A NOUSEC trata os dois tipos de falha humana dos hospitais juntos: o golpe e o descuido. Contra o golpe, simulação em oito canais e feedback explicativo para cada resposta; contra o erro, medição e responsabilização: classificação de engajamento, aceite de políticas com controle de versão e uma comprovação de conclusão que não pode ser forjada. Como a equipe assistencial trabalha em plantões e costuma compartilhar terminais, a conclusão é verificada no servidor pelos segundos assistidos; um módulo aberto e esquecido entre dois pacientes não conta.
A superfície do e-mail, com os números dela.
Na saúde, as pessoas falham de dois jeitos. A maioria dos programas treina só um.
O golpe sempre leva a atenção. Mas, neste setor, o erro também está entre os três principais padrões de vazamento.
O golpe
Invasão de sistemas e engenharia social: phishing de credenciais de portais clínicos, pretextos que ligam para o suporte de TI e armadilhas de QR code coladas em materiais das salas de espera.
A resposta: simulação multicanal, feedback explicativo que mostra o sinal que denunciava o ataque e treinamento adaptativo para quem cai.
O descuido
Destinatário errado, configuração errada, anexo errado, uma sessão compartilhada que ficou aberta.
A resposta hoje: o módulo de anexos e links maliciosos; o aceite da sua política de tratamento de dados com controle de versão; uma classificação de engajamento que separa quem leu de quem clicou e passou; e um limite de visualização no servidor que impede contar como concluído um módulo pela metade.
Um programa que treina só a desconfiança não toca o terceiro maior padrão de vazamento do setor. É por isso que esta página não é uma cópia da página de serviços financeiros.
A enfermeira do plantão noturno não vai parar para um treinamento de vinte minutos.
Aqui, alcance é questão de formato e canal antes de ser questão de treinamento. Três grupos, três respostas diferentes.
Equipe assistencial e plantonistas
Microformatos: cartazes e infográficos para os setores, módulos curtos que retomam de onde pararam e simulações por QR code, porque é o canal que alcança quem está longe da mesa. Nada exige um aparelho pessoal.
Computadores compartilhados
A conclusão é registrada para a pessoa, no servidor, pelos segundos assistidos; um módulo aberto e abandonado em um terminal compartilhado não conta. E a classificação de engajamento não trata “pulou” e “engajou a fundo” como o mesmo “concluiu”.
Áreas administrativas e de apoio
O grupo em que o envio ao destinatário errado e o comprometimento de e-mail corporativo de fato acontecem. Simulação por e-mail, SMS e retorno de ligação, com os módulos de BEC e de anexos maliciosos.
14 formatos distribuídos pelos planos; 30 idiomas — 9 totalmente localizados hoje e outros 21 sob demanda; e um currículo que cobre BEC, roubo de credenciais, anexos e links maliciosos e higiene de senhas.
A norma e a evidência que a atende.
As referências que um grupo hospitalar encontra na auditoria e o registro que a plataforma produz para cada uma. Citamos o artigo e resumimos com as nossas palavras.
| Norma | Artigo | O que exige | Como a NOUSEC comprova |
|---|---|---|---|
| ISO/IEC 27001:2022[5] | 7.2 / 7.3, Anexo A 6.3 | Competência e conscientização; conscientização, educação e treinamento em segurança da informação. | Limite de conclusão no servidor; página pública de verificação de certificados; trilha de auditoria. |
| LGPD (Lei nº 13.709/2018)[22] | Art. 46 | Medidas de segurança técnicas e administrativas para proteger dados pessoais — inclusive os de pacientes — contra acessos não autorizados e incidentes. | Aceite da sua política de tratamento de dados com controle de versão; treinamento documentado por colaborador; trilha de auditoria. |
| LGPD (Lei nº 13.709/2018) | Art. 50 | Facultativo: regras de boas práticas e de governança, que podem prever ações educativas. Avaliações periódicas aparecem no § 2º, I, h, como característica de um programa de governança em privacidade. | Painel de compliance ajustado para auditoria; exportação para SIEM. |
| ISO/IEC 27701:2022 | — | Extensão para gestão da privacidade da informação. | Selecionável no nível da organização. |
Os resumos regulatórios são orientativos e não constituem assessoria jurídica. O escopo e a classificação dependem do seu setor e das regras do seu regulador. Limite de conclusão e painel de compliance a partir do Essentials; aceite de políticas e verificação pública de certificados a partir do Professional; trilha de auditoria e exportação para SIEM no Enterprise.
Quatro mecanismos em que esta página se apoia.
Conclusão medida em segundos assistidos
Canais que chegam ao setor
Classificação de engajamento
Feedback explicativo para cada resposta
Leituras relacionadas (em inglês): ataques de phishing por QR code, e os verbetes do glossário comprometimento de e-mail corporativo e credential stuffing. A nossa própria postura de segurança está na página de segurança.
Perguntas
O que o CISO e o encarregado de dados (DPO) de um hospital perguntam primeiro.
Cada número desta página e de onde ele vem
Última revisão: 21 de outubro de 2026. As citações regulatórias são conferidas com o texto consolidado oficial a cada revisão.
- 2026 Data Breach Investigations ReportVerizon Business — seção setorial, p. 84, Finanças e Seguros (NAICS 52). Base: mais de 31.000 incidentes, mais de 22.000 violações confirmadas, 145 países, out. 2024 – nov. 2025 · 2026Usado para: Saúde (62): 1.492 incidentes; 54% com elemento humano; phishing em 14% dos vetores de acesso inicial, contra 20% de exploração de vulnerabilidades; erros diversos e engenharia social entre os três padrões que respondem por 81% dos vazamentos.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024Departamento de Saúde e Serviços Humanos dos EUA, Office for Civil Rights — pp. 8–14 · 2024Usado para: 663 vazamentos de grande porte, 164 por e-mail; 534 incidentes de hacking/TI (81% das notificações), atingindo 241.582.022 pessoas, ou 99% dos afetados.
- Health Threat LandscapeENISA — de janeiro de 2021 a março de 2023 · 2023Usado para: Participação do phishing nos incidentes graves de saúde notificados sob a NIS: 8% em 2021 e 26% em 2022. Usada no lugar da participação de engenharia social do relatório porque o vetor de acesso inicial era desconhecido em 95,3% dos casos observados.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022International Organization for Standardization — 3ª edição · 2022Usado para: Cláusulas 7.2 e 7.3 e o título do controle A.6.3 do Anexo A.
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)Presidência da República — art. 46 (medidas de segurança) e art. 50 (regras de boas práticas e de governança) · 2018Usado para: Art. 46: medidas de segurança técnicas e administrativas para proteger dados pessoais; art. 50: regras de boas práticas e de governança, que podem incluir ações educativas (facultativo).