Seção 3 Requisitos de Segurança da Informação para Laboratórios Médicos

I. Condições Ambientais

  1. Devem ser estabelecidos documentos de procedimento para a manutenção dos sistemas de informação utilizados na coleta, processamento, registro, emissão de relatórios, armazenamento ou recuperação de dados e informações de exames, a fim de garantir seu funcionamento normal e prover as condições ambientais e operacionais necessárias. A integridade dos dados e informações deve ser mantida e registrada; as instalações e equipamentos de informática devem ser mantidos limpos, e seus locais de instalação e ambientes devem cumprir as disposições aplicáveis (como ventilação, controle de eletricidade estática, temperatura e umidade).

  2. A disposição dos computadores deve atender aos requisitos de segurança contra incêndio.

  3. Medidas de proteção devem ser adotadas para fios elétricos e cabos de informática localizados em áreas de circulação de pessoas.

  4. Fontes de alimentação ininterruptas (UPS) devem ser disponibilizadas para os servidores do Sistema de Informações Laboratoriais (LIS) e para os computadores envolvidos no processamento de dados, a fim de evitar danos ou perda de dados no LIS decorrentes de cortes repentinos de energia.

  5. Disposições e medidas devem ser estabelecidas para impedir o acesso de pessoas não autorizadas às instalações de informação.

II. Manuais de Procedimento

  1. Devem ser elaborados manuais de procedimento do sistema operacional de computador e instruções de trabalho; esses documentos podem estar em formato eletrônico para facilitar o uso por todos os usuários de computador autorizados, e devem estar acessíveis no local onde as atividades são executadas.

  2. A finalidade dos programas de computador, seu modo de operação e sua interação com outros programas devem ser descritos de forma clara. O nível de detalhamento deve ser suficiente para subsidiar os administradores de sistemas de informação na realização de ações de solução de problemas, na implementação de alterações no sistema e, quando necessário, na execução de modificações autorizadas de programas.

  3. Os manuais de procedimento do sistema de computador e as instruções de trabalho devem ser revisados e aprovados periodicamente pelo diretor do laboratório ou por pessoal autorizado; os documentos em uso devem estar atualizados e em vigor.

  4. Procedimentos devem ser estabelecidos para que, em caso de incêndio ou danos a software ou hardware, existam medidas destinadas à proteção de dados, informações e equipamentos de informática.

III. Segurança do Sistema

  1. Os usuários do LIS devem ser previamente autorizados. A autorização de acesso ao LIS deve ser detalhada, e concedida ao pessoal que exerce funções como acesso a dados de pacientes, inserção de resultados de pacientes, alteração de resultados, alteração de faturas ou modificação de programas de computador.

  2. Todas as pessoas autorizadas a acessar o LIS do laboratório devem zelar pela confidencialidade das informações dos pacientes em todos os computadores e sistemas de informação. O laboratório e o centro de gerenciamento de rede devem garantir que: (1) sejam estabelecidos e implementados procedimentos para proteger a integridade dos dados em todos os computadores e sistemas de informação em todos os momentos; (2) os programas de computador e demais mecanismos sejam suficientes para proteger as etapas de coleta, processamento, registro, emissão de relatórios, armazenamento ou recuperação de dados e informações de exames, impedindo acesso, modificação ou destruição acidentais ou não autorizados.

  3. É proibida a instalação ilegal de softwares nos computadores do laboratório, bem como o uso de unidades flash USB e outros dispositivos de transcrição de dados.

  4. Caso informações de outros sistemas computacionais (como sistemas de farmácia ou de prontuários médicos) possam ser acessadas por meio do sistema de computador do laboratório, medidas de segurança computacional adequadas devem ser adotadas para impedir o acesso não autorizado a essas informações.

  5. Medidas de segurança computacional adequadas devem ser implementadas para impedir o acesso não autorizado e a alteração não autorizada de quaisquer informações laboratoriais de pacientes por meio de outros sistemas computacionais (como sistemas de farmácia ou de prontuários médicos).

  6. Os dados transmitidos por redes, tanto no interior quanto no exterior da instituição, devem ser protegidos contra interceptação ou recepção ilegais.

IV. Entrada de Dados e Emissão de Relatórios

  1. A consistência entre os resultados dos relatórios finais de exames no LIS e os dados de entrada originais deve ser verificada periodicamente, e devem ser mantidos documentos de procedimentos e registros para prevenir erros de transmissão de dados. Os dados devem ser verificados periodicamente quanto a erros surgidos durante o processamento e o armazenamento. Por exemplo: (1) a consistência entre os dados em sistemas de consulta de resultados de exames, como as estações de trabalho de médicos e enfermeiros, e os dados originais deve ser verificada periodicamente. (2) Quando um novo instrumento for conectado ao LIS, deve ser realizada uma determinada quantidade de comparações entre os dados do instrumento e os dados do LIS.

  2. Várias cópias de tabelas mantidas em diferentes sistemas (por exemplo, as tabelas de intervalos de referência biológicos no sistema de informação laboratorial e no sistema de informação hospitalar) devem ser verificadas periodicamente para garantir a consistência de todas as cópias durante o uso. Devem estar disponíveis procedimentos de replicação ou comparação adequados, e devem ser realizadas verificações periódicas.

  3. O laboratório deve auditar e registrar periodicamente o processo e os resultados do processamento computacional dos dados de pacientes. Nota: o processo e os resultados do processamento de dados de pacientes referem-se a qualquer modificação feita nos registros dos pacientes com base nos dados inseridos, incluindo cálculos numéricos, funções lógicas, verificação automática de resultados e adição de observações.

  4. Quando os dados forem inseridos em um computador ou outro sistema de informação por métodos manuais ou automatizados, a correção dos dados inseridos deve ser verificada e validada antes da revisão computacional final e da emissão de relatórios. Sempre que possível, a entrada de resultados deve ser verificada em relação ao intervalo numérico predefinido para o exame específico, de modo a detectar resultados irracionais ou impossíveis antes da revisão e emissão finais.

  5. O diretor do laboratório deve revisar e aprovar o conteúdo e o formato dos relatórios laboratoriais no LIS, e deve solicitar as opiniões do pessoal clínico.

  6. O LIS deve dispor de um procedimento de revisão de relatórios em operação normal. A gerência do laboratório ou o pessoal designado deve ser responsável por transmitir de forma precisa e eficiente os resultados dos exames aos destinatários autorizados e deve aprovar modificações em qualquer sistema de informação que possam afetar a assistência médica ao paciente.

  7. O LIS deve dispor de um procedimento capaz de detectar resultados irracionais ou impossíveis antes de o computador emitir um relatório; após a modificação dos dados de pacientes, os dados originais devem permanecer disponíveis para exibição. O LIS deve ser capaz de exibir os dados históricos dos pacientes, para que o pessoal responsável pelos exames possa comparar os dados de teste durante a revisão do relatório.

  8. O formato de relatório no LIS deve fornecer a função de adicionar observações, como qualidade da amostra e interpretação de resultados.

  9. O LIS deve ser capaz de identificar e registrar informações sobre o pessoal que acessou ou modificou dados de pacientes, documentos de controle ou programas de computador.

  10. O LIS deve dispor de um procedimento capaz de detectar resultados de valores críticos e emitir um alerta precoce antes de o computador emitir um relatório, e deve notificar a equipe clínica em tempo hábil por meio de procedimentos relevantes (por exemplo, piscagem de tela nas estações de trabalho de médicos e enfermeiros) e manter registros (incluindo a data e a hora em que a equipe clínica recebeu o resultado de valor crítico, o resultado de valor crítico, o destinatário do resultado de valor crítico, o notificador, e a data e a hora da notificação).

  11. O LIS deve dispor de funções para seleção de métodos de controle de qualidade interno, análise de dados, elaboração de gráficos, acionamento de alertas e alarme de estado fora de controle, bem como funções de retenção de dados após liberação do controle e de dados originais, e para análise e estatística retrospectivas.

  12. O LIS deve dispor de funções que registrem marcações de tempo, status operacional, emergências e demais conteúdos, desde a coleta, o transporte e a entrega de espécimes ao laboratório até a realização do exame e a emissão do relatório.

  13. O Sistema de Informação Laboratorial (LIS) deve dispor de funções que reflitam o armazenamento, a saída, a utilização e o inventário dos consumíveis laboratoriais, e deve emitir alertas precoces quando os consumíveis estiverem com stock reduzido.

V. Recuperação e Armazenamento de Dados

  1. Os dados de resultados dos doentes e as informações de arquivo armazenadas nos sistemas de informação devem estar facilmente recuperáveis para efeitos de consulta. O laboratório deve definir o período de conservação dos dados de resultados dos doentes e das informações de arquivo nos seus sistemas de informação. O período de conservação deve cumprir os requisitos nacionais de prazo aplicáveis aos registos médicos eletrónicos. O método de recuperação e consulta deve ser objeto de consulta junto do pessoal clínico.

  2. O LIS deve ser capaz de reproduzir integralmente os resultados de exames arquivados e outras informações adicionais necessárias, incluindo a incerteza de medição, os intervalos de referência biológica, bem como os avisos, notas de rodapé ou observações explicativas associados aos resultados de exames.

  3. Caso não existam outros meios disponíveis, os dados dos doentes e do laboratório devem ser recuperáveis “online” dentro de um prazo definido.

  4. Devem ser elaborados documentos de procedimento para rotular corretamente e conservar adequadamente os suportes de armazenamento de dados, bem como para impedir a sua utilização por pessoas não autorizadas.

  5. O LIS deve efetuar cópias de segurança dos dados de resultados dos doentes.

VI. Hardware e Software

  1. Deve ser estabelecido um procedimento para realizar a manutenção preventiva de todo o hardware informático e manter registos, que estejam disponíveis para consulta a qualquer momento.

  2. Após cada cópia de segurança ou restauro de ficheiros de dados, o sistema deve ser verificado para detetar alterações não intencionais, devendo a verificação ser registada.

  3. As alterações efetuadas ao hardware e ao software do sistema devem ser identificadas e registadas com precisão. As alterações efetuadas ao hardware e ao software do sistema devem ser verificadas para garantir que são aceitáveis.

  4. Todas as alterações no LIS que possam afetar os cuidados médicos aos doentes, tais como a reavaliação de relatórios, devem ser submetidas a revisão e aprovação, com manutenção dos respetivos registos.

  5. Aquando da primeira instalação de um programa, ou após a sua alteração ou modificação, o seu funcionamento normal deve ser verificado e registado.

  6. Devem ser elaborados documentos de procedimento que permitam ao pessoal autorizado de todos os níveis realizar a resolução de problemas, a modificação do sistema ou a programação.

  7. Os utilizadores de informática devem receber formação de modo a dominarem a utilização de novos sistemas e de sistemas existentes que tenham sido modificados.

  8. Deve ser designada uma pessoa específica para reportar prontamente às instâncias superiores e manter registos quando um computador apresentar uma avaria evidente.

VII. Manutenção do Sistema

  1. O laboratório deve estabelecer um procedimento para testar periodicamente todo o hardware informático. Deve ser disponibilizado um calendário de manutenção periódica.

  2. O laboratório deve adotar medidas de cópia de segurança eficazes para evitar a perda de dados dos doentes causada por falhas de hardware ou software. A eficácia das cópias de segurança deve ser verificada periodicamente.

  3. O laboratório deve definir o ciclo de cópias de segurança e o período de conservação.

  4. Os erros detetados durante a cópia de segurança do sistema e as medidas corretivas adotadas devem ser registados e comunicados ao responsável pelo laboratório.

  5. O sistema de alarme informático (normalmente a consola principal do computador, que monitoriza o desempenho do hardware e do software) deve ser monitorizado e testado periodicamente para garantir o seu funcionamento normal.

  6. Devem ser elaborados documentos de procedimento que especifiquem os requisitos para o encerramento e o reinício da totalidade ou de parte do sistema, de modo a garantir a integridade dos dados, minimizar o impacto nos serviços prestados pelo laboratório e assegurar o funcionamento normal do sistema após o reinício.

  7. Devem ser mantidos registos de manutenção periódica, assistência técnica e reparação, para que os operadores possam rastrear os trabalhos realizados em qualquer computador.

  8. Deve ser elaborada documentação relativa à adoção de medidas corretivas para as avarias informáticas e as suas causas, devendo ser mantidos os respetivos registos.

  9. Deve ser desenvolvido um plano de resposta por escrito para emergências do sistema informático.

VIII. Validação dos Sistemas de Informação

  1. Quando computadores são utilizados para coletar, processar, registrar, reportar, armazenar ou recuperar dados de exames, o laboratório deve garantir que o software de computador, incluindo softwares de uso geral empregados na construção de instrumentos ou sistemas (como aplicativos de processamento de texto ou planilhas eletrônicas), seja validado.

  2. Após a instalação inicial e após alterações ou modificações planejadas, os programas devem ser validados antes de serem colocados em operação normal.

  3. Qualquer alteração no hardware ou software do sistema deve ser validada quanto à sua adequação, a fim de confirmar que todas as mudanças são viáveis, e os registros correspondentes devem ser mantidos. As informações de todo o pessoal que adiciona ou modifica softwares devem ser registradas.

IX. Recuperação de Dados

  1. Devem ser estabelecidos procedimentos para lidar com a indisponibilidade de outros sistemas (como o sistema de informação hospitalar), a fim de garantir a integridade dos dados dos pacientes. Também devem ser definidos procedimentos para verificar a recuperação dos demais sistemas e a substituição ou atualização de arquivos de dados.

  2. Todas as paradas não planejadas, períodos de degradação do sistema (como tempos de resposta mais lentos) e outros problemas de computador, incluindo as causas das falhas e as medidas corretivas adotadas, devem ser registrados. O laboratório deve reportar prontamente todas as falhas graves de sistemas computacionais ao pessoal designado.

  3. Deve ser elaborado um plano de emergência escrito para responder a eventos específicos e garantir que os relatórios de resultados dos pacientes possam ser emitidos de forma rápida e eficaz caso ocorra falha em computadores ou em outros sistemas de informação.

X. Proteção Classificada da Segurança de Sistemas de Informação

1. Contexto do Desenvolvimento

Com o desenvolvimento contínuo da informatização hospitalar, a execução de todos os tipos de atividades hospitalares passou a adotar sistemas de informação em rede em diferentes graus, e o papel desses sistemas nos hospitais tornou-se cada vez mais relevante. O desenvolvimento e a construção de hospitais modernos estão integrados à informatização; quando a segurança do sistema de informação hospitalar sofre ataques ou danos, impedindo que o hospital realize suas diversas atividades médicas normalmente, é muito fácil que sejam desencadeados incidentes sociais de massa, como o vazamento de informações privadas pessoais de pacientes (referentes a doenças graves), ou distúrbios causados por pacientes insatisfeitos devido à interrupção do sistema de registro. Portanto, a forma de salvaguardar a segurança do sistema de informação hospitalar também se tornou uma questão que demanda atenção no processo de informatização hospitalar.

Para aprimorar ainda mais a proteção da segurança da informação hospitalar, o Ministério da Saúde, considerando o cenário atual dos diversos segmentos do setor médico na China nesta fase, emitiu as “Orientações sobre o Trabalho de Proteção Classificada da Segurança da Informação no Setor da Saúde” (Nº 85 [2011]), que esclareceram a relação entre a proteção classificada da segurança da informação e a proteção da segurança da informação no setor médico. De acordo com o espírito orientador desse documento, os sistemas de negócios centrais dos hospitais terciários de Classe A devem ser construídos e protegidos seguindo o Nível 3 da proteção classificada da segurança da informação.

2. Processo de Construção

A realização do trabalho de proteção classificada da segurança da informação hospitalar se divide principalmente nos seguintes processos:

2.1 Revisão de Classificação dos Sistemas de Informação Hospitalares

De acordo com as disposições relevantes sobre proteção classificada da segurança da informação, quando um sistema de informação sofre ataques ou danos, as consequências resultantes devem ser classificadas conforme o grau de prejuízo causado à segurança nacional, à ordem social e aos interesses públicos, bem como aos interesses legais de cidadãos e indivíduos.

2.2 Arquivamento dos Sistemas de Informação Hospitalares

Após a revisão de classificação de um sistema de informação hospitalar, o hospital deve enviar o “Formulário de Registro da Proteção Classificada de Segurança do Sistema de Informação”, o “Relatório de Classificação da Proteção Classificada de Segurança do Sistema de Informação” e os documentos relacionados ao departamento de saúde competente local. O departamento de saúde deve reportar ao órgão de segurança pública de nível municipal ou superior para fins de registro e arquivamento, e a classificação do sistema de informação é concluída assim que o comprovante de registro for obtido.

2.3 Teste e Avaliação da Proteção Classificada do Sistema de Informação Hospitalar

Após concluir a classificação e o registro do sistema de informação, deve ser selecionada uma instituição profissional de teste e avaliação, autorizada pelo departamento de segurança pública local e qualificada para a realização de testes e avaliações de proteção classificada de segurança da informação, para efetuar uma avaliação geral do sistema de informação hospitalar. O objetivo da avaliação é realizar uma análise objetiva da capacidade de proteção de segurança do sistema de informação hospitalar. Por meio de inspeções de segurança que abrangem a segurança física, segurança de rede, segurança de aplicativos, segurança de dados, segurança de host e gerenciamento de segurança, e tomando os requisitos básicos da proteção classificada nacional de segurança da informação como linha de base de segurança, é efetuada uma determinação de conformidade objetiva para aferir ainda mais a capacidade atual de proteção de segurança do sistema, bem como as ameaças e riscos aos quais ele está exposto, fornecendo uma base sólida para a retificação de segurança e as futuras iniciativas de construção de segurança.

2.3.1 Indicadores e Métodos de Avaliação

Os sistemas de negócios centrais do hospital são sistemas de proteção classificada de Nível 3, e os indicadores de avaliação de segurança devem incluir a classe de indicadores gerais de Nível 3 (G3), a classe de indicadores de segurança de informações de negócios de Nível 3 (S3) e a classe de garantia de serviços de negócios de Nível 3 (A3), constantes na Seção 7.1 “Requisitos Técnicos” do documento “Requisitos Básicos para a Proteção Classificada de Segurança do Sistema de Informação”.

Três tipos de métodos, a saber, entrevistas, inspeções e testes, serão utilizados no trabalho de avaliação presencial. A entrevista é um método pelo qual a equipe de avaliação obtém evidências por meio de atividades como troca de pontos de vista e realização de discussões com os profissionais ligados ao sistema de informação. A inspeção é um método pelo qual a equipe de avaliação obtém evidências por meio de atividades como observação, exame e análise dos objetos de avaliação. O teste refere-se a atividades nas quais a equipe de avaliação faz com que os objetos de avaliação produzam respostas específicas de acordo com métodos/ferramentas predeterminados, obtendo então evidências por meio do exame e da análise das saídas de resposta. A principal ferramenta utilizada para as entrevistas é a lista de entrevistas. O pessoal de avaliação aborda as questões da lista de entrevistas uma a uma por meio da troca de pontos de vista e da realização de discussões com o pessoal relacionado ao sistema de informação, e conhece e confirma a situação de proteção de segurança do sistema de informação de acordo com as respostas dos entrevistados. A principal ferramenta utilizada para as inspeções é a lista de verificação. O pessoal de avaliação aborda as questões da lista de verificação uma a uma por meio de atividades como observação, exame e análise. De acordo com os diferentes objetos de inspeção, as inspeções podem ser ainda divididas em revisão de documentos, observação no local e verificação de configuração. De acordo com as diferentes ferramentas e processos de implementação, os testes podem ser ainda subdivididos em aquisição de informações, varredura de vulnerabilidades, teste de penetração e análise criptográfica. A aquisição de informações refere-se à obtenção de informações como nomes de hosts/dispositivos ativos, endereços IP, sistemas operacionais, portas de serviço abertas e pacotes de dados específicos; a varredura de vulnerabilidades refere-se à utilização de equipamentos de varredura de vulnerabilidades para sondar automaticamente os dispositivos alvo e descobrir configurações incorretas e vulnerabilidades de segurança conhecidas em cada porta de rede aberta desses hosts/dispositivos; o teste de penetração simula técnicas de ataque que hackers podem utilizar, tentando invadir o sistema de informação ou obter mais recursos nele, de forma a avaliar diretamente o status de segurança do sistema de informação. A realização de varredura de vulnerabilidades e teste de penetração no sistema de informação a partir de diferentes pontos de acesso pode refletir o status de segurança do sistema de informação sob diferentes ângulos e perspectivas.

2.3.2 Avaliação por Unidade

Combinar os indicadores de avaliação e os métodos de avaliação com os objetos de avaliação específicos do sistema de informação constitui unidades de trabalho que podem ser avaliadas de forma específica. A instituição de avaliação realizará avaliações por unidade separadamente de segurança física, segurança de rede, segurança de sistemas de host, segurança de aplicativos, segurança de dados e backup/recuperação, organização de gerenciamento de segurança, sistemas de gerenciamento de segurança, gerenciamento de segurança de pessoal, gerenciamento de construção de sistemas e gerenciamento de operação e manutenção de sistemas.

2.3.3 Avaliação Geral

Após a integração dos controles de segurança de um sistema de informação ao próprio sistema, surgem relações interligadas, como conexão, interação, dependência e coordenação, dentro das camadas, entre as camadas e entre as regiões, de modo que a função de segurança geral do sistema de informação está intimamente relacionada à sua estrutura e apresenta uma característica integrada como um todo. Essas características integradas não se refletem integralmente nas unidades de trabalho dos controles de segurança. Portanto, com base na avaliação dos controles de segurança, é necessário realizar uma avaliação geral do sistema integrado e de seu ambiente de operação. A avaliação de segurança entre controles de segurança considera principalmente os efeitos correlatos, como o aprimoramento, a complementação ou o enfraquecimento funcional, existentes entre diferentes controles de segurança de uma mesma camada. Por exemplo, a autenticação de identidade e o controle de acesso na camada de host estão intimamente relacionados, devendo-se atentar para seus efeitos correlatos e complementares. A avaliação de segurança entre camadas considera principalmente os efeitos correlatos, como o aprimoramento, a complementação e o enfraquecimento funcional, existentes entre diferentes camadas de uma mesma região. Por exemplo, a camada de rede, a camada de sistema host e o aspecto de gerenciamento de operação e manutenção de sistemas no âmbito do gerenciamento de segurança estão intimamente relacionados, devendo-se atentar para seus efeitos correlatos e complementares. A avaliação de segurança entre regiões considera principalmente os efeitos correlatos, como o aprimoramento, a complementação e o enfraquecimento das funções de segurança, existentes entre diferentes regiões interligadas e interoperáveis (incluindo interligação física e lógica), especialmente entre duas regiões distintas que realizam troca de dados. A avaliação de segurança da estrutura do sistema considera principalmente a segurança da estrutura geral do sistema de informação e a racionalidade das precauções de segurança globais. A avaliação de segurança da estrutura geral deve partir da disposição física, topologia de rede, lógica de negócios (fluxo de dados de negócios), implementação do sistema e abordagem de integração do sistema de informação e, levando em consideração as ameaças que podem incidir sobre diferentes posições e as vulnerabilidades que podem ser expostas, determinar de forma abrangente se a disposição geral do sistema de informação é razoável e se o sistema é seguro e eficaz como um todo. Após analisar os métodos de implementação específicos e a implantação das medidas de proteção de segurança do sistema de informação, e analisar, em conjunto com o seu fluxo de dados de negócios, a relação entre diferentes regiões e diferentes fronteiras e as medidas de proteção de segurança, bem como a relação entre negócios importantes e informações-chave e as referidas medidas de proteção, devem-se consultar os requisitos de defesa em profundidade para verificar se as precauções de segurança do sistema de informação destacam pontos-chave e se aprofundam camada por camada, de modo a determinar de forma abrangente se as precauções de segurança gerais do sistema de informação são adequadas e razoáveis.

2.4 Comunicação dos Resultados dos Testes e Retificação

Após concluir a avaliação do sistema de informação hospitalar, a instituição avaliadora emitirá um “Relatório de Avaliação Classificada de Sistema de Informação”. O hospital deve submeter o relatório de avaliação ao órgão de segurança pública local para fins de arquivamento. De acordo com os resultados da avaliação constantes no relatório, com base em normas como os “Requisitos Básicos para a Proteção Classificada de Segurança de Sistemas de Informação”, e à luz das atividades práticas do hospital, a instituição hospitalar deve organizar e executar ações de construção de segurança e retificação voltadas para a proteção classificada, atribuir as tarefas de retificação a pessoas específicas e concluir a retificação dentro do prazo previsto.

2.5 Formulação do Sistema de Gestão de Proteção Classificada de Informações Hospitalares

O hospital irá, tomando como referência os requisitos de gestão da proteção classificada de segurança da informação e à luz da sua própria situação real, construir o seu sistema de gestão de proteção classificada de segurança da informação a partir dos aspetos de organização de gestão de segurança da informação, sistemas de gestão de segurança da informação, segurança do pessoal de informação, gestão de construção de sistemas e gestão de operação e manutenção de sistemas.

Em geral, o sistema de construção de proteção classificada de segurança da informação deve partir das necessidades reais e testar periodicamente a conformidade e a racionalidade da construção. Por conformidade entende-se construir o sistema completo de segurança da informação do hospital sob a orientação dos requisitos políticos: implementar as normas nacionais de proteção classificada; responder ao espírito orientador do Ministério da Saúde no avanço da construção de proteção classificada; passar na avaliação nacional de proteção classificada; e servir como piloto e demonstração para a construção do sistema de segurança da informação e da construção de proteção classificada no setor médico. Por necessidades reais entende-se realizar a construção sistemática à luz dos requisitos de desenvolvimento de negócios do próprio hospital e melhorar genuinamente o seu próprio nível de proteção de segurança da informação: alcançar a defesa ativa contra ameaças de intrusão externa e prevenir os efeitos nocivos provocados por operações internas irregulares; reduzir a dificuldade do trabalho diário de gestão de informação e melhorar a eficiência de operação e gestão para sistemas de informação complexos e heterogéneos, de modo a alcançar “leis a cumprir e técnicas disponíveis”; e planear e normalizar racionalmente a construção de sistemas de informação já construídos, recém-construídos e com construção planeada.