Por: A maioria das equipes em setores regulamentados sabe que as regras existem. HIPAA. FINRA. SOC 2. A sopa de letrinhas das estruturas de conformidade que regem o tratamento de informações confidenciais.
O que a maioria dessas equipes erra não são as grandes questões. Ninguém envia de propósito prontuários de pacientes sem criptografia por e-mail. As falhas são mais discretas. Um link compartilhado sem data de expiração. Um PDF com "proteção por senha" que qualquer ferramenta gratuita remove em segundos. Uma trilha de auditoria inexistente porque ninguém pensou em ativá-la.
E, quando o auditor chega, ele não verifica se você conhece as regras. Verifica se você as cumpriu. São coisas diferentes.
O erro que custa mais dinheiro
O padrão se repete em saúde, finanças e direito: as equipes investem demais em bloquear o acesso e de menos em provar que o bloquearam.
Criptografia? Provavelmente está tudo certo. Você usa HTTPS. Sua plataforma criptografa os dados em repouso. Resolvido.
Mas e as trilhas de auditoria? Os registros de acesso? A prova de que somente pessoas autorizadas visualizaram o documento, quando e por quanto tempo? É aí que aparecem as lacunas.
A Regra de Segurança da HIPAA, no 45 CFR 164.312, define cinco salvaguardas técnicas: controles de acesso, controles de auditoria, controles de integridade, autenticação de pessoa ou entidade e segurança da transmissão. Quatro das cinco tratam de rastrear e restringir quem acessa os dados. Apenas uma trata de criptografá-los.
Mesmo assim, a maioria das conversas sobre conformidade começa e termina na criptografia. É o item mais fácil de marcar. A parte difícil é todo o resto.
Em 2024, o Escritório de Direitos Civis do HHS registrou 725 grandes violações de dados de saúde, afetando mais de 276 milhões de registros. Naquele ano, o OCR concluiu 22 investigações de fiscalização e arrecadou US$ 12,8 milhões em multas. O maior acordo individual foi de US$ 4,75 milhões com o Montefiore Medical Center por violações da Regra de Segurança.
Esses números continuam subindo. E o elemento comum na maioria das ações de fiscalização não é a total ausência de segurança. É a incapacidade das organizações de provar o que tinham.
Proteção por senha não é segurança
Isso precisa ser dito com todas as letras, porque equipes de todos os setores regulamentados ainda recorrem a essa opção.
Proteger um PDF com senha não oferece segurança significativa. As senhas de permissão dos PDFs podem ser removidas instantaneamente com ferramentas gratuitas disponíveis na primeira página do Google. Até mesmo senhas para abrir documentos são vulneráveis a ataques de força bruta com softwares amplamente disponíveis.
Pior: no momento em que você compartilha a senha, perde o controle sobre ela. O destinatário pode encaminhá-la, anotá-la em um post-it ou compartilhá-la com toda a equipe. Você nunca saberá.
Para uma entidade sujeita à HIPAA, isso importa porque a Regra de Segurança exige a implementação de políticas técnicas que "permitam acesso somente às pessoas ou programas de software que receberam direitos de acesso". Uma senha compartilhada em um PDF não atende a esse padrão. Não há identificação individual do usuário, registro de acesso nem como revogar o acesso posteriormente.
Para serviços financeiros, o problema é semelhante, mas a consequência é diferente. Você precisa provar quem acessou o quê e quando nas auditorias de conformidade. Um PDF protegido por senha não fornece nenhum desses dados.
Use senhas se quiser criar um obstáculo. Mas não confunda um obstáculo com uma barreira de verdade.
O que a HIPAA realmente exige para documentos compartilhados
A maioria dos artigos sobre HIPAA e compartilhamento de documentos para em "proteja os dados do paciente". Isso não ajuda. Veja o que a norma realmente diz.
Se você compartilha documentos que contêm PHI (informações de saúde protegidas), a Regra de Segurança da HIPAA exige:
Controles de acesso com identificação exclusiva do usuário. Toda pessoa que acessa PHI precisa ser identificável individualmente. Nada de "a equipe usou um login compartilhado" ou "fornecemos a senha". Identificação individual e rastreada.
Controles de auditoria. Você precisa de "mecanismos de hardware, software e/ou procedimentos que registrem e examinem atividades em sistemas de informação que contenham ou usem informações eletrônicas de saúde protegidas". Em outras palavras: registros que mostrem quem acessou o quê e quando.
Segurança da transmissão. Os dados em trânsito precisam ser criptografados. Esse é o item que a maioria das plataformas já atende com HTTPS/TLS.
Controles de integridade. Você precisa conseguir provar que os documentos não foram alterados depois do compartilhamento.
Autenticação de pessoa ou entidade. Você precisa verificar se a pessoa que acessa o documento é quem afirma ser.
E há o Acordo de Associado Comercial. Se sua plataforma de documentos acessa PHI, ela é uma associada comercial. Ela precisa assinar um BAA, aceitando responsabilidade compartilhada. Sem BAA, você já está em violação, por melhor que seja a criptografia da plataforma.
Um ponto que confunde equipes de saúde: materiais gerais de orientação a pacientes — explicações de procedimentos, guias de bem-estar e folhetos da instituição — normalmente não contêm PHI e podem ser compartilhados livremente. As regras passam a valer quando o documento está ligado a um paciente identificável. Saiba onde fica essa linha.
A lição de US$ 3,5 bilhões de Wall Street sobre comunicação "fora dos canais oficiais"
O setor financeiro tem sua própria versão desse problema, e o custo é impressionante.
Desde 2021, a SEC e a CFTC arrecadaram mais de US$ 3,5 bilhões em multas de instituições financeiras cujos funcionários usaram WhatsApp, Signal e mensagens de texto pessoais para tratar de negócios. Somente em agosto de 2024, 26 empresas pagaram US$ 393 milhões em uma única operação de fiscalização.
A regra violada? A Regra 17a-4 da SEC e a Regra 4511 da FINRA, que exigem que corretoras mantenham todas as comunicações comerciais por pelo menos três anos, em um sistema com uma trilha de auditoria completa e datada, incluindo todas as modificações e exclusões.
Gurbir Grewal, diretor de fiscalização da SEC, foi direto ao anunciar acusações contra 16 empresas de Wall Street: "Os requisitos de manutenção de registros são sagrados. Se houver alegações de irregularidade ou má conduta, precisamos poder examinar os livros e registros de uma empresa para determinar o que aconteceu."
Não se trata do conteúdo das mensagens. Como disse um comentarista no Hacker News, "99,9% disso provavelmente eram lembretes de reuniões, mensagens sobre presença e cobertura, uma mensagem a alguém da equipe em outro fuso horário que talvez estivesse de folga e de quem você precisava de uma resposta etc."
Não importa. O requisito é o registro, não o conteúdo. Se um relatório de cliente, uma atualização de portfólio ou uma recomendação de investimento for compartilhado por um canal que não preserve e arquive o material, a empresa fica exposta.
No compartilhamento de documentos, isso significa que equipes de serviços financeiros precisam de plataformas que registrem todos os acessos, mantenham registros imutáveis e se integrem às suas exigências de arquivamento. Se um auditor perguntar "quem visualizou este relatório e quando?", a resposta não pode ser "não sabemos".
O que os auditores realmente procuram
Auditores de todos os setores regulamentados costumam verificar as mesmas coisas, seja em uma auditoria HIPAA, um exame da FINRA ou uma avaliação SOC 2. No compartilhamento de documentos, o que importa é:
Você consegue mostrar quem acessou o quê? Identificação individual do usuário. Não endereços IP nem acesso no nível da equipe. O auditor quer um registro que diga "[email protected] visualizou as páginas 1–14 às 14h47 de 3 de março".
Você consegue mostrar quem não acessou? Parece contraditório, mas importa. Se um documento estava restrito a determinados domínios ou usuários, você consegue provar que usuários não autorizados foram bloqueados?
Seus controles de acesso são realmente aplicados? Ter uma política de restrição por domínio escrita em um manual não conta. O auditor quer vê-la configurada e funcionando na plataforma.
Por quanto tempo você mantém registros de acesso? A HIPAA exige seis anos. A FINRA exige de três a seis anos, dependendo do tipo de registro. Se sua plataforma apaga os registros após 90 dias, você tem um problema.
Você consegue revogar o acesso? Se um documento não deve mais estar acessível — saída de funcionário, encerramento de contrato com cliente, fim de uma ordem de preservação para litígio —, você consegue desativar o link imediatamente? E consegue provar quando fez isso?
Como observou um comentarista no Hacker News sobre as expectativas atuais de conformidade na saúde: "A HIPAA agora é o padrão mínimo na saúde. A maioria dos sistemas com vários hospitais nem sequer considera você sem SOC2/HiTrust, além de auditorias de segurança e testes de invasão frequentes."
O padrão continua subindo. O que passou em uma auditoria três anos atrás talvez não passe hoje.
O problema silencioso do setor jurídico
Escritórios de advocacia operam sob uma estrutura diferente, mas igualmente rigorosa: a Regra Modelo 1.6(c) da ABA exige que advogados "façam esforços razoáveis para evitar a divulgação inadvertida ou não autorizada, ou o acesso não autorizado, a informações relacionadas à representação de um cliente".
O Comentário 8 da Regra Modelo 1.1 acrescenta um requisito de competência tecnológica: os advogados devem "manter-se atualizados sobre os benefícios e riscos associados à tecnologia relevante".
Segundo a Pesquisa de Tecnologia Jurídica de 2023 da ABA, 29% dos escritórios relataram um incidente de segurança naquele ano, ante 27% no ano anterior.
O desafio dos escritórios é único. O sigilo entre advogado e cliente não é apenas uma boa prática. É a base de toda a profissão. Quando documentos sigilosos vazam, as consequências vão além das multas. Os clientes perdem a confiança. Os casos podem ser prejudicados. Surgem ações por negligência profissional.
Mesmo assim, muitos escritórios ainda compartilham documentos confidenciais de processos como anexos de e-mail, sem rastreamento de acesso, confirmação de leitura ou possibilidade de revogar o acesso posteriormente. O e-mail sai da caixa de envio e o escritório perde toda a visibilidade sobre o que acontece depois.
Documentos de produção de provas acrescentam outra camada. Ordens judiciais muitas vezes especificam exatamente como eles devem ser tratados, compartilhados e, por fim, destruídos. Se sua plataforma não oferece acesso controlado com exclusão verificável, você cria risco toda vez que distribui materiais de um processo.
Como compartilhar documentos com segurança de verdade (não só na teoria)
A distância entre "temos recursos de segurança" e "podemos provar que os usamos corretamente" é onde vive a maioria das falhas de conformidade. Na prática, isto é o que importa:
Restrições por domínio em vez de senhas. Restrinja o acesso a domínios de e-mail específicos (@empresacliente.com, @escritorio.com). Isso exige identificação individual por verificação de e-mail. Você obtém uma trilha de auditoria de quem acessou o quê. Senhas não oferecem nada disso.
Links com validade. Defina períodos de acesso. Um relatório trimestral de cliente não precisa ficar acessível para sempre. Um documento de produção de provas compartilhado para análise da parte contrária deve expirar quando terminar o prazo de revisão.
Análises por página como prova de auditoria. Saber que alguém abriu um documento é bom. Saber que a pessoa visualizou as páginas 1–12, passou quatro minutos na página 7 — as divulgações financeiras — e não acessou as páginas 13–20 — que continham dados que ela não deveria ver — é uma prova digna de auditoria.
Revogação imediata. Quando o acesso deve terminar, precisa terminar agora. Não depois da próxima atualização do cache. Não quando o link expirar no mês seguinte. Agora.
Registros de acesso exportáveis. Seu auditor provavelmente não quer entrar na sua plataforma de documentos. Ele quer um CSV ou PDF dos registros de acesso para analisar offline e anexar ao relatório.
Onde o Flipbooker se encaixa
O Flipbooker não foi criado especificamente para setores regulamentados, mas seus recursos de segurança são relevantes nesse contexto.
As restrições por domínio permitem limitar o acesso a domínios de e-mail específicos. Os visitantes verificam o e-mail antes de visualizar, e cada acesso é registrado com identidade, data e hora, páginas visualizadas e tempo gasto. Esse registro é sua trilha de auditoria.
A proteção por senha está disponível como uma camada adicional para documentos muito confidenciais. A validade do link controla por quanto tempo o documento permanece acessível. E, como flipbooks são visualizados no navegador em vez de baixados como arquivos, você mantém o controle mesmo depois de compartilhar. Revogue o link e o acesso termina.
Para equipes que precisam compartilhar documentos externamente e manter registros de conformidade, vale avaliar se esses controles atendem aos requisitos regulatórios específicos. Nenhuma plataforma torna sua empresa compatível por si só. Isso depende de suas políticas, do treinamento e da consistência com que você realmente usa os controles disponíveis.
O verdadeiro risco não são agentes mal-intencionados
Vale dizer mais uma coisa. Em setores regulamentados, a maioria das falhas de conformidade não resulta de hackers ou agentes mal-intencionados. Resulta da conveniência.
Alguém compartilha um link sem definir uma data de expiração porque está com pressa. Alguém usa o celular pessoal para enviar o link de um documento ao cliente porque o canal aprovado é lento. Alguém protege um PDF com senha e acha que isso basta.
A comissária da CFTC Christy Goldsmith Romero resumiu essa dinâmica ao afirmar que a CFTC "não permitirá que Wall Street prejudique a fiscalização da lei ocultando ou excluindo comunicações relacionadas a negociações". Mas os funcionários dessas instituições não tentavam prejudicar coisa alguma. Tentavam trabalhar.
A solução não são mais regras. É tornar o caminho em conformidade o caminho mais fácil. Se sua plataforma segura de compartilhamento for mais difícil de usar do que enviar um PDF por e-mail, as pessoas enviarão o PDF. Sempre.
Esse é o verdadeiro teste para qualquer estrutura de segurança de documentos em um setor regulamentado. Não se é possível cumprir as normas. Se é prático fazê-lo.
FAQs
Proteger um PDF com senha o torna compatível com a HIPAA?
Não. A proteção por senha de um PDF pode ser removida em minutos com ferramentas gratuitas. A HIPAA exige controles de acesso, trilhas de auditoria, criptografia em trânsito e em repouso e um Acordo de Associado Comercial com o fornecedor da plataforma. Uma senha sozinha não atende a nenhum desses requisitos.
Preciso de um Acordo de Associado Comercial para compartilhar flipbooks que contenham dados de pacientes?
Se o flipbook contiver qualquer PHI (informação de saúde protegida), sim. O fornecedor da plataforma deve assinar um BAA, aceitando a responsabilidade compartilhada pela proteção desses dados. Para materiais gerais de orientação a pacientes sem PHI, normalmente não é necessário um BAA.
Consultores financeiros podem usar flipbooks para relatórios de clientes?
Sim, com os controles de acesso adequados. Relatórios de clientes contêm dados financeiros pessoais sujeitos às regras da SEC e da FINRA. Portanto, você precisa de restrições por domínio, registros de auditoria e uma plataforma que preserve os registros de acesso. Conteúdo geral de marketing, como flipbooks sobre perspectivas de mercado, pode ser compartilhado com mais liberdade.
Qual é a diferença entre conformidade SOC 2 e HIPAA para plataformas de documentos?
A HIPAA é uma lei federal com requisitos específicos para dados de saúde. A SOC 2 é uma estrutura voluntária de auditoria que abrange segurança, disponibilidade e confidencialidade. Muitos sistemas de saúde agora exigem ambas. Elas se sobrepõem em criptografia e controles de acesso, mas têm processos de auditoria diferentes.
Por quanto tempo preciso guardar os registros de auditoria de acesso a documentos?
Depende do seu setor. A HIPAA exige seis anos para registros relacionados à segurança. A FINRA exige de três a seis anos para comunicações comerciais. A retenção de documentos jurídicos varia conforme o caso e a jurisdição. Na dúvida, mantenha os registros por mais tempo do que você acha necessário.