No início de 2025, o Instituto Saúde e Cidadania (Isac) – organização social que administra unidades públicas de saúde em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins – sofreu um ataque de ransomware que paralisou sistemas e colocou em risco aproximadamente 500 mil registros de pacientes. Entre os dados potencialmente expostos, nomes, datas de nascimento, prontuários, exames e diagnósticos. Deste total, 78.772 eram de crianças e adolescentes; outros 47.921, de idosos.

A Agência Nacional de Proteção de Dados (ANPD) instaurou um processo administrativo sancionador contra o Isac, apontando falhas graves na proteção dos dados, comunicação inadequada às vítimas e ausência de controles básicos de segurança. O caso, além de ilustrar os riscos que rondam o tratamento de informações sensíveis, serve como um alerta urgente para qualquer organização que lida com dados pessoais – especialmente aquelas que atuam em setores críticos como saúde, finanças e infraestrutura.

Neste artigo, vamos dissecar o incidente, conectar os pontos com as exigências da LGPD e do GDPR, e propor um roteiro prático para times de operações, suporte e SRE elevarem a postura de segurança da informação a um patamar de resiliência real.

O incidente do Isac: o que deu errado na prática

Segundo o auto de infração da ANPD, o ataque foi do tipo ransomware: criminosos sequestraram os dados originais e também os backups armazenados em servidores na nuvem, tornando os sistemas indisponíveis temporariamente. A entidade, contudo, não conseguiu informar com precisão quais dados foram acessados ou extraídos, porque simplesmente não havia um mecanismo de log robusto – ferramenta que registra atividades nos sistemas e permite rastrear acessos e ações em caso de incidente.

A ANPD enumerou as seguintes fragilidades:

• Ausência de logs e monitoramento: sem registros automáticos, ficou impossível determinar a extensão real do comprometimento.
• Proteção insuficiente dos backups: as cópias de segurança estavam na mesma nuvem acessada pelos invasores, ferindo o princípio de isolamento de ambientes.
• Comunicação inadequada aos titulares: em vez de notificar individualmente os pacientes afetados, o Isac limitou-se a um aviso em seu site, sem informar data, natureza dos dados ou medidas adotadas – itens obrigatórios pela LGPD e pela regulamentação específica da ANPD sobre Comunicação de Incidentes de Segurança.
• Minimização do incidente: a organização afirmou que não houve vazamento, mas não apresentou evidências técnicas que sustentassem essa alegação, mesmo após sucessivos pedidos da autoridade.

O superintendente de Fiscalização da ANPD, Fabrício Guimarães, foi taxativo: “Quem está lidando com dados de saúde tem que adotar o modelo mais rigoroso possível de segurança da informação. Numa escala de risco para nós, dados de saúde são provavelmente uma das escalas mais altas, talvez no mesmo modelo que a gente imagina para o setor financeiro.”

O processo pode resultar em sanções que vão de advertência a multas de até 2% do faturamento (limitadas a R$ 50 milhões), além de eventual proibição de tratar dados pessoais. Mais do que o risco financeiro, fica a mancha reputacional e a perda de confiança de pacientes e contratantes públicos.

LGPD e GDPR: o guarda-chuva legal que pegou o Isac

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece que dados de saúde são “dados pessoais sensíveis” e, por isso, exigem proteção redobrada. O tratamento dessas informações só pode ocorrer com consentimento explícito do titular ou por obrigação legal, e sempre acompanhado de medidas técnicas e administrativas capazes de garantir um nível de segurança compatível com o risco.

Entre os princípios violados no caso Isac, a ANPD destacou:

• Prevenção (art. 6º, VIII): o controlador deve adotar medidas para prevenir a ocorrência de danos. A inexistência de logs e a fragilidade dos backups indicam que o Isac não se preparou adequadamente.
• Responsabilização e prestação de contas (art. 6º, X): o agente de tratamento deve demonstrar, de forma proativa, que está em conformidade. O Isac não conseguiu comprovar a eficácia das medidas que dizia ter adotado.
• Dever de comunicação (art. 48): em caso de incidente de segurança que possa acarretar risco ou dano relevante, o controlador deve comunicar a ANPD e os titulares. A ANPD entendeu que a comunicação foi genérica e tardia.

Para organizações com atuação internacional, o Regulamento Geral de Proteção de Dados (GDPR) europeu impõe exigências semelhantes – e multas ainda mais pesadas, que podem chegar a 4% do faturamento global. O caso serve de exemplo: quem processa dados de cidadãos europeus, mesmo que sem sede na UE, está sujeito às mesmas regras e à fiscalização transfronteiriça.

Por que a segurança da informação não é um custo, mas um seguro de continuidade

O ataque ao Isac ilustra uma verdade incômoda: backup não é sinônimo de proteção. Guardar cópias em um mesmo ambiente de nuvem, sem isolamento lógico e físico, anula a estratégia de recuperação. Da mesma forma, abrir mão de logs e monitoramento é como operar um data center às escuras – impossível detectar invasões ou dimensionar danos.

Para times de operações, suporte e SRE, o incidente revela três pilares que precisam ser revisitados:

1. Governança de identidade e acesso

Muitos ataques de ransomware começam com credenciais comprometidas. É essencial adotar autenticação multifator (MFA) para todo acesso administrativo, revisar permissões regularmente e aplicar o princípio do menor privilégio.

2. Monitoramento e observabilidade

Logs centralizados, métricas de desempenho e alertas em tempo real não são luxo – são a linha de defesa que permite identificar movimentações suspeitas antes que o sequestro de dados se consolide. Ferramentas como Zabbix, Prometheus ou soluções de SIEM devem ser integradas ao dia a dia da operação.

3. Resiliência de backups e plano de disaster recovery

Backups devem seguir a regra 3-2-1-1-0: três cópias dos dados, em dois tipos de mídia diferentes, uma cópia offsite, uma cópia imutável e zero erros após testes de restauração. O armazenamento em nuvem precisa ser isolado da rede principal, com credenciais separadas e criptografia forte.

Checklist: 10 ações práticas para evitar um “caso Isac” na sua organização

1. Classifique os dados: identifique o que é sensível, onde está armazenado e quem pode acessá-lo. Dados de saúde, financeiros ou de menores exigem controles adicionais.
2. Implemente MFA: exija segundo fator de autenticação para acesso a sistemas críticos, VPNs e portais administrativos.
3. Ative logs detalhados: registre eventos de autenticação, alterações de configuração e acessos a dados sensíveis. Armazene-os de forma centralizada e segura.
4. Centralize o monitoramento: use uma plataforma de observabilidade (ex.: Grafana, Elastic Stack, Datadog) com dashboards e alertas para anomalias.
5. Isole os backups: armazene cópias em uma nuvem diferente ou em mídia offline, com retenção imutável por período mínimo definido no RPO/RTO.
6. Teste a restauração periodicamente: um backup que não pode ser restaurado é apenas um gasto. Simule recuperação de sistemas completos ao menos uma vez por trimestre.
7. Elabore um plano de resposta a incidentes: defina papéis (quem aciona, quem comunica), canais de notificação (internos e externos) e um gabarito de comunicado aos titulares e à ANPD.
8. Mantenha um programa de atualização de vulnerabilidades: priorize correções críticas baseadas em CVSS e mantenha inventário de ativos.
9. Treine as equipes: promova simulações de phishing e conscientização sobre engenharia social. O elo humano costuma ser o mais frágil.
10. Documente tudo: a ANPD exige evidências. Relatórios de testes de segurança, atas de revisão de acessos e registros de incidentes anteriores são a prova da postura preventiva.

Conclusão: o preço da omissão é mais alto do que o investimento em segurança

O caso Isac escancara que não basta ter um contrato com um provedor de nuvem ou um software de backup. Segurança de dados é um processo contínuo, que exige governança, tecnologia e preparo humano. A LGPD não perdoa a negligência – e a ANPD vem demonstrando que está disposta a aplicar sanções pesadas para quem trata dados sensíveis com descaso.

Os takeaways para sua operação são claros:

• Dados de saúde (e qualquer dado sensível) são ativos de altíssimo risco: tratá-los sem controles robustos é um passivo jurídico e financeiro iminente.
• Monitoramento e logs não são opcionais: sem visibilidade, sua equipe está voando às cegas e não conseguirá dimensionar um incidente.
• Resiliência real depende de backups testados e isolados: a falsa sensação de proteção é a principal aliada dos criminosos.

Não espere a ANPD bater à porta. Comece hoje uma revisão dos seus controles de segurança, documente as medidas adotadas e prepare sua equipe para responder – e não apenas reagir – quando o próximo ataque tentar sequestrar seus dados.