Pentest em aplicação web para saúde
Pentest para saúde: portal do paciente, prontuário e telemedicina
Atualizado em 2 de novembro de 2026. Próxima revisão prevista para fevereiro de 2027.
Por Julio Cesar Madeira Soares, especialista em segurança da informação, especialista em segurança cibernética e perito em computação forense.
Dado de saúde é dado pessoal sensível. Testamos portal do paciente, prontuário, laudo e telemedicina para descobrir se alguém alcança o exame ou a consulta de outra pessoa, provando a falha sem abrir mais dado do que o necessário.
Base em Governador Valadares/MG · Atendimento remoto em todo o Brasil
Pentest para saúde é um ataque simulado e autorizado contra os sistemas que guardam ou mostram dado de paciente. A pergunta central é uma só: alguém consegue ver o exame, o laudo, a receita ou a consulta de outra pessoa? O teste responde a isso com evidência e usando o mínimo de dado real.
O dado referente à saúde é sensível pela LGPD (art. 5º, II), e o dado sensível é um dos critérios de incidente relevante, que precisa ser comunicado à ANPD e aos titulares em três dias úteis (Resolução CD/ANPD nº 15/2024, arts. 5º, 6º e 9º). Agente de pequeno porte tem o prazo em dobro.
O que não prometemos. Pentest não certifica sistema e não substitui a certificação SBIS/CFM. Se o sistema é de um fornecedor, só testamos com autorização dele. Sem isso, o escopo fica no que é seu, como o site e o portal próprios.
O que muda
O que muda quando o dado é de saúde
A técnica é a mesma de qualquer aplicação. O que muda é o que acontece quando a falha aparece, e o cuidado para prová-la.
Vazamento não se desfaz. Dá para trocar senha e cancelar cartão. Não dá para trocar um diagnóstico. Um laudo aberto por um número sequencial expõe o paciente de um jeito que nenhuma correção posterior resolve.
O sigilo é anterior à LGPD. A Resolução CFM nº 1.821/2007 lembra que os dados do prontuário pertencem ao paciente e que o sigilo vale em qualquer meio de armazenamento. A Resolução CFM nº 2.314/2022 pede guarda, integridade, confidencialidade e sigilo profissional também na telemedicina (art. 3º).
Certificação e teste respondem a perguntas diferentes. O NGS2 é um nível de garantia do manual SBIS/CFM, exigido para o registro eletrônico. O pentest olha outra coisa: se a sua instalação, com seu portal, suas integrações e seus perfis, deixa alguém chegar onde não deveria. Um não ocupa o lugar do outro.
Sistema de saúde não pode parar. Agenda, prontuário e laudo sustentam o atendimento. Por isso a janela é combinada, os testes que podem afetar a disponibilidade ficam de fora ou vão para homologação, e existe um contato para interromper o teste na hora.
As regras
As regras que pesam em um sistema de saúde
Nenhuma delas usa a palavra pentest. Todas pedem algo que só se comprova testando.
| Norma | O que diz | O que o teste verifica |
|---|---|---|
| LGPD, arts. 5º, II, e 46 | Dado de saúde é sensível, e o agente de tratamento precisa de medidas aptas a protegê-lo. | Se essas medidas funcionam contra quem tenta alcançar o dado de outra pessoa. |
| Res. CD/ANPD 15/2024, arts. 5º, 6º e 10 | Critérios de incidente relevante, prazo de três dias úteis e registro dos incidentes por pelo menos cinco anos. | Que dado poderia ser alcançado e por qual caminho, o que acelera a avaliação se algo acontecer. |
| Res. CFM 2.314/2022, art. 3º | Telemedicina com guarda, integridade e confidencialidade, e sistemas que se comunicam com garantia de privacidade (§5º). | Sala de consulta, gravação, documentos e APIs entre os sistemas. |
| Res. CFM 1.821/2007 | Sistemas de prontuário sem papel precisam atender ao NGS2 do manual SBIS/CFM. | Não verifica a certificação. Testa a instalação e o que foi construído em volta dela. |
| Lei 13.787/2018, arts. 2º e 4º | Prontuário digitalizado com integridade, autenticidade e confidencialidade, e armazenamento protegido contra acesso não autorizado. | Onde os arquivos ficam, quem consegue abri-los e se dá para alterá-los. |
O que testamos
O que testamos em sistemas de saúde
Clínica, laboratório, hospital e healthtech têm sistemas diferentes, mas as perguntas se repetem.
Exame e laudo de outra pessoa
Trocar protocolo ou número do exame, adivinhar link de resultado, baixar PDF sem sessão e consultar o resultado com dados fáceis de obter.WSTG-ATHZ · OWASP A01:2025
Portal do paciente
Cadastro que permite descobrir quem é paciente da clínica, recuperação de senha fraca, tentativas sem limite e acesso cruzado entre titular e dependente.WSTG-ATHN · OWASP A07:2025
Prontuário e perfis internos
Recepção alcançando evolução clínica, profissional vendo paciente fora da sua unidade e usuário desligado que mantém acesso.WSTG-ATHZ · OWASP A01:2025
Teleconsulta
Link de sala reaproveitável, entrada de terceiro na consulta, gravação e chat acessíveis, anexos enviados pelo paciente e permissões do profissional.WSTG-SESS · OWASP A01:2025
Receita, atestado e documentos
Armazenamento aberto, documento alterável depois de emitido e validação que aceita arquivo adulterado, em fluxos que dependem de assinatura digital.OWASP A02 e A08:2025 · Res. CFM 2.314/2022, art. 13
Integrações
APIs com laboratório, operadora e sistema de imagem, padrões como HL7 e FHIR e robôs de atendimento por mensagem que entregam resultado de exame.OWASP API1 e API10:2023
Como testamos
Como testar sem abrir o prontuário de ninguém
Provar a falha não exige ler o dado. Esses são os cuidados combinados antes de começar.
Base de teste
Sempre que possível, trabalhamos com homologação e pacientes fictícios. Em produção, criamos pacientes de teste identificados e testamos o acesso cruzado entre eles.
Se aparecer dado real
Paramos no mínimo que comprova a falha, não copiamos o conteúdo e mascaramos a evidência. Esse tipo de achado é comunicado a você assim que confirmado.
Sem atrapalhar a operação
Janela combinada, nada de teste de carga em produção e um contato de plantão para interromper o trabalho, se algo afetar a agenda ou o prontuário.
Quem também precisa de encarregado encontra as duas coisas juntas em DPO como serviço. O método, as modalidades e os limites do que o relatório prova estão em Pentest em aplicação web.
Responsável técnico
Quem conduz o teste
Julio Cesar Madeira Soares
Pentester e perito em computação forense
Atuo desde 2015 em teste de intrusão, pesquisa de vulnerabilidades e programas de bug bounty, e sou membro do Synack Red Team desde 2018. Tenho a certificação CompTIA PenTest+ e fiz o treinamento SEC542 do SANS, de teste de intrusão em aplicações web, sem prestar a certificação GIAC correspondente.
Também atuo como perito em computação forense, e a disciplina é a mesma: registrar o que foi feito e tocar no mínimo de dado necessário.
Ver certificações e reconhecimento públicoNossa base é Governador Valadares/MG, e o atendimento é remoto em todo o Brasil. Outros setores: Pentest para fintech, Pentest para e-commerce e Pentest para SaaS.
Dúvidas frequentes
Perguntas sobre pentest na área da saúde
Clínica pequena precisa de pentest?
Não conhecemos regra geral que imponha pentest a toda clínica ou consultório. O dever é ter medidas aptas a proteger os dados (LGPD, art. 46). Se a clínica só usa um sistema pronto, sem portal próprio, o melhor começo costuma ser cobrar do fornecedor a evidência de teste e revisar perfis e acessos. O pentest passa a fazer sentido quando há portal, integração ou sistema próprio.
O sistema tem certificação SBIS. Ainda preciso de pentest?
São coisas diferentes. A certificação avalia o produto contra os requisitos do manual SBIS/CFM. O pentest testa a sua instalação, com os perfis, o portal e as integrações que você colocou em volta. Falhas podem aparecer justamente nesse entorno, que a certificação do produto não enxerga.
O pentester vai ver os prontuários?
O objetivo é não ver. Usamos pacientes fictícios sempre que possível. Se o teste alcançar dado real, paramos no mínimo que comprova a falha, não copiamos o conteúdo, mascaramos a evidência e comunicamos você assim que confirmado. Tudo isso fica sob contrato de sigilo.
O fornecedor do sistema precisa autorizar o teste?
Se o sistema é hospedado ou mantido por ele, sim. Testar sem essa autorização pode violar o contrato e criar problema legal. Sem a autorização, o escopo fica no que é seu: site, portal próprio, integrações e configuração de perfis. Muitas vezes vale pedir ao fornecedor o relatório do teste que ele próprio contratou.
Telemedicina tem regra própria de segurança?
Sim. A Resolução CFM nº 2.314/2022 exige que os dados sejam preservados com integridade, confidencialidade e sigilo profissional (art. 3º), que o sistema de registro eletrônico atenda ao NGS2 (§2º) e que os sistemas que se comunicam garantam privacidade (§5º). Atestados, relatórios e receitas emitidos à distância pedem assinatura digital no padrão ICP-Brasil (art. 13).
Uma falha encontrada no teste precisa ser comunicada à ANPD?
Falha encontrada em teste autorizado é uma fragilidade, e não um incidente, então ela vai para o relatório e para a correção. Se houver sinal de que terceiros já acessaram os dados, o caso passa a ser possível incidente. Com dado sensível, a avaliação precisa ser rápida, porque o prazo de comunicação é de três dias úteis a partir do conhecimento (Resolução CD/ANPD nº 15/2024, art. 6º).
Um paciente consegue abrir o exame de outro?
Conte quais sistemas você usa, quem os mantém e o que é seu. Eu digo com franqueza o que dá para testar, o que depende do fornecedor e se o teste faz sentido agora.
Falar sobre o sistema