Se a recepção inteira entra no sistema com a mesma senha, a equipe perde uma informação importante: quem fez cada alteração. O acesso individual permite atribuir a ação à pessoa certa, limitar o que cada função pode fazer e retirar permissões quando alguém muda de função ou sai da organização.

Isso não exige começar por uma plataforma nova. Comece por um sistema usado todos os dias, faça um inventário, crie usuários próprios e teste a trilha com um registro fictício. Se a ferramenta não oferece esses controles, registre a limitação e trate-a como parte da decisão.

Em resumo

  • Cada pessoa deve usar seu próprio usuário, e não uma senha da recepção.
  • Cada perfil deve liberar somente o necessário para a função.
  • Um teste fictício precisa mostrar identidade, data, horário e ação no histórico.
  • Mudança de função e desligamento devem disparar revisão de acessos.
  • Contas de integração precisam de dono, finalidade e revogação próprios.

A senha compartilhada apaga a responsabilidade

Uma senha comum parece simples quando há troca de turno ou uma equipe pequena. O problema aparece na primeira dúvida: quem alterou um horário, exportou uma lista ou abriu um cadastro? Se todos usam a mesma identidade, o log pode mostrar apenas “recepção” ou “clínica”. A gestão precisa recorrer à memória, a mensagens internas ou a suposições.

Esse atalho também aumenta o alcance de um erro. A mesma conta pode acumular permissões de pessoas diferentes e continuar ativa depois que alguém deixa a equipe. Trocar a senha quando surge um problema não informa quais sessões ficaram abertas, quais integrações continuam conectadas ou quais registros foram acessados antes da troca.

O Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte da Autoridade Nacional de Proteção de Dados descreve controle de acesso como a combinação de autenticação, autorização e auditoria. O mesmo guia recomenda não compartilhar contas ou senhas e aplicar o menor nível de acesso necessário. São boas práticas orientativas, não um certificado de conformidade.

Regra de decisão: se a pergunta “quem fez isso?” só pode ser respondida por memória, o sistema não está oferecendo uma trilha suficiente para a rotina.

Três controles que precisam andar juntos

Individualizar usuários resolve apenas uma parte do problema. A equipe precisa conferir três perguntas diferentes.

Autenticação identifica

Autenticação é a forma de confirmar qual identidade entrou no sistema. Cada pessoa deve ter um usuário próprio, uma senha que não seja reutilizada em outros serviços e, quando houver suporte e fizer sentido para o risco, autenticação multifator, conhecida como MFA. A MFA acrescenta uma segunda prova de identidade, mas não substitui permissões bem definidas nem revisão de acessos.

Não crie contas em nome de um setor, como “recepção1”, para contornar o limite de usuários. Uma conta só é individual quando está ligada a uma pessoa responsável e pode ser desativada sem afetar os demais.

Autorização limita

Autorização define o que uma identidade pode visualizar, criar, alterar, exportar ou excluir. O perfil deve acompanhar a finalidade do trabalho, não o cargo escrito no crachá.

Uma pessoa da recepção pode precisar consultar a agenda e atualizar dados administrativos para confirmar um atendimento. Isso não significa que ela precise ver todos os registros clínicos, exportar uma base inteira ou administrar usuários. O que é necessário varia conforme o sistema, a organização e a finalidade do tratamento.

O princípio do menor privilégio ajuda a fazer a pergunta certa: qual é o menor acesso que permite concluir esta tarefa? Se a equipe não consegue responder, a permissão está ampla demais ou o processo ainda não foi definido.

Auditoria registra

Auditoria é o registro do que foi feito. Um histórico útil identifica, no mínimo, a pessoa, a data, o horário e a ação. Quando o sistema permitir, deve indicar também o item alterado e o resultado da tentativa.

Um log que mostra apenas “usuário administrador” não prova qual pessoa agiu. Da mesma forma, uma tela com a hora do último login não substitui o registro de alterações. Peça ao fornecedor uma demonstração do histórico e confirme se ele pode ser consultado por alguém autorizado.

Faça o inventário antes de trocar a senha

Não comece criando dezenas de contas sem saber o que está em uso. Reserve alguns minutos para mapear a rotina:

  1. Liste sistemas, aplicativos, computadores, celulares e integrações usados pela recepção.
  2. Anote que tipo de informação cada recurso recebe. Não copie nomes ou dados reais de pacientes para a lista.
  3. Identifique contas individuais, contas compartilhadas, administradores e credenciais técnicas.
  4. Registre quem aprova um acesso, quem o revisa e quem pode retirá-lo.
  5. Marque a data da última revisão e uma próxima data para repetir a conferência.

O inventário costuma revelar acessos que não aparecem no dia a dia: uma conta antiga de uma ex-colaboradora, um aplicativo conectado ao e-mail da clínica ou uma chave de integração criada para um teste. O artigo sobre planilha, agenda ou CRM ajuda a relacionar a ferramenta ao tipo de informação, ao histórico e aos responsáveis que o processo precisa manter.

Transforme a função em uma permissão concreta

Depois do inventário, escreva o que cada função precisa fazer. Use tarefas, não rótulos vagos como “acesso completo”. Estes cenários são exemplos para iniciar a conversa e não uma matriz universal.

Recepção

Defina quais telas permitem organizar agenda, confirmar presença e atualizar dados administrativos. Delimite visualização, edição, exportação e exclusão separadamente. Se a tarefa não precisa de informação clínica, o perfil não deve recebê-la apenas porque o sistema oferece um pacote amplo.

Profissional de saúde

Relacione os registros e ações necessários ao trabalho daquele profissional, à unidade e à escala. Não presuma que o acesso a uma área clínica autoriza relatórios financeiros, gestão de usuários ou dados de outros profissionais.

Gestão

Separe a administração de usuários da execução diária sempre que possível. Quem aprova uma exceção ou revisa logs pode precisar de uma permissão diferente de quem faz a alteração. Essa separação reduz a dependência de uma única conta, mas precisa respeitar o tamanho e a estrutura da organização.

Integração

Uma integração deve usar uma credencial técnica própria, sem login interativo de uma pessoa. Registre a finalidade, o sistema de origem, o que ela pode acessar, quem é o proprietário e como revogar a conexão. Se uma pessoa usa a mesma chave da integração para trabalhar manualmente, a trilha fica misturada outra vez.

Teste a trilha com um registro fictício

Uma demonstração de fornecedor não basta. Faça um teste controlado, sem tocar em dados reais de pacientes:

  1. Crie um usuário de teste com o perfil mais restrito que a rotina pretende usar.
  2. Prefira um ambiente de testes. Se ele não existir, peça ao fornecedor um registro administrativo fictício ou outra forma segura de demonstração.
  3. Entre com o usuário individual e faça uma alteração reversível, como mudar o horário de um agendamento fictício.
  4. Consulte o histórico e confira se aparecem identidade, data, horário e ação.
  5. Tente a mesma ação com um perfil que não deveria ter permissão.
  6. Veja se o sistema registra a tentativa negada e se a pessoa autorizada consegue revisar o evento.
  7. Salve a evidência do teste em um local que não contenha cadastro de paciente.

Se não for possível comprovar quem fez a alteração, pare a implantação daquela etapa. Não faça o teste em produção com um dado real só porque o fornecedor não tem ambiente separado. O artigo sobre passagem de atendimento sem perder histórico mostra por que autoria e contexto precisam acompanhar a informação quando ela muda de mãos.

Trate entrada, mudança e saída como um só processo

Criar usuários é apenas o primeiro dia do controle. A referência de identidade e acesso da CISA e da NSA organiza o ciclo em Join, Move e Leave, ou seja, entrada, mudança e saída. É uma orientação técnica estrangeira, não uma norma brasileira, mas ajuda a transformar eventos de equipe em gatilhos objetivos.

Entrada

Antes do primeiro acesso, defina a função, o perfil, o responsável pela aprovação e a data de revisão. Entregue instruções para bloquear a estação ao se afastar e para comunicar perda de dispositivo ou suspeita de uso indevido. Ative MFA nos perfis críticos quando o sistema oferecer o recurso adequado.

Mudança

Uma troca de unidade, escala, cargo ou responsabilidade deve iniciar nova conferência. Retire permissões que deixaram de ser necessárias antes de acrescentar as novas. Registre quem aprovou a mudança e quando ela foi aplicada. Não deixe o perfil antigo ativo “por garantia”.

Saída

Quando a pessoa sai, desative o usuário, encerre sessões, revogue tokens e revise integrações ligadas à conta. Transfira a propriedade de arquivos e conexões para alguém definido pela organização. Preserve os registros de auditoria conforme a finalidade e os prazos estabelecidos pela política local; não apague histórico sem saber qual responsabilidade ele atende.

O Guia da ANPD sugere que o controle de acesso permita criar, aprovar, revisar e excluir contas. Esse ciclo é mais seguro quando cada ação tem um responsável e uma data, em vez de depender de uma lista informal no grupo da equipe.

Essa rotina também precisa sobreviver à troca de pessoas. O conteúdo sobre processos que dependem de memória ajuda a transformar a revisão de acessos em um gatilho documentado, e não em uma lembrança de alguém da equipe.

Quando o sistema não permite contas individuais

Algumas ferramentas limitam usuários, não registram alterações por pessoa ou não permitem revogar uma sessão específica. Não transforme essa limitação em motivo para distribuir a senha a todos.

Pergunte ao fornecedor se existe:

  • outro perfil ou configuração que libere usuários próprios;
  • registro de identidade, horário e ação;
  • MFA para os perfis que acessam dados pessoais;
  • encerramento de sessões, tokens e integrações;
  • exportação dos logs e dos dados necessários à continuidade.

Se a resposta continuar negativa, documente o que fica sem controle, reduza o escopo de informação tratado e envolva a pessoa responsável por segurança ou privacidade. Pode ser mais adequado escolher outra ferramenta. O importante é decidir conscientemente, e não chamar uma conta coletiva de “usuário da equipe”.

Não guarde senhas em planilha, papel exposto ou grupo de mensagens. Se uma credencial técnica for inevitável, dê a ela finalidade restrita, proprietário, data de revisão e procedimento de revogação. O teste de saída de uma ferramenta de IA ajuda a lembrar que retirar acessos e manter a continuidade também faz parte da escolha de uma solução.

Checklist de quinze minutos

Use este roteiro para uma primeira conferência. Ele não substitui uma política de segurança, mas deixa as lacunas visíveis.

  • Liste os sistemas e integrações usados pela recepção.
  • Marque onde existe conta ou senha compartilhada.
  • Relacione cada usuário a uma pessoa responsável.
  • Descreva as tarefas de cada função antes de escolher o perfil.
  • Retire permissões que não são necessárias para a tarefa.
  • Ative MFA nos perfis críticos, quando houver suporte adequado.
  • Faça uma alteração fictícia e confira a trilha de auditoria.
  • Teste uma tentativa que deveria ser negada.
  • Defina quem aprova, revisa e remove acessos.
  • Documente o procedimento para entrada, mudança e saída.
  • Revogue sessões, tokens e integrações de quem não precisa mais deles.
  • Marque a próxima revisão e registre as limitações encontradas.

O que este checklist não prova

Contas individuais, permissões mínimas e registros de auditoria reduzem a ambiguidade da rotina. Eles não impedem todo incidente, não garantem que um fornecedor seja seguro e não comprovam, sozinhos, conformidade com a LGPD.

A Lei Geral de Proteção de Dados determina a adoção de medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados e estabelece que os sistemas sejam estruturados com requisitos de segurança, boas práticas e governança. A medida concreta depende da finalidade, do contexto e dos dados tratados.

O Guia de Segurança da Informação da ANPD é uma referência operacional para agentes de pequeno porte, não um parecer jurídico. Em rotinas que envolvem dados de saúde, envolva as pessoas responsáveis por privacidade, segurança e governança antes de ampliar o acesso.

Responsabilidade visível começa por um acesso

Uma senha compartilhada esconde a autoria justamente quando a equipe mais precisa entender o que aconteceu. Um usuário individual, um perfil limitado e um log verificável tornam a rotina mais explicável e facilitam a revisão quando alguém entra, muda de função ou sai.

Comece por um sistema e uma função. Faça o teste com um registro fictício, anote a lacuna e corrija o processo antes de replicar a configuração. Depois, repita o ciclo nos demais recursos.

Para continuar explorando decisões de tecnologia, veja outros conteúdos da categoria Tecnologia e IA.