Certificação
digital de laudos
Durante o 46º Congresso Brasileiro de Patologia Clínica/Medicina Laboratorial, a SBPC/ML
lança sistema para certificar digitalmente laudos laboratoriais. Esta é uma iniciativa da
SBPC/ML para inibir fraudes na saúde.
Murilo Melo
Médico patologista clínico, vice-diretor científico da SBPC/ML
Cerca de 70% dos dados estruturados de prontuário eletrônico são provenientes do laboratório. Atualmente,
os laudos laboratoriais são indispensáveis para identificar a maioria das situações clínicas que necessitam
de medicamentos de alto custo (por exemplo: quimioterápicos), são elementos importantes nos escores
que determinam a gravidade dos casos e sua posição
nas filas de transplantes, e são provas documentais da
necessidade de órteses e próteses.
Todas essas áreas estão relacionadas à possibilidade
de fraudes, tornando os laudos alvos interessantes dos
fraudadores. Como outro participante da cadeia de valor em saúde receberá o laudo, sem um mecanismo prático de verificar sua autenticidade e tendo que avaliar
inúmeros processos, a detecção de um laudo fraudado
ainda é evento raro.
Quando mencionamos fraudes em laudos laboratoriais,
são possíveis dois tipos de ocorrência: as de veracidade
de forma e as de veracidade de conteúdo. Chamamos
fraude de forma a elaboração de um laudo do “Laboratório X” sem que o paciente tenha feito o exame em
questão neste estabelecimento. Pode ser o uso de papel timbrado proveniente ou semelhante ao do laboratório, ou, ainda, a edição do laudo de outro paciente
em programas de tratamento de imagem. A fraude de
veracidade de forma ocorre quando foi apresentado
um laudo, mas este não existe no laboratório emitente.
A fraude de veracidade de conteúdo é aquela em que o
exame e o laudo existem, mas o resultado foi falsificado (por exemplo, “negativo” vira “positivo”).
2
A certificação digital de laudos recomendada pela
SBPC/ML visa combater esses dois modos de fraude, aumentando a segurança dos laudos de todos os laboratórios do Brasil.
Como funciona a certificação?
Existem três pilares para a certificação do laudo: a assinatura eletrônica do documento, a utilização de algoritmos de controle de conteúdo e a disponibilização de
mecanismo ético de controle de veracidade. Vamos detalhar cada um deles.
Muitos se confundem com a expressão “assinatura eletrônica”, pois os sistemas de informática laboratorial
(LIS, na sigla em inglês) adotaram essa terminologia há
alguns anos para descrever a assinatura no LIS utilizando mecanismos de segurança relativamente frágeis,
como usuário e senha.
Na assinatura eletrônica certificada, a presença de
um dispositivo — pode ser físico, como um token ou
um cartão com chip, ou um arquivo, em alguns tipos
de certificação — alia-se à senha do usuário para aumentar a segurança.
Em entrevista ao site Bloomberg, em junho, o CEO da
empresa Gemalto NV, Olivier Piou, menciona que todas as organizações já foram ou serão “hackeadas”. O
roubo de senhas da rede social LinkedIn evidencia como a proteção apenas por usuário e senha está fadada
a desaparecer, dando lugar a dispositivos físicos como
auxiliares nesse processo.
A assinatura digital é fornecida no dispositivo físico por uma
autoridade certificadora, que garante, através de um par de
chaves criptografadas (públicas e privativas), que o dispositivo é inviolável, não replicável (“não clonável”) e que assim
confere maior segurança ao processo. As autoridades certificadoras emitem, renovam ou revogam certificados.
No Brasil, a Medida Provisória 2200-2, de 24 de agosto de 2001,
instituiu o ICP-Brasil (Infraestrutura de Chaves Públicas Brasileira). A partir desta MP, foram elaborados os regulamentos que
regem as atividades das entidades integrantes da Infraestrutura de Chaves Públicas Brasileira: Resoluções do Comitê Gestor
da ICP-Brasil, Instruções Normativas e outros documentos.
O modelo de infraestrutura adotado pela ICP-Brasil é o de
Certificado com Raiz Única. O Instituto Nacional de
Tecnologia da Informação (ITI) está na ponta desse processo
como Autoridade Certificadora Raiz. Cabe ao ITI credenciar
os demais participantes da cadeia, supervisionar e fazer auditoria dos processos.
A importância de utilizar um certificado digital sob a raiz da
ICP-Brasil está na sua validade jurídica. A MP 2200 aceita outros certificados (não-ICP-Brasil) apenas para tratativas entre duas partes, como processos internos. A validade jurídica, equivalente a um reconhecimento de firma em cartório,
ocorre apenas com o uso de certificados digitais ICP-Brasil.
Assim, uma vez que o laudo laboratorial envolve múltiplas
partes (pacientes, médicos, convênios/SUS, sistema legal e
outros), é recomendável que sua assinatura digital conte
com certificados ICP-Brasil.
Outro ponto essencial do tripé de segurança é a garantia de veracidade do conteúdo do laudo laboratorial, sendo aqui usado
o conceito de imutabilidade e preservação dos dados contidos
no laudo de forma a impedir falsificações de conteúdo (alteração de qualquer informação presente no laudo).
Código numérico único
Um exemplo para garantir a veracidade de um laudo laboratorial, usado pelo Sistema de Informação Laboratorial (SIL) é
a utilização de um hash — transformação de uma grande quantidade de informações em uma pequena quantidade, buscando identificá-la de forma unívoca, por exemplo, através de
um código numérico.
Através de um número único, o hash representa o conteúdo de
um laudo. Se este sofrer qualquer alteração, por menor que
for, o hash será invalidado. O hash inicial, gerado para cada laudo, deverá ser arquivado/publicado conjuntamente, para efeito de avaliação/comprovação posterior.
Exemplo:
“Laudo 001 – Glicose: 100 mg/dl
Hash gerado para o laudo = 012030405060”
Se o mesmo laudo for alterado para o resultado abaixo:
“Laudo 001 – Glicose : 222 mg/dl
Hash = 012030405888”
Como emitir laudos certificados
Para que um laboratório possa emitir efetivamente laudos certificados, os profissionais que
os assinam precisam adquirir um e-CPF (CPF
com assinatura digital, sob a ICP-Brasil), com
validade de 1 a 3 anos, dependendo do formato
escolhido.
O e-CPF pode ser adquirido na Receita Federal
ou em diversas outras instituições autorizadas, chamadas Autoridades Certificadoras Habilitadas. A relação está no site
www.receita.fazenda.gov.br/atendvirtual/Or
ientacoes/orientacoesgerais.htm.
Para obter o e-CPF é preciso comparecer pessoalmente a um posto de uma dessas instituições e apresentar os originais do documento
de identidade e do CPF, comprovante de residência recente e foto 3x4 (se o documento foi
emitido há mais de cinco anos), e pagar a taxa
correspondente ao valor do certificado. Em algumas Autoridades Certificadoras é preciso
agendar uma data para dar entrada no e-CPF.
O certificado é gerado e armazenado em um
“cartão inteligente” (smart card — precisa de
um leitor de cartões para ser usado) ou token
(semelhante a um pendrive — deve ser conectado a uma entrada USB do computador).
Faça um teste gratuito
Quem já tiver seu e-CPF pode testar o
serviço de laudo certificado oferecido
pela parceria entre a SBPC/ML e a empresa Veus Technology. O lançamento
oficial é no dia 6 de setembro, a partir
de 10h30, no 46º Congresso Brasileiro
de Patologia Clínica/Medicina Laboratorial, em Salvador.
No estande da SBPC/ML serão distribuídos cupons com códigos promocionais
aos representantes dos laboratórios para que suas empresas possam testar o
serviço de laudo certificado no site
www.laudocertificado.com.br.
Cada laboratório recebe, no estande,
um cupom que contém um código promocional e só pode usá-lo uma única
vez. Após o uso, este código perde a validade. As informações para usar o código estão no cupom.
Depois de fazer o teste, o laboratório
que decidir usar o serviço deve adquirir
créditos no site www.laudocertificado.com.br para passar a emitir seus laudos com certificação digital.
3
O hash do primeiro laudo difere do hash do segundo,
evidenciando que o laudo posterior não confere com o
hash original do arquivo, que está arquivado/publicado pelo laboratório.
Laudo retificado tem novo hash
Esse processo garante uma forma rápida e segura de
comprovar a veracidade do conteúdo de um determinado laudo/documento em relação ao que foi assinado. Assim, um laudo retificado pelo laboratório irá gerar um novo documento que deverá ser assinado digitalmente, com um novo hash que garantirá a integridade do seu conteúdo.
Assim, o paciente, como proprietário dessas informações, pode decidir a quem as entregará para conferência da veracidade do laudo, além do médico solicitante. Esta abordagem é de interesse médico, pois permite que ele identifique prontamente situações nas quais
o paciente pode ter alterado informações do laudo, às
vezes, até mesmo em prejuízo da sua saúde, como em
algumas condições psiquiátricas.
A certificação digital de laudos
é um processo simples
para qualquer laboratório
O processo de certificação digital de laudos utiliza os
mesmos conceitos e mecanismos aplicados na elaboração de um documento certificado digitalmente, onde
algoritmos matemáticos são utilizados para que na
ocorrência de qualquer alteração nesse documento a
sua veracidade seja invalidada.
Além disso, o paciente (ou seu médico, com sua
anuência) pode fornecer esses dados para um terceiro
verificar a veracidade das informações — por exemplo,
a Secretaria Estadual de Saúde, que dispensa medicamentos de alto custo mediante alguns resultados de
exames e laudo médico.
Ressaltamos, ainda, que a presença da assinatura digital no arquivo eletrônico do laudo (por exemplo,
“pdf”) também auxilia na garantia de segurança do
conteúdo do arquivo, pois qualquer alteração no documento (laudo) invalida essa assinatura. No arquivo, o
campo da assinatura digital revela a integridade da
mesma, assim como a validade e outros detalhes do
certificado. Este mecanismo, aliado ao hash, potencializa enormemente a segurança do laudo final.
O processo é operacionalmente simples para qualquer laboratório, independentemente de seu tamanho, o que
aumenta a segurança e o valor percebido do laudo pelos
clientes, com bom custo-benefício, especialmente por
contar com uma suíte de outras funcionalidades que
agregam valor na etapa pós-analítica.
O conselheiro do Cremesp e suplente do CFM Renato
Françoso Filho fez o seguinte comentário quando mostramos o laudo laboratorial certificado: “A certificação
digital é a forma moderna, ética, segura de garantir a
autenticidade dos documentos médicos, tais como atestados, laudos e resultados de exames”.
O terceiro ponto a ser considerado no tripé de segurança proposto é a transparência do processo de validação. O laudo laboratorial é um documento médico.
Deve-se, então, respeitar os preceitos do Código de Éti- Temos certeza que a disseminação da prática de cerca Médica elaborado pelo Conselho Federal de Medici- tificar digitalmente os laudos laboratoriais na maneina, especialmente em seu capítulo IX.
ra proposta aumentará muito a segurança dos laboA solução encontrada pela SBPC/ML para o método de ratórios, que serão protegidos legalmente de fraucertificação oferecido aos laboratórios foi criar uma fo- des. Ainda mais importante: haverá beneficio para a
lha adicional ao laudo, com as informações de consul- saúde da população que terá mais recursos financeita pública — como código único do laudo, data e horá- ros disponíveis para o sistema de saúde, à medida
que as fraudes forem inibidas.
rio de assinatura e parte do hash.
800
US$
bilhões
por ano em
fraudes
4
As fraudes em saúde consomem US$ 800 bilhões ao ano, no mundo todo. Este montante é
100 vezes superior ao que ocorre no sistema financeiro. Só nos EUA, o setor de saúde é
fraudado em US$ 100 bilhões anuais, o que levou o governo daquele país a implantar vários
controles para tentar reduzir esse número. Recentemente, foi divulgado que o Medicaid
gastou US$ 102 milhões em auditorias para detectar fraudes, mas com pouco sucesso.
Aparentemente, são dois os principais problemas nas fraudes em saúde: falta de
investimento em prevenção e muitas transações complexas, pouco rastreáveis.
Enquanto no sistema financeiro são gastos US$ 2 bilhões ao ano em prevenção, a saúde
movimenta um décimo desse valor, segundo a consultoria Chartis Research. Estimativas da
Associação Brasileira de Medicina de Grupo (Abramge) indicam que 20% dos custos
administrativos dos planos de saúde brasileiros são decorrentes de fraudes.