dimensionado e um portal vulnerável reside no que acontece após a autenticação.
O portal deve registrar cada conexão e identificar comportamentos atípicos: volumes de extração incomuns, conexões em horários incoerentes com a agenda do agente, acessos simultâneos de duas localizações geográficas distintas. Esses sinais fracos são os primeiros indicadores de uma conta comprometida.
Em uma intranet, o registro geralmente se baseia nos logs do controlador de domínio e dos servidores de aplicações. Em um extranet, deve ser centralizado no nível do portal em si, pois as conexões transitam por caminhos heterogêneos. Observamos que as instituições que sofreram incidentes de segurança geralmente tinham um registro parcial, cobrindo a autenticação, mas não as ações pós-conexão.
- Verificar se o portal rastreia os acessos aos prontuários dos pacientes individuais, não apenas as conexões das aplicações.
- Configurar alertas automáticos sobre extrações massivas de dados (exportações CSV, impressões em série).
- Realizar uma revisão trimestral das contas ativas para desativar as permissões obsoletas, especialmente para os intervenientes externos.
A escolha entre portal interno e extranet não se resume a uma arquitetura de rede. Ela envolve a capacidade do CHU de aplicar políticas de segurança diferenciadas de acordo com o perfil, o local de conexão e a sensibilidade dos dados consultados. Um extranet bem configurado protege melhor do que uma intranet mal supervisionada. A questão pertinente não é qual portal implantar, mas qual nível de controle a instituição está disposta a manter a longo prazo.
