“A Sociedade Brasileira de Informática em Saúde (SBIS) criou e administra desde 2006 um processo de certificação de Sistemas de Registro Eletrônicos de Saúde, que inclui uma comissão técnica, um diretor executivo e um grupo de especialistas e auditores.”
Por Renato M.E. Sabbatini
É o único pais da América Latina a ter um sistema deste tipo, que usa diversos padrões e normas nacionais e internacionais. Para tal, edita periodicamente novas edições dos manuais de requisitos, que contém as especificações mínimas de segurança da informação, estrutura, conteúdo, funcionalidade, usabilidade e interoperabilidade.
Em outubro de 2020 a SBIS publicou a versão 5.0 dos manuais de requisitos expandindo significativamente o escopo e os requisitos. Agora inclui a certificação para prontuário eletrônico de paciente (PEP) ambulatorial, para consultórios médicos, e para telemedicina.
Pela primeira vez, também, especificam um processo com três graus de maturidade, que podem ser escolhidos pelas empresas para seus softwares, desde o mais elementar até o avançado. Na área de telemedicina, publicou-se também, pela primeira vez, três manuais cobrindo diferentes modalidades: teleconsulta, teleinterconsulta e teletriagem.
Uma característica muito importante da certificação da SBIS que é obrigatória para todos os manuais diz respeito à segurança da informação, a qual, nesses novos manuais procura cobrir os requisitos da LGPD (Lei Geral de Proteção de Dados Pessoais).
Envolve dois grupos de requisitos: o Nível de Garantia de Segurança mais básico (NGS1) e o nível ampliado para o uso de certificados digitais padrão ICP Brasil (Infraestrutura de Chaves Públicas), o NGS2. Não é obrigatório para os PEPs em nível de maturidade mais simples, mas é obrigatório para todas as modalidades de telemedicina.
Analisamos a seguir algumas das novidades na nova NGS2, que aumentou bastante o número e a complexidade dos requisitos. Com relação aos requisitos mais básicos podemos citar:
- O S-RES deve ser capaz de produzir assinaturas usando certificados digitais obrigatoriamente segundo o padrão ICP-Brasil com propósito de assinatura (parâmetro KeyUsage), emitidos por pelo menos duas distintas Autoridades Certificadoras (AC) de primeiro nível, para cada tipo de mídia aplicável (smartcard, token, HSM, chaves em software e PSC);
- As assinaturas digitais geradas devem ser nos formatos avançados (AdES: Advanced Digital Electronic Signatura) CAdES, XAdES ou PAdES seguindo, minimamente, a política AD-RB. A novidade é permitir usar o PAdES, para documentos em PDF;
- Opcionalmente, ao utilizar o padrão PAdES, o S-RES pode ser realizado o encapsulamento dentro do PDF a validação de longo prazo LTV (Long Term Validation), SDO (Signed Data Object) e/ou carimbo de tempo (selo cronológico);
- As assinaturas digitais devem obrigatoriamente incluir a referência de tempo em que foram apostas no documento, seguindo minimamente a política AD-RT (Assinatura Digital com Referências de Tempo), porém o S-RES deve incluir uma funcionalidade que permita a parametrização se as assinaturas digitais realizadas no sistema terão ou não um carimbo de tempo associado. Além disso, a aplicação também deve permitir a parametrização de quais documentos necessitam de assinatura digital com carimbo de tempo;
- O provedor do serviço de carimbo de tempo (ACT: Autoridade de Carimbo de Tempo) deverá ser homologado pela ICP-Brasil;
- A verificação de um carimbo de tempo deve incluir a verificação do certificado de assinatura do carimbo de tempo.
- A autenticação do certificado digital deve ser validada pela aplicação quanto a data de expiração, data de revogação, correspondência dos valores CPF do usuário e do certificado, aderência ao padrão ICP Brasil, validade do PIN, propósito do certificado, certificado com problemas de leitura e cadeia de certificação
Outra novidade é o tratamento de certificados de atributo (CA), que podem ser vários, como o número do Conselho Profissional, como o CRM ou COREN. O CFM fechou uma parceria com o ITI (Instituto de Tecnologia de Informação) para a inclusão desse atributo no padrão.
Dessa forma o S-RES deve ser capaz de tratar certificados de atributo segundo o DOC-ICP-16, a RFC 5755 e o padrão X.509. Esse tratamento inclui a verificação completa da validade do CA, incluindo revogação, principalmente quando forem exigidas assinaturas com a inclusão de (CA), como uma receita de medicamentos, por exemplo.
Os novos requisitos de uso da assinatura digital também se preocuparam em definir melhor e mais explicitamente os casos em que registros ou documentos eletrônicos são importados e exportados.
Ao importar um registro externo assinado digitalmente, o S-RES deve obrigatoriamente validar as assinaturas digitais feitas por certificados compatíveis com ICP Brasil. Caso não consiga, não é permitido incorporar o documento ao PEP, por exemplo, e o usuário deve ser avisado dessa pendência, que fica em uma lista. Até sua resolução.
Já para qualquer exportação de documentos digitais assinados, como prescrições, solicitações de exames, atestados médicos e laudos, a SBIS publicou uma especificação completa, como exemplos, complementar os manuais, intitulada “Especificações Técnicas para Exportação de Documentos Assinados Digitalmente”, disponível no website da SBIS (http://sbis.org.br/documentos-e-manuais ).
Ela foi separada do manual principal pois poderá ser mudada conforme a legislação e normas técnicas do ITI, sem necessidade de recertificar o sistema ou mudar o manual.
Continua a exigência de um tratamento do documento a ser assinado quando houver a falta de algum objeto do certificado ou assinatura, tal como os elementos de validação exigido para cada caso (do certificado, do carimbo de tempo e do certificado de atributo), porém foram simplificados consideravelmente.
Deve haver uma lista de pendências de assinaturas, que deve ser apresentada ao usuário imediatamente após ele se autenticar no sistema. Não foi imposto um limite de tamanho desta lista, que na minha opinião é bastante necessário.
O uso do certificado digital não é obrigatório para a autenticação do usuário, mas se a aplicação implementá-lo, o CD utilizado deve ser o mesmo que para as assinaturas na mesma sessão, e deve seguir o mesmo processo de validação antes de permitir a autenticação do usuário, inclusive o registro de sucesso ou insucesso na trilha de auditoria.
Minha avaliação, como consultor desde 2010 que assessorou mais de 40 softwares certificados, no processo de pré-auditoria, é que a SBIS acertou em manter os requisitos dentro do número e complexidade razoável, removendo alguns que eram desnecessários, e facilitando a tarefa do implementador e do usuário.
Existem vários aspectos técnicos com os quais se depara, que são implícitos, ou seja, que exigem uma complexidade oculta e bastante trabalhosa por parte do desenvolvedor. A aceitação do certificado digital residente na nuvem (HSM gerenciado), como muitas ACs já oferecem, também é um ponto positivo na nova certificação, pois simplifica muito o desenvolvimento de aplicativos móveis, e em situações em que a perda e esquecimento do CD prejudicariam o fluxo de atendimento aos pacientes.
Outro ponto muito positivo, mas que ainda não repercutiu na prática até o momento em que escrevo, é o uso generalizado do certificado de atributo, que permite um melhor gerenciamento gravado no CD quando aos privilégios de acesso dos usuários ao PEP (médico, enfermeiro, etc.)
Para o desenvolvedor, o NGS2 é uma dificuldade natural, por ser bastante técnico e ainda amplamente desconhecido e cheio de dúvida. Neste contexto, a contratação de um consultor para fazer a análise de requisitos e que tenha um conhecimento profundo sobre certificados digitais, é uma sugestão interessante.
A certificação de plataformas de telemedicina para uso da assinatura digital
Sobre o autor
O Dr. Renato M.E. Sabbatini é doutor pela USP, Fellow da International Academy of Health Sciences Informatics e do American College of Medical Informatics, fundador e ex-presidente e diretor de educação da Sociedade Brasileira de Informática em Saúde. CEO da Sabbatini Consulting & Education, especialista em certificação de softwares em saúde e em uso do certificado digital. Contato: renato@sabbatini.com
Copyright © 2020 Renato Marcos Endrizzi Sabbatini. Direitos de reprodução cedidos para a CryptoID.
Um ano de superação e evolução para o mercado da certificação digital
Cadastre-se para receber o IDNews e acompanhe o melhor conteúdo do Brasil sobre Identificação Digital! Aqui!
