Centenas de milhares de pacientes avisados depois de um vazamento: o plano que sua PME não tem

Uma notificação que ninguém quer escrever

A CareCloud, empresa de tecnologia para saúde nos Estados Unidos, começou a notificar centenas de milhares de pacientes depois que, segundo a TechCrunch, hackers "stole medical records" — roubaram prontuários médicos armazenados em seus sistemas. Não é o primeiro caso do tipo e não vai ser o último. Empresas de saúde são alvo recorrente porque o dado médico vale mais no mercado paralelo do que número de cartão de crédito: não expira, não se cancela, e serve para fraude por anos.

Só que o detalhe que interessa pra quem lê esse blog não é o ataque em si. É o intervalo entre "descobrimos o vazamento" e "avisamos o cliente". Esse intervalo é onde se mede se uma empresa tem processo ou tem improviso.

O vazamento não é o problema — é o que vem depois

Toda empresa que guarda dado sensível — e hoje isso inclui praticamente qualquer PME com CRM, prontuário, folha de pagamento ou histórico de atendimento — vai, mais cedo ou mais tarde, lidar com algum tipo de incidente. Pode ser um vazamento grande como o da CareCloud, pode ser um link do Google Drive compartilhado com a pessoa errada, pode ser uma planilha anexada num e-mail que não devia sair da empresa.

O que separa a empresa que sobrevive ao incidente da que vira manchete não é a segurança perfeita — essa não existe. É ter, antes do problema acontecer, uma resposta pronta para três perguntas: quem foi afetado, o que foi exposto, e quem precisa ser avisado e em quanto tempo. Empresa que só começa a responder essas perguntas depois que o incidente já estourou perde dias preciosos e, geralmente, perde também a confiança de quem foi avisado tarde demais.

As quatro perguntas que expõem se você tem um plano

Faça esse teste rápido na sua operação:

1. Se um vazamento acontecesse hoje, você saberia em quantas horas o que foi exposto? Se a resposta envolve "vamos ter que perguntar pro TI" ou "depende de quem estiver de plantão", o plano não existe — existe só a expectativa de que vai dar tempo.
2. Você sabe, sem pesquisar, quais sistemas guardam dado sensível de cliente? CRM, financeiro, WhatsApp Business, planilha da equipe comercial — se essa lista não está escrita em algum lugar, ela só existe na cabeça de quem construiu cada sistema.
3. Existe um texto-modelo de comunicação para clientes afetados? Escrever essa mensagem sob pressão, no dia do incidente, é sempre pior do que ter um rascunho revisado com calma.
4. Alguém é formalmente responsável por essa decisão? Sem um dono claro, a decisão de avisar (ou não avisar) vira debate interno no pior momento possível.

Onde isso entra na camada C3 (e por que muita empresa nem sabe)

Na metodologia Growth Tech, chamamos de camada C3 — Sistemas e Dados — o mapa de onde a informação da empresa está guardada, dispersa ou estruturada. Um dos motivos pelos quais fazemos esse mapeamento antes de qualquer projeto de IA não é só para a IA funcionar melhor: é porque nenhuma empresa consegue proteger o que não sabe que tem. A mesma pergunta "onde está o dado e quem acessa" que usamos para viabilizar um projeto de inteligência artificial é a pergunta que sustenta qualquer plano de resposta a incidente.

É por isso que, no nosso Raio-X inicial, mapear sistemas e dispersão de dados não é um item de segurança "à parte" — é pré-requisito do mesmo jeito que é pré-requisito para IA. Governança de dados e prontidão para IA nascem do mesmo mapa.

O que fazer essa semana, mesmo sem incidente nenhum

Não é preciso um orçamento de segurança da informação para dar o primeiro passo. Reúna, num único documento, a lista de sistemas que guardam dado de cliente, quem tem acesso a cada um, e um rascunho de comunicado de incidente. Isso não evita o ataque — nada evita 100% dos ataques — mas transforma o pior dia da empresa de um caos de decisões improvisadas em uma execução de plano.

Se a sua operação ainda roda no manual e no achismo, fale com a AI Start no WhatsApp e veja em 15 minutos como ficaria aí.