2

Agradecimentos
Um agradecimento à Professora Ana Ferreira, por todo o apoio e
incentivo na elaboração e maturação do presente trabalho. Através do seu
conhecimento e dedicação foi possível projetar um trabalho com a
excelência que a caracteriza. Todo o acompanhamento e guia durante a
elaboração das diversas etapas permitiu aperfeiçoar conceitos e boas
práticas na apresentação e escrita de um trabalho tão importante para nós
estudantes de Mestrado.

Ao meu coorientador, Alfredo França, por ter confiado em mim na

integração da equipa de Segurança Operacional da BIT, permitindo-me
iniciar um estágio tão marcante no Programa Contacto que me tem
proporcionado um desenvolvimento a nível profissional e pessoal. A sua
ética de trabalho, dedicação e capacidade de liderança, inspiraram o meu
percurso numa área tão fascinante como a Cibersegurança. De novo, um
grande, obrigada, pela confiança e pela inclusão num projeto tão relevante
como o que apresento hoje como tema principal da minha Dissertação.

Um agradecimento a toda a equipa de Segurança Operacional, por todo o

carinho, acompanhamento, integração e companheirismo que trago
comigo e recordo com muita felicidade. Tornaram o início da minha
carreira profissional numa empresa tão grande como a Sonae, numa
experiência muito positiva e enriquecedora, o vosso apoio reflete o
profissional em que me quero tornar.

A todos os professores do Mestrado em Informática Médica, em particular

ao Professor Doutor Ricardo Correia, por todos os conselhos, apoio e
dedicação. Todo o seu trabalho é significativo na transformação e
aproximação das áreas da saúde e de informática, através da formação de
profissionais especializados e com alta competência para juntar dois
mundos que embora distintos são intrinsecamente necessários.
Por último, um dos agradecimentos mais importantes, à minha família,
por apoiarem as minhas escolhas profissionais, ajudando-me a encontrar
uma formação que alia duas das minhas paixões, medicina e informática.
4

Resumo
Introdução: Os ataques cibernéticos são direcionados a organizações de
saúde, com foco nos dados pessoais e privados armazenados com base em
informações confidenciais, como dados clínicos de pacientes. A gestão de
contas de acesso a esse tipo de informação é um fator essencial. As
empresas usam soluções de gestão de acessos privilegiados, porque acham
mais eficiente comprar e gerir a sua própria solução de segurança de contas
privilegiadas.
Objetivo: Revisão da utilização de gestão de acessos privilegiados nos
setores da saúde e empresarial e apresentação de uma proposta de um caso
de estudo e boas práticas em contexto real de saúde
Métodos: Elaboração de uma revisão bibliográfica através da recolha de
artigos científicos com aplicação de critérios de inclusão e exclusão,
seguindo-se a análise, seleção e criação de fluxogramas. Foi feita uma
comparação da aplicação da gestão de acessos privilegiados no setor da
saúde e empresarial, com a respetiva integração de um caso de estudo em
contexto de estágio na Sonae MC, Business Information Technology (BIT).
Resultados: Proposta de um Proof of Concept (POC) de um caso de estudo
em saúde e criação de um guia de boas práticas para a possível
implementação de um caso de estudo em saúde com base no trabalho
elaborado.
Conclusão: O setor de saúde processa e armazena informações
confidenciais. Essas informações podem levar ao roubo de identidade e
violação de dados, sendo que a implementação de um conjunto de
medidas de segurança pode melhorar drasticamente a postura de
segurança de uma organização, em particular no setor da saúde.
Palavras-chave: Gestão de acesso privilegiado, PAM, Controlo de acesso
privilegiado, Setor da saúde, Setor empresarial, Cibersegurança, Ataque
cibernético, Violação de dados
Abstract
Introduction: Cyberattacks are targeted at healthcare organizations,
focusing on personal and private data stored on the basis of sensitive
information such as patient clinical data. The management of access
accounts to this type of information is an essential factor. Companies use
privileged access management solutions because they find it more efficient
to purchase and manage their own privileged accounts security solution.
Objective: To review the use of privileged access management in the
healthcare and business sectors and present a proposal for a case study
and good practices in a real health context.
Methods: Elaboration of a bibliographic review through the collection of
scientific articles with the application of inclusion and exclusion criteria,
followed by the analysis, selection, and creation of flowcharts. A
comparison was made of the application of privileged access management
in the healthcare and business sectors, with the respective integration of a
case study in the context of an internship at Sonae MC, BIT.
Results: Proposal of a Proof of Concept (POC) for a healthcare case
study and creation of a good practice guide for the possible
implementation of a healthcare case study based on the work carried out.
Conclusion: The healthcare industry processes and stores confidential
information. This information can lead to identity theft and data breaches
and implementing a set of security measures can dramatically improve an
organization's security posture, particularly in the healthcare industry.
Keywords: Privileged Access Management, PAM, Privileged Access
Control, Healthcare sector, Business sector, Cybersecurity, Cyber Attack,
Data Breach
6

Preâmbulo
No seguimento da minha Licenciatura em Fisiologia Clínica, desde muito
cedo e no decorrer do Mestrado em Informática Médica, senti a
importância de aliar duas áreas que embora distintas se completam
mutuamente. Através da minha integração na equipa de Segurança
Operacional da BIT, no seguimento do estágio no Programa Contacto na
Sonae MC, consegui acompanhar a integração do projeto de acessos
privilegiados, Privileged Access Management (PAM). A implementação de
PAM, encontra-se instanciada na ferramenta IBM Security Verify Privilege
Vault e tem como objetivo entregar uma solução com o propósito de gerir
e monitorizar acessos privilegiados de contas de utilizadores e serviços aos
sistemas alvo, ajudando a empresa a proteger todas as suas identidades
através de um acesso seguro.

Atualmente, as organizações usam servidores para armazenar dados

confidenciais de clientes, como informações do cartão de crédito,
números de segurança social e datas de nascimento. Os hackers costumam
realizar ataques cibernéticos para obter acesso a hospitais e extrair
informações de segurança, assim como roubar dados pessoais para ganho
pessoal, incluindo a aquisição ilegal de dinheiro de clientes e contas de
pacientes. Os ataques cibernéticos a sistemas permitem que criminosos
acedam a dados privados e copiem ou publiquem essas informações ou as
vendam no mercado negro. O PAM é utilizado nas empresas porque
permite assegurar a proteção e controlo do acesso a contas e recursos
privilegiados, dessa forma, somente utilizadores autorizados podem
aceder a informações críticas, enquanto se monitorizam atividades
privilegiadas para prevenir ameaças internas e externas. As empresas usam
o PAM, por acharem mais eficiente comprar e gerir a sua própria solução
de segurança de conta privilegiada ou através da contratação de um
parceiro que forneça serviços geridos para uma solução deste tipo.
Com este trabalho, pretendo rever a utilização de gestão de acessos
privilegiados nos setores da saúde e empresarial e propor um caso de
estudo em saúde através do acompanhamento da implementação do
PAM.
8

Índice

Agradecimentos......................................................................................... 2
Resumo...................................................................................................... 4
Abstract ..................................................................................................... 5
Preâmbulo ................................................................................................. 6
Índice......................................................................................................... 8
Acrónimos ................................................................................................ 10
Índice de figuras....................................................................................... 12
Índice de tabelas ...................................................................................... 14
Organização da tese ................................................................................. 15
1. Introdução/ Motivação ....................................................................... 17
2. Objetivos ............................................................................................ 20
3. Enquadramento Teórico .................................................................... 22
3.1 Contextualização da temática ............................................................ 22
3.1.1 Segurança de dados .................................................................. 22
3.1.2 Ferramentas para Confidencialidade .......................................... 24
3.1.3 Gestão de Identidade ............................................................... 26
3.1.4 IAM vs PAM ........................................................................... 27
3.1.5 Contas padrão vs Contas privilegiadas ....................................... 29
3.2 Privileged Access Management (PAM).............................................. 32
3.2.1 Conceitos - chave do PAM ....................................................... 33
3.2.2 Importância do PAM na segurança da informação ..................... 37
3.2.3 Ciclo de vida do PAM .............................................................. 38
4. Estado da arte..................................................................................... 22
4.1 Estudos prévios e desafios de segurança na saúde .............................. 43
4.2 Desafios no setor da saúde durante a COVID-19 .............................. 47
 4.3 HIPAA vs GDPR ........................................................................... 49
4.4 Caso de estudo de implementação PAM - Sonae MC......................... 53
4.4.1 Apresentação do caso de estudo no setor empresarial ................... 53
4.4.2 Design da Arquitetura ................................................................ 56
4.4.3 Visão geral de alto nível Intelligent Surveillance Video Processing and
Visualization ...................................................................................... 58
5. Materiais e Métodos ........................................................................... 63
5.1 Desenho de Estudo ......................................................................... 63
5.1.1 Metodologia de estudo ................................................................ 63
5.1.2 Estratégia de Pesquisa ................................................................. 63
5.1.3 Critérios de Elegibilidade ............................................................ 64
5.2 Processo de Seleção de Resultados ................................................... 64
5.3 Cronograma .................................................................................... 65
6. Resultados .......................................................................................... 66
6.1 Revisão da Literatura no setor da saúde............................................. 66
6.2 Revisão da Literatura no setor empresarial ........................................ 72
6.3 Estratégia de implementação PAM e boas práticas na área da saúde ... 76
6.4 Comparação entre setores no PAM .................................................. 82
7. Discussão ........................................................................................... 84
8. Conclusões e recomendações............................................................. 86
9. Trabalho futuro .................................................................................. 90
10. Referências .......................................................................................... 91
10

Acrónimos
ABAC - Attribute-Based Access Control
AD - Active Directory
API - Application Programming Interface
BIT – Business Information Technology
CISO - Chief Information Security Officer
DHS – Department of Homeland Security
DR – Disaster Recovery
DRM - Digital Rights Management
EEE - Espaço Económico Europeu
EHR - Electronic Health Record
EUA – Estados Unidos da América
GDPR - General Data Protection Regulation
HIPAA - Health Insurance Portability and Accountability Act
IAM - Identity and Access Management
IBM – International Business Machines Corporation
IoT – Internet of Things
ISVPV - Intelligent Surveillance Video Processing and Visualization
IP - Internet Protocol
IT – Information Technology
LDAP - Lightweight Directory Access Protocol
MC – Modelo Continente
MFA – Multifactor Authentication
NIST – National Institute of Standards and Technology
OATH - Initiative for Open Authentication
OMS - Organização Mundial de Saúde
PAM – Privileged Access Management
PHI - Protected Health Information
PHR - Personal Health Record
PII - Personal Identifiable Information
POC - Proof of Concept
PRISMA- Preferred Reporting Items for Systematic Reviews and Meta-Analyses
RBAC – Role-Based Access Control
RDBAC - Reflective Database Access Control
RGPD - Regulamento Geral sobre a Proteção de Dados
SIEM – Security Information and Event Management
SMTP - Simple Mail Transfer Protocol
SSO - Single Sign-On
UE – União Europeia
12

Índice de figuras

Figura 1: Organograma Sonae com as respetivas insígnias do grupo ......................... 18

Figura 2: Elementos da tríade CIA ............................................................................. 23
Figura 3: Diferenças entre Autorização e Autenticação ............................................. 26
Figura 4: Esquema IAM vs PAM ............................................................................... 27
Figura 5: Scopes PAM e IAM ..................................................................................... 28
Figura 6: Tipos de contas privilegiadas no PAM ........................................................ 31
Figura 7: Autorizações de utilizador ........................................................................... 34
Figura 8: Autorizações de grupos ............................................................................... 34
Figura 9: Autorizações dos segredos........................................................................... 35
Figura 10: Organização de pastas e subpastas............................................................. 35
Figura 11: Autorizações de funções ........................................................................... 36
Figura 12: Ciclo de vida do PAM ................................................................................ 39
Figura 13: Resumo das principais ameças de segurança na área da saúde .................. 43
Figura 14: Resumo das principais ameaças de segurança na área da saúde (cont.) ..... 44
Figura 15: Frontpage da aplicação PAM (IBM Security Verify Privilege Vault) ................ 53
Figura 16: Equipa de projeto responsável pelo PAM (Sonae MC/BIT) .................... 54
Figura 17: Design da arquitetura da solução PAM (caso de estudo) .......................... 56
Figura 18: Funcionalidades associadas ao presente caso de estudo ............................ 58
Figura 19: Proteção de identidades privilegiadas através do PAM (workflow) .......... 61
Figura 20: Cronograma do projeto desde Novembro a Julho .................................... 65
Figura 21: Diagrama de fluxo PRISMA para seleção de artigos (setor da saúde) ...... 66
Figura 22: Diagrama de fluxo PRISMA para seleção de artigos (setor empresarial). . 72
14

Índice de tabelas
Tabela 1: Principais características entre HIPAA e GDPR ................................ 49
Tabela 2: Principais diferenças entre HIPAA e GDPR....................................... 52
Tabela 3: Descrição das principais ferramentas do PAM implementadas no caso de
estudo ............................................................................................................................. 54
Tabela 4: Descrição das fases do projeto .................................................................... 55
Tabela 5: Descrição do plano macro do projeto ........................................................ 55
Tabela 6: Distribuição de resultados por grupos ........................................................ 67
Tabela 7: Características dos estudos da revisão no setor da saúde (Grupo 1) .......... 67
Tabela 8: Características dos estudos da revisão no setor da saúde (Grupo 1) .......... 68
Tabela 9: Características dos estudos da revisão no setor da saúde (Grupo 2) .......... 70
Tabela 10: Características dos estudos da revisão no setor da saúde (Grupo 3) ........ 71
Tabela 11: Distribuição de resultados por grupos....................................................... 73
Tabela 12: Características dos estudos da revisão no setor empresarial (Grupo 1) .... 73
Tabela 13: Características dos estudos da revisão no setor empresarial (Grupo 2) .... 74
Tabela 14: Características dos estudos da revisão no setor empresarial (Grupo 3) .... 75
Tabela 15: Características dos estudos da revisão no setor empresarial (Grupo 4) .... 76
Organização da tese
No primeiro capítulo, da Introdução, é realizada uma apresentação
abrangente ao trabalho, contextualizando a problemática a ser estudada,
assim como tópicos relevantes a abordar ao longo da dissertação.

No segundo capítulo, de Objetivo, são apresentados respetivamente, o

objetivo principal e objetivos secundários do trabalho. Nesta secção são
detalhadas as etapas a serem alcançadas e as questões a serem respondidas
ao longo do estudo.

No terceiro capítulo, de Enquadramento Teórico, apresenta-se uma base

teórica para contextualização da temática geral do estudo. Nesta secção
são apresentados o PAM e a sua importância como mecanismo de
segurança da informação, assim como conceitos-chave associados.

No quarto capítulo, do Estado da Arte, é feita uma revisão completa da

literatura existente sobre a temática em estudo, disponibilizando o
conhecimento atualmente disponível. Este capítulo aborda estudos
prévios e desafios de segurança, além disso é apresentado um caso de
estudo de implementação do PAM em contexto empresarial na Sonae MC
seguindo-se a comparação das diferentes implementações em setores tão
distintos como o da saúde e o empresarial.

No quinto capítulo, Materiais e Métodos, são detalhados o desenho de

estudo, assim como a estratégia de pesquisa e critérios de elegibilidade
aplicados na seleção de artigos. A esta secção junta-se a descrição do
processo de seleção de resultados e apresentação do cronograma,
detalhando todo o processo de revisão sistemática que permitiram
desenvolver e consolidar o presente trabalho.

No sexto capítulo, de Resultados, apresentam-se os resultados obtidos ao

longo do estudo em cada setor proposto, resultando na comparação e
16

projeção do modelo de caso de estudo para o setor da saúde. Nesta secção

são analisados os dados recolhidos e discutidas as principais conclusões
retiradas da pesquisa.

No sétimo capítulo, Discussão, são destacadas as reflexões dos resultados

obtidos, destacando as recomendações específicas para o setor da saúde e
empresarial. São abordadas as considerações finais sobre a implementação
do PAM nestes setores e a proposta estratégia e boas práticas no setor da
saúde.

No oitavo capítulo, Conclusões e recomendações, resume-se os principais

resultados e respetivas conclusões, assim como as contribuições que este
trabalho acrescenta para a área de cibersegurança no setor da saúde e
empresarial. Nesta secção são abordadas as limitações encontradas ao
longo do desenvolvimento da dissertação e sugeridas possíveis direções
futuras para pesquisas relacionadas com o presente trabalho.

No nono capítulo, Trabalho Futuro, são fornecidas direções ou sugestões

de direção para pesquisas futuras relacionadas com os tópicos basilares da
dissertação, visando resolver limitações encontradas no trabalho e
identificar questões que necessitam de continuidade de pesquisa podendo
servir de ponto de partida para futuros trabalhos académicos na temática
da gestão de acessos privilegiados.
1. Introdução/ Motivação
O presente tema de dissertação surge no seguimento do estágio realizado
no âmbito do Programa Contacto, um programa de estágio da empresa
multinacional Sonae, com integração na equipa de Segurança Operacional
da Sonae MC, uma das equipas internas da BIT (Business Information
Technology). A MC é responsável pelo negócio de retalho alimentar da
Sonae e líder de mercado em Portugal, com um grupo de segmentos de
negócio distintos, apresentando mais de 35 anos de experiência. A Sonae
MC é líder do mercado nacional com um conjunto de formatos de retalho
distintos: no setor do retalho alimentar com o Continente (hipermercado
urbano), Continente Modelo (supermercado) e Continente Bom dia
(supermercados de conveniência), o Continente Online (plataforma de E-
commerce) e Meu Super (lojas de proximidade em formato franchising), no
setor da saúde, bem-estar e beleza com marcas como a Wells (saúde, bem-
estar, beleza e ótica), Arenal (parafarmácia e perfumaria), Dr. Wells
(medicina odontológica e estética) e Go Natural (supermercados e
restaurantes orgânicos), em relação ao conjunto de negócios
complementares de crescimento temos marcas como a Bagga (cafetarias),
Note! (papelaria, livros e presentes), ZU (petcare e serviços veterinários),
Washy (lavandarias self-service) e Home Story (móveis e acessórios para a
casa).

A BIT é a área de sistemas de informação que atende os negócios de

retalho alimentar e especializado da Sonae, com cerca de 40 mil
colaboradores e um volume de negócios de cerca de 5 mil milhões de
euros. Com soluções para as diferentes referências da cadeia de valor, para
mercados tão variados como clínicas, parafarmácias, passando por
aplicações de supermercado e de moda, a BIT compromete-se a
desenvolver novas soluções de IT (Information Technology) para responder aos
desafios diários dos consumidores, mantendo-se na linha da frente
correspondendo à forte concorrência existente no setor.
18

A Figura 1 exibe o organograma da empresa com a representação das

diferentes insígnias do grupo, sendo a área em foco nesta dissertação a
Sonae MC, em particular a BIT, sendo esta a área de sistemas de
informação da MC, com interação com diferentes equipas e
departamentos, sendo o presente apresentado na equipa de Segurança
Operacional.

Figura 1: Organograma Sonae com as respetivas insígnias do grupo

O projeto PAM contou com a ajuda da equipa técnica da Delinea e da

IBM, a equipa de parceiros da Noesis e da BIT. O principal objetivo do
presente trabalho é fazer a revisão da implementação nos setores da saúde
e empresarial de soluções de PAM, utilizando como exemplo este caso de
estudo. O PAM é uma solução com o propósito de gerir acessos
privilegiados de contas de utilizadores e serviços aos sistemas alvo. Atua
como um gateway para conectar utilizadores privilegiados autorizados com
os recursos digitais que têm permissão para os usar e protege estas contas
privilegiadas de hackers e ameaças internas.

O acesso privilegiado é a chave para as informações mais valiosas de uma

organização. Sendo que estes perfis com altos privilégios podem ser
comprometidos por meio do comprometimento de credenciais. Como
resultado, a implementação da gestão de acesso privilegiado tornou-se
uma prioridade. Esta ferramenta capacita as organizações a garantirem que
as pessoas certas acedem aos sistemas certos pelos motivos certos. Protege
contas privilegiadas de hackers e ameaças internas, ajudando a garantir a
conformidade regulatória e aumentando a produtividade do utilizador
simplificando o acesso seguro. Os ataques cibernéticos aumentaram 125%
desde 2010 e são a principal causa de violações de segurança de dados de
saúde (Kruse, C. S. et al. 2017). Entre 2011 e 2013, as violações
aumentaram de 42% para 81% (Shawon S. M. Rahman, A. L. 2021), sendo
que aproximadamente 90% dos profissionais e/ou instituições de saúde
enfrentaram violações de dados nos últimos dois anos.

O acesso a informações médicas permite que os atacantes cometam roubo

de identidade, fraude médica, extorsão e a capacidade de obter ilegalmente
substâncias controladas, sendo o principal foco nos dados pessoais e
privados armazenados de informação confidencial como os dados clínicos
de pacientes (Al-Zubaidie, M., Zhang, Z. e Zhang, J. 2019). Um ataque
tem um custo de resolução de cerca de 3,4 milhões de euros, sendo que
um estudo realizado em 2017 diz que até cerca de 40% das empresas
sofreram um incidente de segurança, sendo os ataques cibernéticos
responsáveis por até 90% da perda de dados nos setores da saúde (Kruse,
C. S. et al. 2017). À medida que as organizações de saúde fazem a transição
para sistemas eletrónicos, muitas ficam vulneráveis aos ataques
cibernéticos. Num ambiente hospitalar, a falta de acesso aos dados de
saúde provocadas por estes ciberataques pode ser prejudicial para a prática
clínica e segurança do paciente, sendo cada vez mais urgente a
implementação de mecanismos de segurança, como por exemplo bons
sistemas de backup, de forma a proteger informações vitais quer no setor
empresarial como no setor da saúde. Soluções como a do PAM permitem
à equipa de administração, gerir acessos privilegiados, responder
funcionalmente em caso de urgência e mitigar possíveis consequências
destes ataques.
 20

2. Objetivos
No presente capítulo são apresentados os objetivos da tese que se baseia
na implementação de tecnologia no setor da saúde apoiada em práticas
empresariais e acompanhamento da implementação de ferramentas para
gestão de acessos privilegiados.

O trabalho apresenta como objetivo principal a revisão da utilização de

gestão de acessos privilegiados nos setores da saúde e empresarial, visando
explorar melhorias ao nível da segurança e gestão de dados sensíveis,
diminuindo o risco de exfiltração e probabilidade de exposição a ataques
cibernéticos. Perante esta revisão, serão analisadas as vantagens e
viabilidade da adaptação deste tipo de ferramentas no setor da saúde,
considerando as limitações e equívocos encontrados em estudos prévios
ao longo do desenvolvimento do estado da arte, sugerindo melhorias de
implementação.

Os objetivos subjacentes à presente temática passam pela:

• Sumarização de um caso de estudo empresarial, através do
acompanhamento da implementação do projeto de PAM na Sonae
MC, na BIT, junto da Delinea, dos técnicos da IBM, parceiros da
Noesis e da BIT em vários Sprints de integração de equipas internas
• Sugestão e adaptação do caso de estudo empresarial apresentado no
setor da saúde identificando pontos em comum
• Criação de um guia de boas práticas para a possível implementação de
um caso de estudo em saúde, com base nas práticas empresariais
identificadas
A Sonae MC implementou com sucesso várias soluções tecnológicas nas
suas operações, não sendo o presente caso de estudo uma exceção.
Através da revisão sistemática e follow-up da implementação no setor
empresarial é possível identificar pontos em comum em ambos os setores,
sendo possível transpor algumas etapas de implementação no setor da
saúde. A criação de um guia de boas práticas baseado na integração em
meio empresarial irá proporcionar orientações mais objetivas para a
possível implementação de estratégias de gestão de acessos privilegiados
em saúde, facultando uma maior segurança da informação vital para a
prestação de cuidados de saúde, protegendo a organização e os seus
pacientes.
 22

3. Enquadramento Teórico
3.1 Contextualização Teórica

Nesta secção são introduzidos alguns conceitos fundamentais na área de

cibersegurança, em particular na gestão de acessos privilegiados. Segundo
o Manual de Segurança de Computadores do Instituto Nacional de
Padrões e Tecnologias dos Estados Unidos, em inglês National Institute of
Standards and Technology (NIST), é definido o termo de segurança de
computadores como a proteção fornecida a um sistema de informação
automatizado, com o objetivo de alcançar os objetivos aplicáveis de
preservar a integridade, disponibilidade e confidencialidade dos recursos
do sistema de informação, incluindo hardware, software, firmware,
informações ou dados e telecomunicações. De forma a garantir que o
sistema de informação é adequadamente protegido, assim como os seus
os recursos preservados, devem ser atingidos os objetivos de segurança
estabelecidos seguidamente.

3.1.1 Segurança de dados

A tríade CIA é um modelo importante na área de segurança da

informação, projetado para orientar políticas de segurança da informação
dentro de uma organização garantindo uma abordagem abrangente para
proteger os dados, sistemas e recursos contra ameaças e ataques
cibernéticos. Os elementos da tríade, presentes na Figura 2, representam
os principais objetivos da segurança da informação, considerando três
necessidades fundamentais: Confidencialidade, Integridade e
Disponibilidade.
 Figura 2: Elementos da tríade CIA

A confidencialidade refere-se à confidencialidade dos dados e à

privacidade dos mesmos. A confidencialidade dos dados refere-se à
proteção de informações sensíveis contra acesso não autorizado,
mantendo os dados privados seguros. Alguns exemplos de violação de
confidencialidade podem ser o compartilhamento de credenciais ou a falha
de proteção de senhas. Os recursos que permitem garantir a
confidencialidade incluem o controlo de acesso, a criptografia de dados e
campanhas de consciencialização e formação adequada em relação à
proteção de dados. Em relação à privacidade, esta garante que os
indivíduos controlam ou influenciam quais as informações que podem ser
recolhidas e armazenadas e por quem e para quem essas informações
podem ser divulgadas, tendo poder sobre o uso e compartilhamento dos
seus dados pessoais. Ao proteger a confidencialidade e privacidade dos
dados, visa-se evitar o acesso não autorizado e garantir que os indivíduos
têm controlo sobre as suas informações pessoais.

A integridade refere-se à integridade dos dados e integridade do sistema.

A integridade refere-se à proteção das informações contra alterações não
autorizadas, permitindo que se mantenham precisas e confiáveis, sem
serem adulteradas ou corrompidas. Em relação à integridade dos dados,
esta garante que as informações e os programas são alterados apenas de
maneira especificada e autorizada, mantendo-os exatos. Para garantir isso,
24

os dados devem ser protegidos durante o envio e aquando do

armazenamento. Em relação à integridade do sistema, este garante que um
sistema executa a função pretendida de maneira inalterada, livre de
manipulação não autorizada deliberada ou inadvertida do sistema.
Algumas medidas para proteger a integridade incluem a criptografia,
hashing, certificados e auditorias, sendo que o seu comprometimento pode
surgir de vários vetores de ataque ou por via de erros humanos.

A disponibilidade envolve garantir que os sistemas funcionam

prontamente e que o serviço não é negado a utilizadores autorizados,
estando as informações e sistemas disponíveis e acessíveis quando
necessários. A falha em fornecer a disponibilidade pode ocorrer devido a
erros de software ou hardware, falta de energia, desastres naturais ou erros
humanos, uma vez que se requer que todos os componentes necessários
para fornecer o acesso estejam online. Para garantir que os dados
protegidos podem ser acedidos por utilizadores autorizados quando
necessário, algumas formas de garantir a disponibilidade incluem a
implementação de redundância de infraestrutura, em manter os sistemas
atualizados, backups, planos de recuperação de desastres e soluções de
proteção contra ataques (Walkowski, 2019).

3.1.2 Ferramentas para Confidencialidade

O compartilhamento e armazenamento de informações é cada vez mais

comum. Neste sentido, surge o termo confidencialidade que se tornou
uma preocupação crítica para as empresas e indivíduos, evitando a
divulgação não autorizada de informação. A confidencialidade envolve a
proteção de dados sensíveis, fornecendo acesso aos utilizadores que têm
permissão de visualização e excluindo os restantes, impedindo que estes
últimos recolham qualquer informação sobre o conteúdo protegido.
Através da implementação de medidas de segurança e controlo, preserva-
se a integridade e privacidade da informação através de Criptografia,
Controlo de Acesso, Autenticação e Autorização que serão explicados
seguidamente, sendo estes dois últimos conceitos detalhados na Figura 3.
Criptografia: A transformação da informação por meio de um segredo,
chamado de chave para cifrar, de forma que a informação transformada
só possa ser lida por meio de outro segredo, chamado de chave para
decifrar. A chave para decifrar pode, em alguns casos, ser igual à chave
para cifrar.

Controlo de Acesso: As regras e políticas que limitam o acesso a

informações confidenciais a pessoas e/ou sistemas com permissões para
o fazer. Essa permissão de acesso pode ser determinada pela identidade,
como o nome de uma pessoa ou o número de série de um computador,
ou por uma função que uma pessoa desempenha, como gerente ou
especialista em segurança de computadores.

Autenticação: A determinação da identidade ou papel que alguém tem.

Pode ser feita de várias maneiras diferentes, mas geralmente é baseada
numa combinação de algo que a pessoa possui (como um smart card, ou
uma radio key para armazenar chaves secretas), algo que a pessoa sabe
(como uma senha) e algo que a pessoa é (ser humano com uma impressão
digital). A autenticação refere-se a comprovar a propriedade de uma conta,
não concedendo acesso direto a recursos. Este processo geralmente é
finalizado fornecendo um login/ nome de utilizador e um segredo, sendo
este uma senha ou outra forma de chave ou segredo.

Autorização: A determinação se uma pessoa ou sistema tem permissão

para aceder a recursos, com base numa política de controlo de acesso.
Essas autorizações devem impedir que um invasor engane o sistema para
conseguir ter acesso a recursos protegidos. Após a autenticação do
utilizador, ocorre a autorização, sendo esta uma etapa obrigatória para o
sistema de destino conhecer a identidade do utilizador e os privilégios
atribuídos à sua conta.
26

Figura 3: Diferenças entre Autorização e Autenticação

(adapted from Authentication vs. Authorization Defined, 2020)

3.1.3 Gestão de Identidade

No final de 1990, quando a Internet se tornou acessível a todos, o controlo

de acesso passou por uma grande transformação. De forma a garantir a
segurança dos dados das empresas, surgiram as primeiras soluções Identity
and Access Management (IAM). O ano de 2002 foi significativo para a gestão
de identidades e acessos com a aprovação da lei Sarbanes-Oxley no
Congresso dos Estados Unidos. Pouco depois surgiram as primeiras
verdadeiras soluções IAM desenvolvidas por empresas como a IBM e a
Oracle, tendo sido publicados em 2006 os primeiros serviços de gestão de
identidade (The Evolution of IAM, 2019).

A identidade é um conceito complexo e multifacetado que ocorre em

diferentes contextos científicos, podendo ser uma representação de uma
entidade que pode ser física ou um agente de programação. Em termos
gerais, a identidade pode ser descrita como o resultado da combinação de
três conjuntos de dados, sendo estes, identificadores, credenciais e
atributos. Os identificadores podem ser uma série de caracteres, dígitos e
símbolos, ou qualquer outro dado que permita identificar um sujeito,
como o nome de utilizador ou o número de telefone. As credenciais são
utilizadas para justificar reivindicações relacionados com a identidade,
enquanto os atributos descrevem elementos do sujeito de forma a
possibilitar a sua identificação, como o nome, idade, género e funções. Na
tecnologia da informação, os termos, utilizador e utilizador final, referem-
se a pessoas que utilizam dispositivos de IT. As contas de utilizador
combinam informações como o nome do utilizador, senha entre outros.
No campo da computação, o termo identidade apresenta uma cobertura
mais ampla que o termo utilizador, englobando também entidades físicas
e agentes de programação (Bertino & Takahashi 2010, 21-22).

3.1.4 IAM vs PAM

O PAM e o IAM, representados na Figura 4, apresentam o mesmo

princípio, sendo que a identidade e privilégio se encontram
intrinsecamente ligados. Ambos visam garantir que as pessoas certas têm
acesso aos recursos certos, no entanto, o domínio do PAM é geralmente
aceite como parte do scope amplo do IAM.

Figura 4: Esquema IAM vs PAM (adapted from Carson, 2019)

O principal objetivo do IAM é ter uma identidade digital por indivíduo,

devendo esta ser mantida, modificada e monitorizada. O IAM abrange
todos os utilizadores numa empresa e pode ajudar a gerir utilizadores
privilegiados. Acrescentando-se o PAM à equação é possível adicionar
mais camadas de proteção para contas com elevado privilégio, uma vez
que o IAM de forma isolada pode apresentar alto risco na gestão desses
acessos por falta de visibilidade e probabilidade de esquecimento (Wang,
2018). São mencionadas duas abordagens de autorização no IAM sendo
estas, Role-Based Access Control (RBAC) e Attribute-Based Access Control
(ABAC). Em relação ao RBAC, este é um controlo de acesso com base
28

nas funções do utilizador, ou seja, uma coleção de autorizações de acesso

que um utilizador recebe com base numa suposição explícita ou implícita
de uma determinada função. Existem diferentes papéis para diferentes
funções de trabalho, sendo estes atribuídos a identidades que podem ser
utilizadores ou grupos. As permissões de uma função podem ser herdadas
por meio de uma hierarquia de funções e geralmente refletem as
permissões necessárias para realizar funções definidas dentro de uma
empresa. A prática recomendada em relação ao RBAC é conceder
permissões mínimas para a função, conhecido como o princípio do menor
privilégio. O ABAC é uma forma de autorização que permite controlar o
acesso com base nos atributos do utilizador, atributos relacionados à
aplicação ou sistema que está a ser acedido e condições ambientais atuais,
sendo este um modelo mais flexível que o RBAC (Carter, 2017).

O PAM, que faz parte do IAM, foca-se no controlo e segurança de contas

privilegiadas que representam um maior risco para a empresa em caso de
comprometimento. Uma ferramenta PAM, ao contrário de uma
ferramenta IAM ou gestão de senhas, protege e gere todo o tipo de contas
privilegiadas, assim como autorizações de utilizadores individuais e de
contas compartilhadas, como superutilizadores, contas administrativas e
contas de serviço. Os diferentes scopes de atuação do IAM e do PAM
encontram-se representados na Figura 5 (Haber & Hibbert, 2018).

Figura 5: Scopes PAM e IAM (adapted from Haber & Hibbert, 2018)
 3.1.5 Contas padrão vs Contas privilegiadas

Várias empresas apresentam diretórios de utilizadores nos seus sistemas

com dados como o email, número de telefone e nome. Essa informação
pode ser facilmente acedida adivinhando-se as credenciais desses
utilizadores para elaboração de um possível ataque. A maioria dos
dispositivos vêm com credenciais padrão que os administradores são
instruídos a alterar ao fazer a configuração inicial. Através das credenciais
dos utilizadores, um hacker pode comprometer as contas exfiltrando
informação confidencial e/ou realizando atividades fraudulentas. As
ameaças típicas para assumir o controlo de contas privilegiadas podem ser
realizadas por:
• Insiders que apresentam, direitos excessivos, podendo aceder a
informação sem monitorização.
• Ataques de phishing, malware ou engenharia social para obter acesso a
desktops, laptops ou servidores, levando ao comprometimento de contas
locais de utilizadores na empresa.
• Senhas, dispositivos ou aplicações com senhas fracas, aumentando a
probabilidade de comprometimento das contas.
• Pós fraude, em que os criminosos usam um ataque lateral das suas
contas num desktop, laptop ou servidor para obter credenciais para uma
conta privilegiada, podendo ser feito através do roubo de senha ou
acesso a um sistema em que um funcionário já está conectado.
• Movimento lateral pela rede, após obtenção de acesso a uma conta
privilegiada, os cibercriminosos movem-se lateralmente à procura de
informação confidencial ou outros recursos possíveis de atacar.
• Exploração de vulnerabilidades, ou outras táticas para obtenção do
acesso administrativo.

As contas de IT encontram-se divididas em contas padrão e contas

privilegiadas, consoante o tipo de perfil do utilizador. Uma conta padrão,
geralmente representa uma identidade humana, como uma conta de
utilizador do Active Directory (AD), que precisa de acesso regular a sistemas
de negócios não sensíveis, sendo que esta conta possui um nome de
30

utilizador e uma senha associada. Normalmente, há uma conta deste tipo

para cada pessoa na empresa.

O acesso privilegiado abrange qualquer utilizador com acesso a um

sistema além do nível de utilizador regular. As contas privilegiadas podem
representar um utilizador humano ou não humano e fornecem níveis
administrativos ou especializados de acesso a sistemas corporativos e
dados sensíveis da empresa, baseando-se em níveis mais elevados de
permissão. As empresas geralmente apresentam duas a três vezes mais
contas privilegiadas do que funcionários. As contas privilegiadas podem
ser usadas para aceder a recursos como servidores, bases de dados,
aplicações ou workstations. Com este tipo de contas, o utilizador pode
ajustar permissões, criar contas de acesso ocultas ou criar, excluir e/ou
extrair dados sensíveis e privados. As contas privilegiadas que precisam de
permissões elevadas incluem:
• Contas administrativas locais
• Contas administrativas de domínio
• Contas de “break glass” usadas em casos de emergência
• Contas de serviço
• Contas da AD ou de domínio
• Contas de Root para superutilizadores que gerem plataformas Unix/
Linux
• Contas que executam e gerem aplicações, servidores e equipamentos
de rede
• Contas de Administradores de Sistema que gerem servidores,
plataformas em nuvem e bases de dados
As contas administrativas locais fornecem acesso privilegiado apenas a um
localhost, enquanto as contas administrativas de domínio concedem
permissões em todo o domínio. As contas de "break glass" são usadas em
caso de emergência, por exemplo, para fins de recuperação de desastres.
As contas de serviço podem ser contas locais ou de domínio usadas por
uma aplicação ou serviço para se comunicar com o sistema operacional. A
AD é um banco de dados do Windows Server que garante que os utilizadores
estão conectados aos recursos de rede necessários, contendo utilizadores
com vários detalhes, como o endereço eletrónico e o contacto telefónico.
A AD permite a criação de utilizadores e a criação de grupos que podem
vincular os direitos de acesso do utilizador. Os grupos dentro da AD
podem ser vinculados a sistemas externos e podem ser controlados por
objetos de política de grupo.

As contas privilegiadas são usadas tipicamente por Administradores de

Sistemas (sysadmin), para implementar e manter sistemas de IT, sendo
necessário este tipo de privilégios para instalar o hardware/ software do
sistema, aceder a dados sensíveis, redefinir senhas de outros utilizadores,
fazer login em todas as máquinas num ambiente e fazer alterações nos
sistemas de infraestrutura de IT. Em suma, algumas contas privilegiadas
podem ser atribuídas a humanos ou não, podem estar associadas a
indivíduos, como utilizadores de negócios, máquinas locais ou
administradores de domínio e rede, enquanto outras podem ser contas de
serviço usadas para fornecer acesso a redes, bases de dados e aplicações,
incluindo sistemas da Internet of Things (IoT) e ferramentas DevOps. A
Figura 6 inclui informações sobre os tipos de contas privilegiadas, os seus
utilizadores, onde estes se encontram, como são utilizadas e protegidas e
os riscos associados em caso de comprometimento (Carson, 2017).

Figura 6: Tipos de contas privilegiadas no PAM

32

3.2 Privileged Access Management (PAM)

A procura por soluções que melhorem a Gestão de Identidades e Acessos

tem crescido nos últimos anos. As empresas necessitam de responder a
requisitos de conformidade e regulamentação cada vez mais exigentes,
obrigando-as a prestar mais atenção aos processos de autenticação e
autorização dos utilizadores da organização. Independentemente da área
de atuação, as empresas lidam com uma quantidade significativa de
serviços associados a diferentes utilizadores e as suas respetivas senhas de
acesso, apresentando diferentes níveis de permissões e funções associadas.

Neste sentido, surge a necessidade de implementação de soluções que

facilitem a gestão de acessos em particular dos acessos privilegiados como
a solução PAM. A chave para a gestão de acessos privilegiados concentra-
se em entender as contas que a organização possui, o tipo de acessos
necessários e manter a sua segurança interna e externa, sendo que
paralelamente devem ser feitas avaliações de risco regulares para os
sistemas com dados confidenciais. Estas avaliações devem ter em conta o
risco que os dados apresentam se expostos, perdidos, alterados ou
comprometidos, sendo que estes variam de acordo com o tipo de negócio,
como bancos, hospitais ou empresas de tecnologia. O acesso aos sistemas
internos é feito por meio de credenciais vinculadas aos níveis de acesso
permitidos a cada funcionário da empresa.

Atualmente, cerca de 80% das violações envolvem credenciais

comprometidas, sendo que estas apresentam um papel vital no sucesso e
prevenção de um ataque cibernético, não podendo assim ser
negligenciadas. Independentemente dos sistemas implementados como
firewalls e outros controlos de acesso, as soluções para a gestão de acessos
privilegiados tornam-se uma prioridade de segurança para todas as
organizações, de forma a responder às ameaças cibernéticas que cada vez
são mais persistentes em ambientes de negócio complexos e
interdependentes.
O PAM, em particular o presente caso de estudo sobre a ferramenta IBM
Security Verify Privilege Vault, é um gestor de senhas suficientemente flexível
e abrangente que permite a integração de uma ampla gama de acessos ou
subsistemas que se enquadram nos diferentes sistemas críticos da empresa
que possuem autenticação com contas de alto privilégio que necessitam
de proteção. Estes tipos de soluções incluem diversas vantagens, sendo as
principais características:
• Mitigação de ameaças de segurança relacionadas com a exploração de
aplicações através da remoção de direitos administrativos locais em
servidores e dispositivos.
• Deteção e integração automática de credenciais e segredos com
privilégios utilizados por entidades humanas e não humanas.
• Administração centralizada de políticas que permitem aos
administradores estabelecer parâmetros como a complexidade de
senhas, a frequência de rotação das mesmas, o tipo de acessos, entre
outros.
• Rotação automática de senhas ajudando a reforçar a segurança.

3.2.1 Conceitos-chave do PAM

O PAM apresenta um conjunto de conceitos-chave importantes

relacionados com as diferentes funcionalidades e roles associados. Nesta
secção, apresentam-se alguns termos utilizados com as respetivas
descrições, permitindo o conhecimento de autorizações de utilizadores,
grupos, segredos e funções.

Autorizações do Utilizador:
• Usado para aceder a uma solução PAM e respetivos segredos, auditoria,
configuração de aplicações ou administração, entre outros.
• Pode ser utilizado localmente ou importado de qualquer plataforma de
serviço de diretório, como o Active Directory, Azure AD, entre outros.
• Para importar utilizadores de qualquer plataforma de serviço de
diretório, grupos são criados na plataforma de serviço de diretório para
mapear utilizadores com funções e pastas/ segredos correspondentes.
34

Figura 7: Autorizações de utilizador

Autorizações dos Grupos:

• Pode ser criado localmente ou importado da plataforma de serviços de
diretório, como o Active Directory, Azure AD, entre outros.
• Um utilizador criado localmente ou importado de uma plataforma de
serviço de diretório pode ser adicionado a grupos locais.
• A modificação de um grupo importado de uma plataforma de serviço
de diretório não pode ser realizada a partir da solução PAM, mas
apenas pode ser modificada a partir da própria plataforma de serviço
de diretório.

Figura 8: Autorizações de grupos

Autorização do Segredo:
• Credencial armazenada e gerida na solução PAM para a proteger contra
qualquer uso indevido.
• Pode ser adicionado manualmente ou descoberto usando a solução
PAM (Discovery).
• As credenciais de vários ativos ou dispositivos podem ser armazenadas,
incluindo servidores, bases de dados, dispositivos de rede, aplicações,
credenciais de contas bancárias, chaves API, contas de serviço, entre
outras.
• São automaticamente verificados, geridos e sincronizados com os
endpoints geridos usando a solução PAM.

Figura 9: Autorizações dos segredos

Autorização da Pasta:
• Container usado para armazenar e segregar segredos na solução PAM,
conforme a necessidade, criando várias pastas com base em aplicações,
endpoints de destino, regiões ou workstation.
• As pastas podem ser organizadas noutras pastas para criar
subcategorias para cada conjunto de classificações.
• Um utilizador ou grupo pode ser adicionado às pastas para fornecer
permissões de acesso aos segredos, respetivamente.
• As permissões são Visualização, Edição, Proprietário e Adicionar
segredo, que podem ser herdados para subpastas.

Figura 10: Organização de pastas e subpastas

36

Autorização de Funções:
• Modeladas de acordo com o mecanismo de controlo de acesso baseado
em função (RBAC).
• Método usado para regular as permissões de acesso granular para gerir
a solução PAM.
• Por padrão, existem 3 funções definidas no PAM de segurança da IBM,
sendo estas o perfil de Administrador, Utilizador e Somente leitura.
• Cada utilizador ou grupo deve ser atribuído a uma função.
• Cada função contém um conjunto de permissões para executar as
tarefas necessárias de acordo com as suas funções de trabalho.

Figura 11: Autorizações de funções

Em ambientes de IT, a gestão de acesso é feita através do fornecimento

de acesso e respetivas permissões com base nas funções do utilizador.
Essas funções podem permitir que o utilizador padrão aceda apenas a um
navegador de Internet através da configuração de launchers, enquanto
diferentes tipos de contas privilegiadas, são utilizadas para fornecer acesso
a recursos e funcionalidades protegidas. Essas permissões podem ser
concedidas consoante o tipo de role da conta e tipo de informação a aceder,
possibilitando diferentes níveis de privilégios dentro de um único sistema.
De uma forma geral, quanto maior a sensibilidade do recurso, maior a
necessidade de elevação de privilégios para os aceder. O equilíbrio na
concessão de privilégios pode ser uma tarefa desafiante, pois as
diminuições de privilégios podem reduzir concomitantemente o
desempenho dos funcionários, enquanto acessos com excesso de
privilégio podem representar um risco de segurança.

3.2.2 Importância do PAM na segurança da informação

Atualmente, uma parte significativa do cibercrime envolve o uso indevido

de contas com elevados privilégios, expondo informação sensível a
ataques cibernéticos. No ambiente corporativo, estima-se que exista, em
média, o dobro de contas privilegiadas em comparação com o número de
colaboradores. Estas contas, geralmente encontram-se em diferentes
sistemas, sem gestão ativa e muitas vezes diferenciada, encontrando-se
sujeitas ao possível esquecimento. Devido ao nível de acesso dessas
credenciais a recursos confidenciais e críticos da empresa, estas contas
representam um risco grave para a empresa. Proteger estas contas
privilegiadas deve ser uma grande prioridade para as empresas, uma vez
que até a perda de uma credencial de baixo nível pode levar a uma
catástrofe de segurança. Outra realidade associada ao ambiente
corporativo é o compartilhamento indevido de credenciais de contas
administrativas, sendo frequente em equipas de IT. Estas condições levam
a inconsistências na implementação de melhores práticas de gestão,
embora seja mais conveniente para os utilizadores, retira a possibilidade
de vincular de forma efetiva ações realizadas por um determinado
utilizador, tornando a solução ineficaz (Carson, 2017).

Nas empresas é encorajada a limitação de privilégios, no entanto,

restrições muito rigorosas podem causar uma diminuição de eficiência e
performance e promove ações alternativas menos seguras. Por outro lado, os
utilizadores finais podem acabar com permissões privilegiadas excessivas
devido à atribuição de novas tarefas consoante a sua atividade profissional
que exigem permissões adicionais. Esta realidade também se estende a
contas aplicacionais e contas de serviço. Consequentemente, e devido à
falta de gestão regular de acessos, as permissões privilegiadas atribuídas
acabam por se acumular. De forma a proteger os seus sistemas e dados
contra ameaças e ataques cibernéticos, as empresas que lidam com
informações confidenciais devem fortalecer a segurança de informação e
38

de cibersegurança e apostar em ferramentas de gestão de acessos

privilegiados. A implementação da solução PAM permite às empresas
reduzir o risco de fraude, proteger informações confidenciais, gerir os
acessos privilegiados e controlar os privilégios das contas de
administradores e/ou contas com privilégios elevados aos recursos
críticos da empresa (Carson, 2018).

A tecnologia da informação encontra-se associada a questões de

privacidade e segurança de dados. O PAM sustenta o uso de algumas das
sete funções críticas na segurança cibernética que ajudam a lidar com
incidentes cada vez maiores de violação de dados. Neste sentido, o
primeiro papel vital é o risco e conformidade, que ocorre quando existe
conformidade regulatória através de aplicações que permitem gerir
políticas, avaliar riscos, controlar o acesso de utilizadores e otimizar a
conformidade. A segunda função crítica é a autorização de identidade e
gestão de acesso para entrar ou sair dos sistemas de tecnologia, sendo que
a terceira passa pela deteção de invasões. A quarta função crítica é usada
para identificar e verificar as ocorrências de violação de segurança. A
quinta função vital envolve a criptografia de dados para entrada e saída
com todos os dados transmitidos. A sexta função crítica consiste na
proteção e uso de software para antivírus e antimalware com os sistemas de
IT. E por último, a sétima função vital é proteger dados pessoais e
privados contra acesso não autorizado. Algumas das funcionalidades da
presente solução de gestão de acessos privilegiados encontram-se
descritos seguidamente e ao longo do trabalho, tornando-se clara a
importância do PAM na segurança da informação (Hintsanen, 2020).

3.2.3 Ciclo de vida do PAM

Numa fase inicial de integração da solução PAM, uma estratégia no

contexto de um programa contínuo e em evolução, deve ser bem definida,
incluindo todas as políticas necessárias, assim como os controlos de
segurança para todos os sistemas-alvo que precisam de ser definidos e
implementados. As aplicações utilizadas na empresa precisam de ser
mapeadas e deve ser feito o levantamento da sua possível necessidade de
integração no PAM, incluindo o acesso de terceiros e cenários de
recuperação em caso de desastre, abrangendo assim todas as áreas
(Hintsanen, 2020).

O Ciclo de Vida de Gestão de Acessos Privilegiados, presente na Figura

12, oferece um framework para auxiliar os especialistas em PAM a gerir os
acessos privilegiados como um processo contínuo. As diferentes fases
deste ciclo, detalhadas seguidamente, incluem a definição dos acessos
privilegiados, a descoberta e gestão dos mesmos, a monitorização e
emissão de alertas quando detetado um comportamento anormal,
habilitando a solução para responder a incidentes e permitindo uma
revisão contínua através de auditorias e atualizações. Quando todas as
etapas forem percorridas de forma abrangente, poderá a solução PAM
proteger adequadamente as contas privilegiadas e os seus recursos
(Carson, 2018).

Figura 12: Ciclo de vida do PAM (Carson, 2018)

As principais etapas do ciclo de vida do PAM são:

1. Definir acesso privilegiado

A primeira fase de definição dos acessos privilegiados na solução PAM é

a mais demorada, uma vez que é necessário investigar onde residem os
segredos mais críticos para a organização de forma a entender
40

completamente qual a combinação de acesso privilegiado adequado para

o ambiente envolvido na integração, assim como as suas respetivas
infraestruturas. Para definir os acessos privilegiados, é necessário realizar
uma avaliação básica de risco, sendo que estes processos de avaliação
devem ser contínuos, integrados e automatizados. De forma prática, a
primeira etapa passa por conhecer o significado do termo “acesso
privilegiado”, através da identificação de contas com elevado privilégio na
organização definindo políticas de governança. Nesta fase do ciclo de vida
do PAM tem de se compreender quem tem acesso a este tipo e contas e
quando estas são utilizadas, sendo essencial na gestão da complexidade e
integração desta ferramenta.

2. Automatizar a descoberta (Discovery) de privilégios

A segunda fase do ciclo aborda a execução de processos de descoberta,

para encontrar todas as contas que requerem privilégios, incluindo contas
de utilizadores, contas de serviço, contas de administrador local em
endpoints e aplicações. Depois de realizado o processo de descoberta e
estando identificadas as contas privilegiadas, será necessário obter
informações mais detalhadas sobre os elementos de segurança dos
privilégios. A descoberta não é um evento único e deve ser automatizada
e revista no mínimo semanalmente, uma vez que é preciso existir uma
descoberta contínua para revelar a extensão da superfície de ataque e o
risco associado.

3. Gerir e proteger o acesso privilegiado

A terceira fase enquadra a gestão e proteção dos acessos privilegiados para

administradores e utilizadores de contas privilegiadas, sendo necessário o
controlo do acesso a workstations, servidores, containers e consolas de
plataformas em nuvem a um nível granular. Para controlar o acesso a
contas privilegiadas é feita a rotação de password e aplicados requisitos de
MFA (Multifactor Authentication) durante o login e a elevação de privilégios.
Controlos automatizados são a única forma prática para gerir e proteger
devidamente contas privilegiadas em escala.
4. Monitorizar o uso e acesso

A quarta fase do ciclo de vida do PAM visa monitorizar e registar todas as

atividades das contas privilegiadas em uso de forma detalhada,
aumentando a supervisão sobre o comportamento e atuação dos
utilizadores. O processo de monitorização pode ajudar a determinar se
uma conta foi comprometida através da identificação das root causes e
controlos críticos que podem ser melhorados de forma a reduzir o risco
de ameaças de segurança e exposição a ataques cibernéticos. A
implementação de gravação de sessões ao nível do cofre (vault) e/ou ao
nível do host permitem um melhor acompanhamento e gestão de acesso
da solução.

5. Emitir alertas sobre o abuso de privilégios

A quinta fase contempla a deteção e respetiva emissão de alertas sobre

comportamentos anormais associados ao abuso de privilégios e
comprometimento de contas. Através da monitorização abordada na etapa
anterior, torna-se possível identificar este tipo de comportamentos, sendo
que as soluções de análise comportamental ajudam a entender indicadores
de comprometimento, agilizando o modo de atuação. As soluções
externas de SIEM (Security Information and Event Management) são adequadas
para criar alertas configurados para acionar alarmes com base em eventos
suspeitos, podendo ser utilizadas juntamente com as ferramentas internas
de monitorização do PAM. O estudo do comportamento dos utilizadores
de contas privilegiadas é feito pela determinação de bases para atividades
privilegiadas normais, como a atividade do utilizador, acesso a senhas, o
comportamento de utilizadores semelhantes e horário de acesso, criando
uma referência para alertar em caso de uso indevido e fora do padrão
estabelecido pelas ferramentas de segurança de gestão de acessos
privilegiados. Durante a implementação do PAM, as integrações MFA e
SIEM devem estar em vigor desde o início.
42

6. Habilitar o PAM para resposta a incidentes

A sexta fase do ciclo de vida inclui a resposta que a solução PAM tem a
incidentes dependendo do nível de comprometimento das contas e do
nível de risco apresentado. No caso de uma conta de serviço a ser
comprometida, a rotação de senha pode ser suficiente, no entanto, se for
uma conta de administrador de domínio esta medida pode não ser
suficiente. Conforme a empresa evolui, o uso do PAM e as necessidades
devem ser consideradas, sendo necessário investigar o uso de contas com
alto privilégio. Quando existe um comprometimento bem-sucedido de
uma conta, os hackers podem instalar malware a até mesmo criar as suas
próprias contas privilegiadas de backdoor, sendo necessário investigar o uso
das mesmas e analisar a atividade e o comportamento dos seus
utilizadores, de forma a evitar este tipo de intrusão.

7. Rever de forma contínua, realizar auditoria e atualização

A sétima etapa do ciclo de vida do PAM implica a geração de alertas

baseados em inteligência artificial e relatórios que ajudam a rastrear a causa
do incidente de segurança. A implementação do PAM deve passar por
auditorias internas em intervalos regulares de forma a garantir que os
utilizadores têm privilégios corretos com base na segregação de funções e
no princípio do menor privilégio. As auditorias de contas privilegiadas
ajudam a gerar métricas que fornecem informações vitais para os
executivos tomarem decisões de negócios informadas. Como parte do
processo de auditoria, devem ser mapeadas as práticas de PAM para os
controlos de segurança delineados nas leis que se aplicam à organização.
Como a maioria dos softwares, as tecnologias de PAM também recebem
atualizações, tornando-se essencial manter esta tecnologia atualizada. A
realização de auditorias, ajudam as equipas a preparem-se para auditorias
externas, sendo que as equipas devem abordar a conformidade não apenas
como um cumprimento de requisitos necessários, mas como uma forma
de fortalecer a postura de segurança das organizações que implementam
este tipo de soluções de gestão de acessos privilegiados.
4. Estado da arte
4.1 Estudos prévios e desafios de segurança na saúde

O setor da saúde mantém-se entre as principais indústrias visadas por

ataques cibernéticos. Cerca de 40% das empresas sofreram um incidente
de segurança, incluindo organizações de saúde. Os hackers realizam ataques
cibernéticos para obter acesso às informações de segurança dos hospitais,
consequentemente, existe um interesse crescente no melhoramento da
segurança cibernética e tecnologia da informação em saúde. Seguidamente
apresentam-se nas Figuras 13 e 14 as observações retiradas de uma revisão
sistemática sobre as principais ameaças e tendências modernas na
segurança cibernética na área da saúde (Kruse, C. S. et al. 2017).

Figura 13: Resumo das principais ameaças de segurança na área da saúde

44

Figura 14: Resumo das principais ameaças de segurança na área da saúde (cont.)

Embora as empresas de segurança e os governos tenham feito progressos

para diminuir a prevalência de ataques cibernéticos, o setor de saúde está
a ficar para trás de outros setores líderes relativamente à proteção de dados
vitais. Este é um setor crucial para um estado-nação, uma vez que se
encontra diretamente relacionado com a vida dos cidadãos residentes em
cada país. À medida que as entidades de saúde aumentam a dependência
da infraestrutura de IT para suas operações, o atendimento ao paciente
fica mais exposto aos cibercriminosos. Os ataques cibernéticos contra este
setor podem ter um impacto devastador na privacidade e segurança dos
pacientes. Como a infraestrutura de IT da área de saúde luta com novas
tecnologias e protocolos de segurança, o setor é um dos principais alvos
do roubo de informações médicas (Kruse, C. S. et al. 2017). Devido à sua
importância, o Departamento de Segurança Interna (DHS) dos Estados
Unidos listou o setor de saúde como um Setor de Infraestrutura Crítica
separado (Departamento de Segurança Interna [DHS], 2017). A
dependência de outros setores em relação a uma infraestrutura crítica,
especialmente o Setor de Tecnologia da Informação, podem aumentar a
eficiência e concomitantemente aumentar a vulnerabilidade do setor da
saúde a ameaças e riscos cibernéticos atuais. O setor da saúde enfrenta,
assim como outros setores de infraestrutura crítica, ameaças cibernéticas
comuns, como cavalos de Tróia de engenharia social, software sem patch,
ataques de phishing, worms de rede e ameaças persistentes avançadas, como
ataques de Brute Force por exemplo, assim como ataques de ramsomware
(Secureworks, 2017). Num artigo escrito em 2017, são fornecidos os
diversos fatores que podem aumentar as vulnerabilidades das unidades de
saúde, sendo estas o controlo limitado ou não padronizado das ações dos
funcionários, como médicos e outros clínicos, que inclui hospitais, clínicas,
farmácias e laboratórios. Outros fatores incluem o financiamento limitado
para segurança de IT, a existência de sistemas operacionais antigos ou
obsoletos, apresentação de pouca tolerância relativamente à interrupção
dos serviços de saúde para correção ou substituição dos sistemas
existentes e os milhares de dispositivos médicos em uso que não
apresentam proteções de segurança (Halamka, 2017).

Para além das diversas vulnerabilidades apresentadas, acrescenta-se o tipo

de informação sensível armazenada no setor da saúde que é do interesse
de vários atores, como estados-nação, grupos terroristas, espiões
industriais, grupos de crime organizado, hacktivistas, concorrentes de
negócio, grupos individuais, pequenos grupos de hackers e insiders
descontentes para a execução de ciberataques (Secureworks, 2017). As
informações médicas de um indivíduo são 20 a 50 vezes mais valiosas para
os cibercriminosos do que as informações financeiras pessoais. Na
verdade, os ataques cibernéticos direcionados a informações médicas
estão a aumentar 22% ao ano, com 112 milhões de registos
comprometidos apenas em 2015. As violações de segurança cibernética
causam a perda de dados privados e altamente confidenciais de pacientes
como informações de cartão de crédito, número da segurança social e data
de nascimento que se encontram armazenados em servidores. Essas
informações sensíveis podem levar ao roubo de identidade, sendo que os
hackers usam os dados pessoais roubados para ganho pessoal, incluindo a
aquisição ilegal de dinheiro de clientes e contas de pacientes e a cópia ou
publicação dessas informações ou venda da mesma no mercado negro
(Bruin & Jansen, 2017). Para além da exfiltração de dados, surge a
preocupação com a possível exposição indesejada de dados, resultante da
46

neglicência dos profissionais de saúde e acessos indevidos à mesma,

indicando a necessidade da classe médica garantir a segurança de
informações clínicas confidenciais. Por outro lado, temos os invasores de
estado-nação, sendo que nações hostis podem querer prejudicar ou
ameaçar indivíduos através da aquisição de dados confidenciais sobre os
pacientes ou de grupos de indivíduos para exploração em massa (Le Bris
& El Asri, 2017). Desta forma, reforça-se assim a urgência da
implementação de medidas de segurança preventivas e responsivas de
forma a mitigar as perdas e reduzir o risco.

Tradicionalmente, os registos de saúde de cada paciente eram mantidos

em papel, tornando-se esta informação confidencial de fácil divulgação,
tornando-se impossível o controlo e gestão de acessos privilegiados a este
tipo de informação (Ferreira, A. et al. 2007). A adoção de documentação
eletrónica gradualmente substituiu os registos de saúde em papel para os
registos eletrónicos de saúde (EHRs) e até os registos pessoais de saúde
(PHR). No entanto, controlar o privilégio de acesso a informação
confidencial e privilegiada ainda constitui um problema significativo no
setor da saúde. De forma a aumentar a segurança dos dados clínicos e a
subsequente proteção dos pacientes, é necessário haver a adoção de
métodos eficazes de gestão de privilégios, através de estratégias de
implementação bem projetadas considerando todos os intervenientes
fundamentais para o bom funcionamento de um ambiente de utilizadores
tão completo como as empresas de assistência médica. A implementação
de um conjunto de medidas de segurança pode melhorar drasticamente a
postura de segurança de uma organização, no entanto, muitas instituições
de saúde não adicionaram ou implementaram programas e processos de
segurança cibernética nas indústrias de saúde, aumentando assim a
exposição a ataques cibernéticos (Luna et al., 2017).

Existe escassez de pesquisas sobre o problema do cibercrime no setor da

saúde e em particular das melhores práticas a adotar para lidar com esses
ataques, independentemente da sua importância e interdependência,
sendo este um setor multidisciplinar que afeta diretamente a vida e
tratamento dos seus pacientes. No entanto, existe um consenso entre a
comunidade científica de que a preparação das empresas de saúde de
forma a melhorar a resposta a incidentes de segurança e recursos de forma
a impedir invasões aos servidores ajuda a evitar as violações de dados.
Deve-se apostar na educação, treino e consciencialização dos
funcionários, uma vez que estes ainda representam um risco para as
empresas, mesmo após a implementação de políticas e ferramentas de
segurança rigorosas, encontrando-se ainda vulneráveis às ameaças internas
que uma classe negligente representa. É assim, imperativo que tempo e
dinheiro sejam investidos na manutenção e garantia da proteção da
tecnologia em saúde e da confidencialidade dos dados dos pacientes contra
acessos não autorizados. Em suma, a assistência médica e todo o setor da
saúde deve-se adaptar continuamente às tendências e ameaças ao nível da
segurança cibernética que se encontra em constante mudança, de forma a
proteger uma população vulnerável que conta com os cuidados de saúde.

4.2 Desafios no setor da saúde durante a COVID-19

O setor da saúde é o principal afetado por ataques cibernéticos, sendo que
as ameaças existentes antes foram agravadas com o início da pandemia de
COVID-19. No seu artigo, Pranggono e Arabo (2020) relataram uma
correlação entre a COVID-19 e o aumento de ataques cibernéticos
direcionados a setores vulneráveis. Durante esse período foram lançados
ataques que afetaram a prestação de cuidados, testes e pesquisas, assim
como ataques politicamente motivados a organizações como a
Organização Mundial de Saúde (OMS), departamentos de saúde de alguns
países e hospitais. Com a pandemia surgiu a necessidade de adaptação ao
trabalho remoto que comprometeu a infraestrutura e as ferramentas
públicas de tecnologia da informação construídas com urgência em novos
edifícios de saúde, estruturas temporárias ou edifícios convertidos e mal
equipados para lidar com ameaças cibernéticas em comparação com o
standart previamente utilizado, criando amplas superfícies para ataques em
vários dispositivos implementados à pressa. A expansão em grande escala
das instalações de saúde também aumentou o número de vulnerabilidades,
onde erros humanos contribuíram para violações de segurança, sendo que
48

os hackers exploraram o nível reduzido de precauções de segurança

quando a crise se desenvolveu. Como nunca dantes visto, a segurança
física e a cibersegurança estão a convergir. Isso resulta na exposição de
vários dispositivos, uma vez que são manuseados por várias pessoas, e
também na implementação apressada de redes, telessaúde (e-health) e
infraestruturas de trabalho remoto. Como resultado, os limites e controlos
tradicionais estão a desaparecer rapidamente, aumentando as
oportunidades para os adversários realizarem mais ataques. Um exemplo
desses desafios é, por exemplo, a dificuldade enfrentada por médicos de
família que não conseguem aceder aos registos dos pacientes devido a
ameaças cibernéticas que entram em conflito com a essencialidade de
aceder aos registos eletrónicos de saúde durante a pandemia para os
aconselhar adequadamente.

A pandemia tornou-se, infelizmente, numa forte oportunidade para

propagação de desinformação, notícias falsas e armadilhas em sites
fraudulentos, como forma de aproveitamento da necessidade de
informação por parte dos profissionais de saúde e pessoas comuns dada a
situação que se encontravam a viver e as dificuldades que
concomitantemente vieram associadas. Esta disseminação de informações
incorretas pode prejudicar a resposta efetiva à pandemia, causar confusão
e aumentar a desconfiança na área da saúde. O processamento seguro dos
registos clínicos dos pacientes é outro problema, tornando-se fundamental
realizar auditorias regulares para identificar fontes de ameaças,
vulnerabilidades, violações de políticas ou processos e exposições de
ativos de informações a ameaças cibernéticas. Essas medidas são
importantes mesmo em tempos sem pandemia, mas tornam-se ainda mais
críticas durante estes momentos de crise.

Em tempos de crise é de extrema importância que o setor da saúde

aprimore a sua segurança cibernética integrando diversos métodos de
prevenção e proteção investindo em recursos e tecnologias de segurança
cibernética, assegurando assim a continuação dos cuidados primários de
saúde fundamentais para a saúde pública, permitindo uma resposta
robusta fase a um cenário de crise humanitária e sanitária como a vivida
durante a pandemia. Além disso, é necessário promover a
consciencialização e educação sobre boas práticas de segurança entre os
profissionais de saúde e a população em geral. A colaboração entre
instituições de saúde, governos e especialistas em segurança cibernética
desempenham um papel fundamental na proteção dos sistemas de saúde
contra ameaças cibernéticas durante a pandemia e futuramente.

4.3 HIPAA vs GDPR

O setor da saúde desempenha um papel importante para um país, o que

significa que deve ter ênfase particular do governo federal por meio de
legislação, coordenação interdepartamental e estratégias colaborativas. A
Health Insurance Portability and Accountability Act (HIPAA) e a General Data
Protection Regulation (GDPR), do português Regulamento Geral sobre a
Proteção de Dados (RGPD), são leis de proteção de dados, sendo
seguidamente apresentadas na Tabela 1, as suas principais características.

Tabela 1: Principais características entre HIPAA e GDPR

Padrões de
Health Insurance Portability and
conformidade de
Accountability Act (HIPAA)
dados
País/Local Estados Unidos da América (EUA)
Origem 104° Congresso dos Estados Unidos
Efetivo 14/04/2003
Manter seguras as informações protegidas
de saúde (PHI) e os registos médicos;
obter autorização do paciente sobre o uso
Objetivo e divulgação de PHI; conceder aos
pacientes direitos sobre as suas PHIs,
incluindo o direito de obter cópias
PHI (Personal Health Information)
(Qualquer informação sobre o estado de
Tipo de informação saúde de uma pessoa, provisões ou
pagamentos de assistência médica que
possam ser usados para identificar a
pessoa)
Planos de saúde, provedores de
assistência médica, câmaras de
Conformidade compensação de assistência médica e
seguradoras que recolham e armazenam
PHIs de cidadãos dos EUA
General Data Protection
Regulation (GDPR)
União Europeia (UE)
Parlamento Europeu e
Conselho da União Europeia
25/05/2018
Obter consentimento antes de
recolher dados pessoais; manter o
mínimo de dados pessoais
armazenados; proteger os dados
pessoais armazenados com
medidas adequadas
Dados Pessoais
(Qualquer informação relacionada
com uma pessoa física que pode
ser usada para a identificar direta
ou indiretamente)
Qualquer entidade comercial que
faz negócios na EU, qualquer
entidade comercial que monitoriza,
recolhe ou armazena dados
pessoais de residentes da EU
50

Os dados podem ser um ativo valioso, particularmente quando

contemplam informações exclusivas. As empresas sempre investiram
dinheiro e recursos na proteção de propriedade intelectual e segredos
comerciais contra o roubo, sendo que mais recentemente, o valor passou
para as informações de identificação pessoal (PII). Este tipo de
informação quando comprometida, através de roubo de identidade ou
fraude financeira, pode afetar milhões de pessoas. As empresas necessitam
de garantir aos seus clientes a sua segurança de forma a realizar negócios,
assumindo assim responsabilidade em manter essas informações seguras.
Através destas diretrizes, as empresas garantem a confiança do público
geral em termos de negociação e a justiça no mercado ao punir aqueles
que não cumprem com as suas responsabilidades, permitindo assim o
compartilhamento de dados de forma segura.

Os hospitais também têm diretrizes rígidas sobre como os dados devem

ser armazenados e protegidos. A fim de contornar violações de dados de
saúde, a Lei de Portabilidade e Responsabilidade de Seguro de Saúde
(HIPAA) de 1996 implementou proteções físicas (segurança da workstation,
controlo de dispositivos e controlo de acesso às instalações) e técnicas
(número de identificação de utilizador exclusivo, procedimento de acesso
de emergência, log off automático, criptografia e descriptografia) para
garantir a proteção de informações confidenciais contra cibercriminosos.
Em 2003, a HIPAA passou a abranger informações transmitidas
oralmente e por escrito, sendo que a partir de 2005, incluiu os registos
eletrónicos nas suas regulamentações. Esta regulamentação aplica-se a
todos os profissionais de saúde, independentemente do tipo de profissão.
Fora do ambiente hospitalar, as diretrizes da HIPAA aplicam-se a
seguradoras, uma vez que estas têm acesso aos registos dos pacientes e a
empresas que utilizam estes dados para rastreamento dos seus
funcionários. Segundo a HIPAA, os pacientes têm o direito de determinar
quem pode aceder aos seus registos de saúde e devem receber um Aviso
de Práticas de Privacidade dos profissionais de saúde (Alic, 2018). Do
ponto de vista interno, os hospitais devem restringir a atividade dos
utilizadores e permissões de acesso, sendo que o histórico médico ou o
diagnóstico de um paciente devem ser acedidos apenas pelas
intervenientes estritamente necessários.

O Regulamento Geral de Proteção de Dados (RGPD), ou GDPR em

inglês, uma das leis de privacidade de dados mais rigorosas do mundo, é
um regulamento do direito europeu sobre a privacidade e a proteção de
dados pessoais, aplicável a todos os indivíduos na União Europeia (UE) e
no Espaço Económico Europeu (EEE), regulamentando também a
exportação de dados pessoais fora da UE. Foi criado em 2018, sendo que
passou a ser aplicável de forma obrigatória a 25 de maio desse ano. O
RGPD reconhece os dados relativos à saúde como uma categoria especial
de dados e fornece uma definição para proteção de dados de saúde. De
acordo com o GDPR existem três tipos de dados pessoais que são
particularmente relevantes para a indústria de saúde sendo estes, dados
relacionados com a saúde (saúde física ou mental, assim como qualquer
informação relacionada com o tipo de tratamento recebido), dados
genéticos (resultados laboratoriais, análises de amostras biológicas, assim
como quaisquer características que possam revelar detalhes da fisiologia
ou saúde do paciente) e dados biométricos (imagens faciais, impressões
digitais, entre outros). Este regulamento proíbe o processamento dessas
formas de dados de saúde, a menos que uma das três condições,
seguidamente apresentadas seja atendida, sendo estas:
• “Consentimento explícito” do titular dos dados.
• Processamento necessário para fins de medicina preventiva ou
ocupacional, para avaliação da capacidade de trabalho do funcionário,
diagnóstico médico, fornecimento de cuidados de saúde ou sociais ou
tratamento ou gestão de sistemas e serviços de saúde ou sociais.
• Processamento necessário por razões de interesse público na área da
saúde pública, como proteção contra ameaças graves transfronteiriças
à saúde ou garantia de altos padrões de qualidade e segurança dos
cuidados de saúde e produtos ou dispositivos médicos.
Para além de proibir o tipo de processamento dos dados acima referidos,
o GDPR apresenta o “direito ao apagamento” ou o “direito ao
esquecimento”, o que significa que os pacientes têm a opção de solicitar a
52

uma instituição de saúde para apagar todos os seus dados recolhidos numa
determinada circunstância.

Independentemente da distinção entre estas duas regulamentações,

surgem problemas internacionais quando estes não são cumpridos, sendo
que a maioria das organizações de saúde sediadas nos Estados Unidos da
América (EUA) assume erroneamente que, se não tiverem operações na
Europa, o GDPR não se aplica, no entanto, a lei abrange qualquer dado
recolhido sobre um cidadão da UE em qualquer parte do mundo. De
forma a detalhar as principais diferenças associadas a estas duas
regulamentações, apresenta-se seguidamente, na Tabela 2, uma explicação
dos pontos de divergência entre o GDPR e a HIPAA.

Tabela 2: Principais diferenças entre HIPAA e GDPR

Regulamentações HIPAA GDPR

Apenas entidades cobertas pela
Âmbito indústria de saúde nos EUA
Protege apenas PHI (informações
Definição de dados
sobre o estado de saúde, histórico
protegidos
médico e serviços de saúde)
Permite que todas as entidades
cobertas usem e divulguem PHI
para tratamento, pagamento e
Consentimento operações de saúde sem obter
consentimento explícito do
indivíduo
Aplicada uma multa de US$ 100 a
US$ 50.000 ou mais por violação, e
Penalidades e multas até US$ 1.500.000 que podem ser
aplicados por ano
Todas as organizações que
processam dados pessoais de
residentes da UE/ EEE,
independentemente da sua indústria
ou localização
Protege todos os dados pessoais
(informações básicas de identificação,
nome, endereço e número de
telefone)
Exige que as organizações obtenham
o consentimento explícito dos
indivíduos para processar os seus
dados pessoais
Multas de até 4% da receita global
anual da empresa ou €20 milhões (o
que for maior) e podem levar a danos
na reputação e perda de negócios
4.4 Caso de estudo de implementação PAM - Sonae MC
4.4.1 Apresentação do caso de estudo no setor empresarial

Com o objetivo de reforçar a segurança dos sistemas na Sonae MC foi

implementada em parceria com a IBM uma solução de gestão e proteção
de acessos privilegiados, o IBM Security Verify Privilege Vault, encontrando-
se representada a homepage da aplicação na Figura 15.

Figura 15: Frontpage da aplicação PAM (IBM Security Verify Privilege Vault)

Esta é uma tecnologia composta por um conjunto de estratégias para

controlar acessos privilegiados de utilizadores, contas, processos e
sistemas. Algumas das principais características descritas neste projeto são:
• Discovery e classificação automatizada
• Armazenamento de credenciais e senhas
• Gestão de senhas/ rotação automática de senhas
• Autenticação multifatorial
• Gestão de sessão
• Monitorização de sessão
• Auditoria
• Integração de contas de serviço
• Gestão de Identidade e Acesso (Integração de IAM)
• Integração com SIEM
54

Esta solução específica da Sonae para implementação do PAM inclui

diferentes ferramentas, sendo as principais associadas ao presente projeto
as descritas na Tabela 3.
Tabela 3: Descrição das principais ferramentas do PAM implementadas no caso de estudo

Implementar Secure Vault
Discovery de privilégios
Gerir credenciais ou segredos
Delegar acesso
Controlo de sessões
Ferramentas PAM
Armazenar credenciais privilegiadas encriptadas e centralizadas
Identificar todos os serviços, aplicações, administradores
e contas privilegiadas
Garantir a complexidade e rotação automática de passwords
Controlo de acesso baseado em perfis (RBAC), workflow
de acessos, aprovação extra
Implementar estabelecimento de sessão, proxies de ligação,
monitorização e gravação da atividade

O projeto de implementação da solução na Sonae MC, contou com a

participação da equipa de administradores internos da BIT, da equipa de
parceiros da Noesis, técnicos da Delinea, mas maioritariamente
configurações da equipa de técnicos da IBM, ajudando no onboarding e
discovery de cada equipa para integração das suas ferramentas de trabalho.
Na Figura 16, encontra-se um esquema da equipa de projeto associada à
implementação da solução.

Figura 16: Equipa de projeto responsável pelo PAM (Sonae MC/ BIT)
Na fase inicial do projeto foram definidas as etapas do mesmo, junto dos
respetivos objetivos previstos de alcançar validando-se em reuniões de
apresentação da solução. Seguidamente, na Tabela 4, apresentam-se
descritas as diferentes fases do projeto e os objetivos esperados para cada.

Tabela 4: Descrição das fases do projeto

Project Phase Milestone

Phase 0 – Project Initiation
Phase 1 – Analysis and design
Phase 2 – Installation and Configuration
Phase 3 – Target integration Sprints
Plano de projeto
Definição da arquitetura do sistema
Definição de requisitos funcionais e design de alto
nível
Instalação, configuração e operação do IBM
Security Verify Privilege Vault
IBM Security Verify Privilege Vault resultados de teste
de caso de uso de integração de destino sprint

O projeto consistiu em duas waves principais, de acordo com a prioridade

dos sistemas a proteger, estando cada wave dividida em sprints onde foi
analisado, desenhado e implementado cada sistema a proteger. Na Tabela
5, representada seguidamente, estão descritas as tarefas dentro de cada
wave do projeto, com a respetiva divisão em sprints e integração de targets
por equipas.
Tabela 5: Descrição do plano macro do projeto

Plano macro
Selecionar a melhor solução PAM e parceiro para
implementação
Procurement Seleção da Solução
Definir arquitetura de alto nível
-
Definir políticas de PAM e governança de contas
Planeamento de projetos e comunicação
Workshops da equipa do projeto e alocação de
Planning Início do Projeto
recursos
-
Instalação e configuração da solução PAM
Sprint 1
Implementação solução PAM
Implementação de Sprint 2
Discovery, integração, gestão de senha e gestão de
linha de base para Sprint 3
Wave 1 ativos de destino
sessão para ativos de destino de prioridade 1
Sprint 4
(virtualização, storage, IAM, Windows, Unix,
de prioridade 1 Sprint 5
Segurança, Bases de Dados)
Sprint 6
Lançamento da funcionalidade de linha de base
Implementação de
para ativos de destino de prioridade 2 Sprint 7
linha de base para
Wave 2 ativos de destino
Discovery, onboarding, gestão de senha e sessão para Sprint 8
ativos de destino de prioridade 2 (Infraestruturas Sprint 9
de prioridade 2
e plataformas de rede, segurança e nuvem)
56

4.4.2 Design da Arquitetura

De forma breve, a presente solução de PAM encontra-se implantada em

dois data centers numa configuração do tipo ativa-ativa. No data center
principal, temos componentes de infraestrutura redundantes para garantir
alta disponibilidade dentro do data center, utilizando load balancers de carga
locais. No caso de falha de componentes individuais no data center
principal, o serviço pode ser retomado de forma automática sem
intervenção manual. Caso surja a necessidade de implementar
componentes adicionais, estão são efetuados no data center secundário. No
cado de ocorrer um desastre ao nível do data center principal, o serviço pode
ser retomado no data center secundário, porém não numa configuração
altamente disponível. A solução PAM configurada pela equipa da IBM
apresenta um gestor de acesso entre os três principais atores, neste caso
administradores, utilizadores finais e auditor, e os sistemas da Sonae. Esses
atores desempenham papéis distintos na gestão e monitorização dos
acessos privilegiados. O gestor de acesso funcionará com outros métodos
de autenticação como AD, MFA, SIEM, entre outros.

Na Figura 17, apresenta-se uma visão geral do funcionamento da solução,

tornando-se o PAM responsável pelo controlo e gestão de acessos
privilegiados, demonstrando a interconexão de vários componentes e
sistemas de forma a garantir a segurança e funcionalidade do software.

Figura 17: Design da arquitetura da solução PAM (caso de estudo)

Atuando como uma camada de segurança adicional para proteger as
contas de alto privilégio, a solução PAM encontra-se integrada com outros
componentes e sistemas importantes, como o IAM, SIEM, Servidores
Lightweight Directory Access Protocol (LDAP), Simple Mail Transfer Protocol
(SMTP) e soluções MFA, explicados seguidamente. Além disso, esta
solução encontra-se conectada a uma variedade de sistemas alvo e
infraestruturas incluindo aplicações de segurança, bases de dados,
servidores, aplicações, dispositivos de rede e infraestrutura de nuvem.

Identity and Access Management (IAM): Responsável pela gestão de identidade

e acesso dos utilizadores, assim como as suas permissões de acesso em
geral. Estes sistemas permitem que a empresa faça a gestão da aplicação
de funcionários sem fazer login em cada uma como administrador. A
integração com o PAM permite uma gestão mais rigorosa dos acessos
privilegiados.

Security Information and Event Management (SIEM): A tecnologia de gestão de

informações e eventos de segurança é uma solução que confere suporte
na deteção de ameaças, conformidade e gestão de incidentes de segurança
por meio de recolha e análise de eventos de segurança. Esta ferramenta
apresenta como principais recursos a gestão de eventos de log, a capacidade
de analisar eventos de log e outros dados em diferentes fontes e recursos
operacionais, como gestão de incidentes, dashboards e relatórios. A
integração do SIEM com o PAM permite o registo e monitorização
detalhada de atividades relacionadas com os acessos privilegiados.

Servidores Lightweight Directory Access Protocol (LDAP): As empresas

armazenam nomes de utilizadores, senhas, endereços eletrónicos,
conexões de impressoras, entre outros dados estáticos em diretórios. O
LDAP é um protocolo de aplicação aberto e neutro para aceder e manter
dados, armazenando informações sobre utilizadores, grupos e políticas de
acesso. O LDAP também pode lidar com a autenticação, de forma a
permitir apenas uma conexão com acesso a vários arquivos diferentes no
servidor. A integração destes servidores com o PAM permite que as
58

informações de acesso privilegiado sejam sincronizadas e geridas de forma

centralizada.

Simple Mail Transfer Protocol (SMTP): Protocolo de transferência de correio

simples é o protocolo padrão de comunicação utilizado para o envio de
mensagens de correio eletrónico através da Internet entre dois dispositivos
computacionais (emissor e recetor), utilizado para enviar e receber emails.
A integração com o PAM permite o envio de notificações e alertas
relacionados com os acessos privilegiados.

Solução de Autenticação Multifator (MFA): Componente central de uma

forte política de gestão de identidade e acesso, são soluções de
autenticação que exigem múltiplos fatores para verificar a identidade de
um utilizador. A integração desta solução com o PAM permite garantir
uma camada adicional de segurança, ao autenticar utilizadores antes de
conceder os acessos privilegiados.

4.4.3 Visão geral de alto nível Intelligent Surveillance Video

Processing and Visualization

Figura 18: Funcionalidades associadas ao presente caso de estudo

Nesta secção é abordada uma visão geral de alto nível do conceito Intelligent
Surveillance Video Processing and Visualization (ISVPV), traduzido para
sistema de processamento e visualização de vídeo de vigilância inteligente.
Esta representação exposta na Figura 18, apresenta uma visão geral de alto
nível desse conceito, descrevendo de forma geral as principais
funcionalidades e características do sistema. Normalmente, estes
permitem detetar eventos suspeitos e/ou atividades anormais, análise de
padrões de comportamento, rastreamento, assim como a disponibilização
de recursos de análise e visualização de dados.

As principais capacidades associadas ao software do PAM, descritas pela

Delinea são enumeradas seguidamente:
1. Armazenamento de Senhas (Password Vaulting): representa o principal
método de segurança, sendo que o armazenamento de senhas é
efetuado num local central altamente seguro, protegido por
criptografia, garantido um acesso extremamente limitado a todas as
senhas.
2. Alteração e Geração Automática de Senhas: o PAM permite gerar
senhas aleatórias ou fazer a rotação da senha atual, cada vez que um
utilizador solicita acesso, evitando a reutilização ou comprometimento
de senhas.
3. Automação: execução automática de tarefas repetitivas relacionadas
com senhas, permitindo alertar a equipa de administração da solução
sobre várias condições de acesso privilegiado.
4. Disaster Recovery (DR): este recurso é uma ferramenta para acesso de
sistemas críticos em caso de emergência, como uma interrupção de
rede. O DR gera atualizações em intervalos regulares a partir de uma
instância do Verify Privilege Vault (a fonte de dados) para outra(s)
instância(s) (as Réplicas). Um conjunto selecionado de pastas e os
segredos que estas contêm terão todas as alterações enviadas de forma
segura para as Réplicas configuradas de modo que, caso a Fonte de
Dados se torne inacessível, as Réplicas possam ser rapidamente
utilizadas para acesso de emergência aos sistemas vitais.
60

5. Acesso para Não-Empregados: para fornecer acesso remoto seguro,

sem requerer a concessão de credenciais de domínio a parceiros,
fornecedores e contratados que podem precisar de acesso contínuo
aos sistemas. É limitado o acesso aos recursos necessários e reduzida
a probabilidade de acesso privilegiado não autorizado, garantindo que
todas as atividades de terceiros são monitorizadas e registadas.
6. Acesso de Emergência a Sistemas Críticos: esta solução permite a
configuração de launchers de aplicações, permitindo um acesso direto e
seguro às ferramentas de trabalho de cada utilizador e de cada equipa.
Esta configuração permite a entrada imediata em aplicações, sem
revelar senhas.
7. Protocolos de Autenticação Multifatorial: este software permite
acrescentar uma camada adicional de segurança com MFA quando um
utilizador solicita acesso inicial, bem como quando solicita acesso
elevado. Outras funcionalidades, como a autenticação OATH
(Initiative for Open Authentication) e tokens proprietários também podem
ser integrados como parte da solução PAM implementada.
8. Gestão de sessões: através de workflows de automação das várias etapas
de aprovação durante a duração da sessão, o software de PAM consegue
configurar, para cada função do utilizador, regras de check-out e receber
notificações para solicitações de acesso específicas que requerem
aprovação manual do administrador.
9. Pontos de Acesso Móveis: este software permite fornecer integrações
com um launcher de aplicações seguro permitindo assim o acesso a
dispositivos remotos.
10. Auditoria e Relatórios: gravação de sessões privilegiadas e geração de
relatórios de atividade, incluindo solicitações de senha, que
contemplam a auditoria de sessões privilegiadas da solução de PAM.
Para além destas funcionalidades, o software permite gerar dezenas de
relatórios críticos, incluindo relatórios de ativos, relatórios de
conformidade e relatórios de atividades privilegiadas.

Qualquer solução de PAM deve incluir recursos abrangentes de auditoria

e geração de relatórios, assim como auditoria interna e monitorização de
riscos relacionados aos acessos privilegiados. A governança do PAM
instrui como o PAM deve ser implementado nas operações diárias das
organizações. As normas e políticas devem ditar quem tem direito a aceder
a quais recursos. Na Figura 19, apresentam-se as principais
funcionalidades na gestão de identidades privilegiadas associadas ao
presente caso de estudo.

Figura 19: Proteção de identidades privilegiadas através do PAM (workflow)

Garantindo a segurança das identidades privilegiadas, o PAM:

• Suporta o RBAC e diversos métodos de autenticação, incluindo
Single Sign-On (SSO) e MFA.
• Pode restringir o login do utilizador com base em IPs (Internet
Protocol) de rede permitidos ou localizações geográficas definidas.
• Pode ser integrado com as ferramentas externas de emissão de
tickets e contém recurso integrado de workflow de solicitação de
acesso.
62

• Fornece isolamento entre o utilizador final e a máquina de destino

usando o gestor de sessão/proxy, onde todas as sessões podem ser
monitorizadas ao vivo para qualquer suspeita de atividade
maliciosa.
• Fornece gravação e geração de relatórios para várias atividades
com relatórios críticos, incluindo de atividade de privilégio, ativos
e de conformidade, entre outros.
• Encontra-se incorporado ao SIEM e às ferramentas de análise de
ameaças para deteção avançada de ameaças e fornece correção
automática.
• Pode ser amplamente integrado com aplicações de terceiros para
gerir e fornecer credenciais com segurança para executar tarefas,
evitando o armazenamento de credenciais codificados ou em texto
não criptografado.
• Integra-se com tipos massivos de ativos/ dispositivos, do local à
nuvem, incluindo servidores, aplicações, bases de dados, contas de
serviço, dispositivos de rede, chaves de Application Programming
Interface (API), cofres de chaves, entre outras.
5. Materiais e Métodos
5.1 Desenho de Estudo

5.1.1 Metodologia de estudo

A revisão sistemática apresentada neste trabalho de investigação em

relação ao setor da saúde e ao setor empresarial foi elaborada segundo as
recomendações e critérios PRISMA (Preferred Reporting Items for Systematic
Reviews and Meta-Analyses). Na fase inicial da pesquisa, a questão de
investigação utilizada “Tendo por base o caso de estudo no setor
empresarial, quais as boas práticas de implementação de PAM no setor da
saúde?” seguiu o formato da metodologia de pesquisa clínica PICO:
População (Profissionais de cibersegurança e investigadores), Intervenção
(Gestão de acessos privilegiados), Comparado (Setores da saúde e
empresarial), e Outcome (Criação de boas práticas aplicáveis ao setor da
saúde baseados no setor empresarial).

5.1.2 Estratégia de Pesquisa

No setor da saúde, a seleção de artigos foi realizada através de uma

pesquisa avançada realizada nas bases de dados Google Académico e
IEEE. A equação de pesquisa utilizada na recolha de artigos foi a seguinte:
(priviledge access management AND PAM AND priviledge access
control) OR (privileged AND access AND management) AND
(healthcare). A pesquisa foi efetuada em inglês, sem aplicação de limite
temporal.

No setor empresarial, a seleção de artigos foi realizada através de uma

pesquisa avançada realizada nas bases de dados ACM e IEEE. A equação
de pesquisa utilizada na recolha de artigos foi a seguinte: (privileged access
management AND PAM AND privileged access control) OR (privileged
64

AND access AND management) AND (business). A pesquisa foi efetuada

em inglês, sem aplicação de limite temporal.

5.1.3 Critérios de Elegibilidade

Foram incluídos todos os estudos que atendessem aos seguintes critérios

de seleção: (1) Aplicação da gestão de acessos privilegiados (PAM), (2)
Implementação no setor da saúde e/ou empresarial, (3) Artigos de acesso
livre e texto completo.

Em relação aos critérios de exclusão: (1) Artigos com idioma diferente de

português e inglês, (2) Outros mecanismos de segurança da informação.

5.2 Processo de Seleção de Resultados

A seleção de artigos foi realizada apenas por um avaliador. Após a

remoção dos duplicados, através do gestor de referências EndNote, numa
fase inicial da pesquisa, todos os títulos e abstracts dos artigos encontrados
nas diferentes bases de dados foram analisados e excluídos caso não
atendessem aos critérios de elegibilidade.

Posteriormente, através da leitura em texto completo foram aplicados os

critérios de inclusão e exclusão previamente definidos, estabelecendo-se
os artigos finais selecionados para a revisão. As características e variáveis
dos artigos selecionados para o estudo foram extraídas, tabeladas e
divididas em diferentes parâmetros: em relação às características do estudo
foram incluídos o nome do autor e o ano do estudo, em relação às
variáveis extraídas em cada estudo foram incluídas o tipo de solução
aplicada, o método utilizado, os objetivos, as palavras-chave e a
funcionalidade utilizada respetivamente em cada publicação.
5.3 Cronograma
De forma a cumprir os objetivos propostos no início do trabalho, as etapas
foram alocadas de forma objetiva ao tempo e recursos necessários para
cada fase do projeto.

As diversas tarefas desenvolvidas para produzir o presente trabalho

encontram-se distribuídas entre os meses de Novembro de 2022 a Julho
de 2023, sendo o cronograma apresentado na Figura 20, abaixo
representada. As etapas de elaboração da dissertação passaram pela
submissão da proposta de tese, aprovação da proposta, revisão da
literatura, análise de dados, interpretação dos mesmos, escrita do trabalho,
discussão final e entrega de documentos, representando de forma sucinta
o processo de maturação da tese apresentada.

Figura 20: Cronograma do projeto desde Novembro de 2022 a Julho de 2023

 66

6. Resultados
6.1 Revisão da Literatura no setor da saúde

Um total de 1983 estudos potencialmente elegíveis foram identificados

através da estratégia de pesquisa (Figura 21), sendo 1960 artigos do Google
Académico e 23 artigos da IEEE. Após eliminação dos duplicados, 1003
artigos foram analisados por título e abstract, resultando na exclusão de 978
artigos por não atenderem aos critérios de inclusão. Dos 25 artigos para
avaliação em texto completo, foram eliminados 10 artigos, por não
incluírem nenhum mecanismo de gestão de acessos, nem qualquer relação
com a solução PAM. Posto isto, a análise final incluiu 15 estudos.

Figura 21: Diagrama de fluxo PRISMA para seleção de artigos (setor da saúde)
Os artigos recolhidos na revisão da literatura no setor da saúde foram
agrupados consoante os resultados obtidos nos respetivos estudos, sendo
representados na Tabela 6.

Tabela 6: Distribuição de resultados por grupos

Grupo 1: Modelos e Métodos para Controlo de Acesso e Proteção de Dados Clínicos

Wilikens, Marc, et al. 2002 69 Chen, Y. e Xu, H. 2013 19
Olson, Lars e., et al. 2009 49 Helms, E., & Williams, L. 2011 29
Jin, J. et al. 2009 35 Fang, L. et al. 2020 24
Liu, Vicky, et al. 2010 44 Jafari, Mohammad, et al. 2011 33
Grupo 2: Segurança e Gestão de Identidades em Sistemas de Saúde
Weaver, A. C. et al. 2004 67 Al-Hamdani, W. A. 2010 3
Wu, S. W. et al. 2011 71 Calvillo, J. et al. 2011 13
Grupo 3: Soluções para Interoperabilidade e Computação em Nuvem
Taweel, A. et al. 2011 61 Coats, B. e Acharya, S. 2013 21
Sivan, R. e Zukarnain, Z. A. 2021 59 -

As Tabelas 7,8,9 e 10 resumem as características dos estudos publicados

entre 2002 e 2021. Foram recolhidas informações sobre o autor e ano do
estudo, solução aplicada, método de utilização, palavras-chave associadas
e funcionalidade.

Tabela 7: Características dos estudos da revisão no setor da saúde (Grupo 1)

Autor e ano Solução Método em Palavras-chave Funcionalidade

do estudo aplicada utilização

Wilikens, RBAC Autorização e RBAC, trust Autoridade

Marc, et al. controlo de acesso infrastructure, secure health certificadora; emissor
2002 69 care system de credenciais; smart
card

Olson, Lars RDBAC Gestão de controlo Reflective Database Access Políticas de emergency-
e., et al. de acesso a bases de Control, Case Study, use, ou “break the glass”,
2009 49 dados Medical Database auditoria para revisão

Jafari, DRM Controlo do uso de Digital rights management, Criptografia de dados e

Mohamma dados após health records, cloud confiança num agente
d, et al. divulgação para DRM para cumprir
2011 33 utilizador autorizado, políticas da licença de
“controlo de acesso uso
persistente”

Legenda: RBAC - Role-Based Access Control, RDBAC - Reflective Database Access Control,
DRM – Digital Rights Management
68

Tabela 8: Características dos estudos da revisão no setor da saúde (Grupo 1)

Autor e ano do Solução Método em Palavras-chave Funcionalidade

estudo aplicada utilização

Liu, Vicky, et Arquitetura Indexação e Architecture of health Plataforma de

al. 2010 44 de implementação de information systems, security computador de alta
segurança módulo de for health information systems, confiança para
para os interface de alta health informatics, network realizar indexação e
sistemas de confiança a ser security for health systems, interface para
indexação integrada nos trusted system, indexing based conectar ao Healthcare
cruzados servidores system for e-health regime, Index System
prestadores de HL7
serviços de saúde

Helms, E., & Controlo de Regulamentos e Access control, role-based Regulamentação

Williams, L. Acesso de critérios de access control, privacy, HIPAA, uso
2011 29 Sistemas de certificação healthcare, health IT, conforme NIST e
EHR de relacionados com electronic health records CCHIT, o padrão
código os sistemas EHR NIST RBAC e as
aberto melhores práticas

Jin, J. et al. Estrutura de Modelo de EHRs, Patient-centric Formulação da

2009 35 autorização controlo de acesso Authorization, Selective semântica e a
centrada no para Sharing composição
paciente compartilhamento estrutural dos
para partilha seletivo de EHRs documentos EHR
de EHR

Chen, Y. e Xu, Gestão de Teoria da EMR, access control, Identificação dos

H. 2013 19 Privacidade integridade information privacy, privacy- atores apropriados, o
em grupos contextual by-redesign, patient care teams, acesso à informação
dinâmicos group dynamics e os princípios de
transmissão da
informação

Fang, L. et al. Criptografia Proteção de Medical data privacy, Oferecer suporte à

2020 24 CP-ABE privacidade para attribute-based encryption, revogação flexível de
compartilhamento smart healthcare, access control identidades e
de dados médicos atributos e
em Smart Healthcare implementar o
controlo de acesso

Legenda: HL7 - Health Level Seven International, EHR - Electronic Health Record, HIPAA -
Health Insurance Portability and Accountability Act, NIST - National Institute for Standards and
Technology, RBAC - Role-Based Access Control, CCHIT - Certification Commission for Health
Information Technology, EMR – Electronic Medical Record, CP-ABE - Ciphertext-Policy Attribute-
Based Encryption

As tabelas 7 e 8 agrupam os artigos do Grupo 1 denominado, Modelos e

Métodos para controlo de Acesso e Proteção de Dados Clínicos. Sendo
seguidamente apresentados os resultados de forma resumida dos artigos.
O estudo de Wilikens, Marc, et al. 2002 69 faz a descrição de um método
para autorização e controlo de acesso baseado no RBAC e a propõe a
utilização destes modelos adaptados com smart cards em infraestruturas no
setor da saúde. O estudo de Olson, Lars e., et al. 2009 49 teve como
objetivo apresentar o modelo de Controlo de Acesso a Bancos de Dados
Reflexivo, Reflective Database Access Control (RDBAC) como alternativa aos
modelos tradicionais, procurando-se o equilíbrio entre as práticas atuais
de controlo de acesso médico com os padrões experimentais de acesso. O
estudo de Helms, E., & Williams, L. 2011 29 fez a avaliação do estado da
prática em controlo de acesso a EHRs, identificando lacunas regulatórios
e de certificação em relação aos padrões de implementação e as boas
práticas. O estudo de Jin, J. et al. 2009 35 permitiu o desenvolvimento de
um esquema de controlo de acesso unificado para o compartilhamento
seletivo centrado no paciente de EHRs virtuais compostos usando
diferentes níveis de granularidade e requisitos de proteção de privacidade.
O estudo de Fang, L. et al. 2020 24 propõe um novo framework seguro para
o compartilhamento de informações clínicas num ambiente de saúde
inteligente, armazenando os dados em servidores semi-confiáveis,
permitindo o compartilhamento seletivo entre diferentes instituições e
profissionais de saúde. O estudo de Chen, Y. e Xu, H. 2013 19 permite a
compreensão da gestão de privacidade em organizações de saúde por meio
de estudos etnográficos, com foco na melhoria dos recursos de controlo
de privacidade a nível de grupo. O estudo de Jafari, Mohammad, et al.
2011 33 propõe um modelo centrado no paciente com controlo total sobre
o compartilhamento de registos de saúde, protegendo a privacidade
através da tecnologia Digital Rights Management (DRM). E por último, o
estudo de Liu, Vicky, et al. 2010 44 propõe uma arquitetura de segurança
para sistemas de indexação cruzada em sistemas de informação de saúde,
garantindo a troca nacional e segura de EHRs.

A tabela 9 agrupa os artigos do Grupo 2 denominado, Segurança e Gestão

de Identidades em Sistemas de Saúde. Sendo seguidamente apresentados
os resultados de forma resumida dos respetivos artigos.
70

Tabela 9: Características dos estudos da revisão no setor da saúde (Grupo 2)

Autor e ano do Solução Método em Palavras-chave Funcionalidade

estudo aplicada utilização

Al-Hamdani, Controlo de Mecanismos de Cryptography, access control, Algoritmos

W. A. 2010 3 Acesso controlo de acesso cryptography access control, criptográficos e novo
Baseado em role-based access control, public modelo baseado na
Criptografia key infrastructure integração de
de Sistemas controlo de acesso
Web de criptográfico
Saúde

Wu, S. W. et al. Agente de Combinação de Access control, data structures, Sistema de

2011 71 Gestão de EHRs com o identity management systems, categorização de
Níveis mecanismo de information security, intelligent funcionários segundo
Categorizad gestão de níveis agents, personal health records, identificação e
os com categorizados para privacy armazenamento de
Estruturas proteger os dados dados em estruturas
de Dados pessoais dos de dados de lista
Baseadas pacientes circular duplamente
em encadeada e árvore B
Florestas
para Acesso
a PHR

Weaver, A. C. Sistema de Serviços da web de - Serviços da web,

et al. 2004 67 IT em saúde autenticação e criptografia AES,
e portal de autorização para compartilhamento de
dados gerir os níveis de confiança federado e
médicos confiança, emitir métodos de
tickets e estabelecer notificação
a identidade personalizados

Calvillo, J. et al. Gestão VOs Gestão VOs Access control, directory Infraestrutura de
2011 13 dentro de dentro de services, PMI, semantic gestão de controlo de
ambientes ambientes de saúde technologies, SOA, VO acesso, considerando
de saúde padrões como a
semântica

Legenda: PHR - Personal Health Record, EHR - Electronic Health Record, AES - Advanced
Encryption Standard, VO – Virtual Organization, PMI - Privilege Management Infrastructures,
SOA - Service-Oriented Architecture

O estudo de Al-Hamdani, W. A. 2010 3 estuda mecanismos de controlo

de acesso em sistemas de informação de saúde e propõe um novo modelo
que integra o controlo de acesso criptográfico RBAC. O estudo de
Weaver, A. C. et al. 2004 67 aborda o desenvolvimento de um sistema de
IT para cuidados de saúde e um portal de dados médicos baseado em
serviços da web. Estes serviços são utilizados para gerir a autenticação,
autorização e acesso aos dados de saúde, garantindo a privacidade e
segurança dos mesmos em conformidade com as regulamentações dos
EUA. O estudo de Wu, S. W. et al. 2011 71 aborda preocupações de
privacidade e propõe a criação de conjuntos de privilégios para cada
identidade do utilizador, permitindo que aplicações de saúde avaliem os
privilégios específicos do utilizador após qualquer evento previsto. O
estudo de Calvillo, J. et al. 2011 13 aborda a gestão de organizações virtuais
em ambientes de saúde, através de tecnologia de grid como middleware para
suportar uma arquitetura de serviço de saúde orientada a serviços, focando
na gestão eficiente das organizações virtuais.

A tabela 10 agrupa os artigos do Grupo 3 denominado, Soluções para

Interoperabilidade e Computação em Nuvem. Sendo seguidamente
apresentados os resultados de forma resumida dos respetivos artigos.

Tabela 10: Características dos estudos da revisão no setor da saúde (Grupo 3)

Autor e ano Solução Método em Palavras-chave Funcionalidade

do estudo aplicada utilização

Taweel, A. et Integração Definir o Interoperability, ehealth, ePCRN e Protótipo

al. 2011 61 dinâmica mecanismo de semantic web services, ontology, de ePCRN-IIA
orientada a interoperabilidade data integration
serviço e orientado a
modelo de serviços com base
dados de nos dados clínicos
saúde

Coats, B. e Integração de Criação de perfis Identity Assurance, OpenID, Utilização OpenID

Acharya, S. provedores de de garantia de Portable Identity, Identity para autenticação e
2013 21 serviços de identidade com Management, Federated mapeamento de
saúde com a diferentes LOA Authentication identidades
nuvem para que mapeiam
validação de especificações de
identidade autenticação NIST

Sivan, R. e Sistema e- Revisão sistemática e-Health, cloud computing, IoT, computação em

Zukarnain, Saúde baseado da literatura security, privacy in health nuvem e computação
Z. A. 2021 59 em nuvem system distribuída

Legenda: ePCRN - electronic Primary Care Research Network, IIA - Interoperable Integration
Architecture, EHR - Electronic Health Record, LOA – Levels of Assurance, NIST - National
Institute of Standards and Technology's, IoT – Internet of Things
72

O estudo de Taweel, A. et al. 2011 61 propõe o uso de modelos de

“problemas” apoiados em vocabulário de domínio bem definido e
controlado para resolver desafios de interoperabilidade em sistemas de e-
Health. O estudo de Coats, B. e Acharya, S. 2013 21 e o estudo de Sivan, R.
e Zukarnain, Z. A. 2021 59 tiveram como objetivo facilitar a adoção de
computação em nuvem pelos provedores de saúde, abordando assim a
crescente pressão efetuada sobre estes para permitir o acesso generalizado
a sistemas de EHR. Desta forma, discute-se que esta adoção pode
proporcionar acesso seguro e eficiente aos recursos eletrónicos para os
pacientes garantindo a conformidade com as regulamentações em vigor
para a segurança e privacidade dos dados.

6.2 Revisão da Literatura no setor empresarial

Um total de 2073 estudos potencialmente elegíveis foram identificados

através da estratégia de pesquisa (Figura 22), sendo 2012 artigos do ACM
e 61 artigos da IEEE. Após eliminação dos duplicados, 2051 artigos foram
analisados por título e abstract, resultando na exclusão de 2023 artigos por
não atenderem aos critérios de inclusão. Dos 28 artigos para avaliação em
texto completo, foram eliminados 19 artigos, pelo mesmo motivo
anteriormente referido. Posto isto, a análise final incluiu 9 estudos.

Figura 22: Diagrama de fluxo PRISMA para seleção de artigos (setor empresarial)
Os artigos recolhidos na revisão no setor empresarial foram agrupados
consoante os resultados obtidos, sendo representados na Tabela 11.

Tabela 11: Distribuição de resultados por grupos

Grupo 1: Privacidade e Controlo de Acesso em Sistemas de Software

Anthonysamy, P., Rashid, A. e Chitchyan, R. 2017 6
Grupo 2: Controlo de Acesso Baseado em Funções (RBAC) e Padrões
Ferraiolo, D. F. et al. 2001 25 Ferraiolo, D. e Barkley, J. 1997 26
Schaad, A., Moffett, J. e Jacob, J.
-
2001 57
Grupo 3: Cibersegurança e Medidas de Proteção em Sistemas Empresariais
Huang, K., Siegel, M. e Madnick, S.
Brucker, A. D. e Petritsch, H. 2009 12
2019 32
Grupo 4: Modelos de Implementação em Contexto Empresarial
Tirtadjaja, W., Rana, M. E. e
Carter, P. E. e Green, G. 2009 17
Shanmugam, K. 2021 62
Kern, A. et al. 2002 36 -

As Tabelas 12, 13, 14 e 15, resumem as características dos estudos

publicados entre 1997 e 2021. Incluindo o autor e ano do estudo, solução
aplicada, método de utilização, palavras-chave e funcionalidade.

A tabela 12 refere-se ao Grupo 1 denominado, Privacidade e Controlo de

Acesso em Sistemas de Software. O estudo de Anthonysamy, P., Rashid, A.
e Chitchyan, R. 2017 6 analisa os requisitos de privacidade em sistemas de
software e alerta para as grandes quantidades de dados pessoais e
informações sensíveis a proteger.

Tabela 12: Características dos estudos da revisão no setor empresarial (Grupo 1)

Autor e ano do Solução Método em Palavras-chave Funcionalidade

estudo aplicada utilização

Anthonysamy, P., Técnicas e Revisão da - Insights para abordar

Rashid, A. e abordagens literatura os requisitos de
Chitchyan, R. que possam privacidade em
2017 6 tratar os sistemas que operam
requisitos num ambiente
de hiperconetado
privacidade
74

A tabela 13 agrupa os artigos do Grupo 2 denominado, RBAC e Padrões.

Sendo seguidamente apresentados os resultados de forma resumida dos
respetivos artigos. Os estudos de Ferraiolo, D. F. et al. 2001 25 e Ferraiolo, D.
e Barkley, J. 1997 26 propõem um padrão para RBAC, fornecendo uma base sólida
para o desenvolvimento de produtos, avaliações e especificações de aquisição na
área de controlo de acesso baseado em funções. O estudo de Schaad, A.,
Moffett, J. e Jacob, J. 2001 57 descreve o RBAC através de um caso de
estudo num grande banco europeu, proporcionando insights da estrutura
do sistema.

Tabela 13: Características dos estudos da revisão no setor empresarial (Grupo 2)

Autor e ano do Solução Método em Palavras-chave Funcionalidade

estudo aplicada utilização

Ferraiolo, D. F. Padrão NIST Análises de Role-based access control, Modelo RBAC e

et al. 2001 25 proposto para mercado, security, access control, Especificação
RBAC protótipos e authorization management, Funcional e
promoção de standards Administrativa do
pesquisas Sistema RBAC
externas

Ferraiolo, D. e Entender Implementaçã - Ferramenta de

Barkley, J. 1997 26 desafios dos o de RBAC visualização e
profissionais para manutenção para
servidores administradores
Web em rede

Schaad, A., RBAC Caso de Role-based access control, Permissões, herança

Moffett, J. e estudo de um control principles, separation of de funções, Separation
Jacob, J. 2001 57 sistema de duties, dual control, number of of Duties, Dual Control,
controlo de roles, role administration, Princípio do menos
acesso usado inheritance, least privilege privilegiado
num banco
europeu

Legenda: NIST - National Institute of Standards and Technology's, RBAC - Role-Based Access
Control

A tabela 14 agrupa os artigos do Grupo 3 denominado, Cibersegurança e

Medidas de Proteção em Sistemas Empresariais. Sendo seguidamente
apresentados os resultados de forma resumida dos respetivos artigos. O
estudo de Huang, K., Siegel, M. e Madnick, S. 2019 32 fornece uma visão
geral sobre o cenário de ataques cibernéticos e fortalecimento das medidas
de segurança para empresas e organizações. O estudo de Brucker, A. D. e
Petritsch, H. 2009 12 fornece uma abordagem integrada para a aplicação de
políticas “break-glass” ou acesso de emergência, em ambientes de controlo
de acesso existentes, em particular em setores críticos onde a flexibilidade
e adaptabilidade das políticas é fundamental para evitar perdas
significativas.

Tabela 14: Características dos estudos da revisão no setor empresarial (Grupo 3)

Autor e ano do Solução Método em Palavras-chave Funcionalidade

estudo aplicada utilização

Huang, K., Pesquisa para Revisão da Cyber-attack business, Framework para

Siegel, M. e compreensão literatura cybercrime, value chain model, analisar as atividades
Madnick, S. sistemática do cyber-crime-as-a-service, e relações envolvidas
2019 32 negócio de hacking innovation, control no ecossistema de
ataques point, sharing responsibility serviços de
cibernéticos cibercrime

Brucker, A. D. Estratégias Modelo Disaster management, Access- SecureUML, break-

e Petritsch, H. "break-glass" orientado a control, Break-glass, Model- glass, MDS
2009 12 em modelos SecureUML driven security
de controlo de
acesso padrão

Legenda: RBAC - Role-Based Access Control, MDS - Model-driven Security,

Por último na revisão da literatura no setor empresarial, a tabela 15 é

referente ao Grupo 4 denominado, Modelos de Implementação em
Contexto Empresarial. Sendo seguidamente apresentados os resultados
obtidos nos respetivos artigos representados neste grupo. O estudo de
Tirtadjaja, W., Rana, M. E. e Shanmugam, K. 2021 62 propõe uma solução
para implementar medidas de proteção eficientes em sistemas
empresariais, analisando políticas para proteger contas de utilizadores
privilegiado e a utilização de PAM e IAM como formas de controlo de
acesso para diferentes permissões de autorização. O estudo de Carter, P.
E. e Green, G. 2009 17 apresenta a importância da gestão de dados
contextualizado em ciberinfraestrutura e redes de dados colaborativas
através da demonstração de um caso de estudo. O estudo de Kern, A. et
al. 2002 36 investiga e propõe um modelo de ciclo de vida para roles aplicável
em sistemas distribuídos e controlo de acesso.
76

Tabela 15: Características dos estudos da revisão no setor empresarial (Grupo 4)

Autor e ano Solução Método em Palavras-chave Funcionalidade

do estudo aplicada utilização

Tirtadjaja, PAM e IAM RAD, metodologia Account management, PAM, Sistema de gestão de
W., Rana, M. desenvolvimento Laravel Framework, Security contas de utilizador
E. e de sistemas infrastructure, Role-based com diferentes níveis
Shanmugam, access control de privilégios
K. 2021 62

Carter, P. E. Modelo de Desenvolvimento - Framework for

e Green, G. Análise de de framework Cyberinfrastructure
2009 17 Questões Data Management
Globais de IT

Kern, A. et Modelo de Processo iterativo- SAM, role life cycle, role Gerir sistemas
al. 2002 36 ciclo de vida incremental engineering, security baseados em funções
de funções administration, distributed
system management, process
model, ESM

Legenda: PAM - Privileged Access Management, IAM - Identity and Access Management, RAD
- Rapid Application Development, IT - Information Technology, SAM - Security Administration
Manager, ESM - Enterprise Security Management

6.3 Estratégias de implementação PAM e boas práticas

na área da saúde

Atualmente, a maioria das organizações tem protegido as suas

informações através de ferramentas tradicionais de segurança de
perímetro, no entanto, devido à rápida evolução tecnológica, com
dispositivos móveis, virtualização e sistemas de computação em nuvem,
tentar estabelecer esses mecanismos de segurança em ativos críticos
deixou de funcionar. A nova preocupação passou para o
comprometimento de credenciais através de ataques cibernéticos. Os
atacantes conseguem facilmente contornar o perímetro tradicional de
segurança sem serem detetados e depois de roubar as identidades
aumentam a exploração de contas privilegiadas. Como forma de resposta
a estes incidentes, cada vez mais prevalentes, devem ser definidas políticas
eficazes e adotadas melhores práticas através de soluções PAM que podem
ajudar as organizações a acelerar a adoção de novas tecnologias evitando
assim o sucesso do ciberataque. No entanto, existem algumas diferenças
entre o setor empresarial e o setor da saúde que podem ser um obstáculo
à sua implementação. Muitas áreas vulneráveis, como o setor da saúde,
devem ser reforçadas contra cibercriminosos, ameaças internas e deve ser
feito um treino adequado de funcionários. O investimento monetário em
cibersegurança e suporte de gestão desempenha um papel significativo na
garantia da implementação da segurança da informação em todos os
processos organizacionais. No setor da saúde, a falta de orçamento para
estas soluções, assim como a falta de literacia em cibersegurança, questões
que não se colocam no setor empresarial, atrasam a implementação destes
sistemas, sendo que uma má configuração e preparação das equipas que
utilizem ou façam a gestão da ferramenta não permitem a obtenção do
resultado esperado. Nesse sentido deve ser feita uma boa estratégia de
implementação, com objetivos e recursos bem definidos de forma a
mitigar as consequências que possam resultar de ataques cibernéticos.

De forma a desenvolver uma solução abrangente de PAM adequadas às

necessidades de um negócio, existem algumas perguntas críticas que
devem ser respondidas numa fase inicial. Como qualquer medida de
segurança de IT projetada para ajudar a proteger ativos críticos de
informações, gerir e proteger contas privilegiadas requer um plano e um
posterior programa contínuo de gestão e manutenção. Seguidamente
descrevem-se os passos a seguir na estratégia de implementação deste tipo
de soluções.

1. Iniciando o processo, é essencial identificar quais as contas

privilegiadas que devem ter prioridade na organização e, de forma
inicial, responder a questões críticas relacionadas com a
implementação específica para o setor da saúde.

• Como é definida uma conta privilegiada na organização?

Como cada organização é diferente, surge a necessidade de mapear quais

as funções importantes do negócio que dependem de dados, sistemas e
acesso. Uma abordagem útil, recomendada pela Delinea, empresa que
78

comercializa a presente solução de PAM configurada pela IBM, pode ser

a reutilização do plano de recuperação de desastres que normalmente
classifica os sistemas importantes que devem ser recuperados
primeiramente, sendo assim identificadas as contas privilegiadas para esses
sistemas.

• Quem necessita de ter acessos às contas privilegiadas definidas?

As contas privilegiadas devem ser categorizadas como contas humanas, de
aplicações e serviços, de sistemas e de infraestruturas, determinando o
nível de interação e controlos de segurança aplicados a cada conta
privilegiada identificada na organização.

• A empresa depende de parceiros que precisam de acesso?

Os parceiros ou prestadores de serviços externos que precisam de acesso
a contas privilegiadas podem representar um dos maiores riscos, pois não
é possível ter controlo total sobre o acesso e gestão das contas
privilegiadas.

• São estabelecidas janelas de tempo para o uso de contas privilegiadas?

Normalmente, sistemas de backup são executados em horários agendados,
assim como a validação de integridade e a gestão de vulnerabilidades que
seguem um teste de penetração agendado. Deve-se saber quando contas
privilegiadas específicas devem ser usadas de forma a traçar um padrão de
comportamento do utilizador de forma a identificar possíveis
irregularidades ou usos indevidos através de uma base temporal definida.

• O que acontece no caso de contas privilegiadas serem comprometidas

por atacantes externos? Existe algum plano de resposta a incidentes
caso estas contas sejam comprometidas?
As contas privilegiadas são as “chaves para o reino”, portanto, no caso de
comprometimento de contas de elevado privilégio, os cibercriminosos
podem instalar malware e até criar as sias próprias contas privilegiadas,
passando despercebidos e recolhendo o maior número de informação.
Muitas organizações não se encontram preparadas para responder a este
tipo de incidentes não sendo suficiente a mudança de senhas de contas
privilegiadas ou a desativação das mesmas.

• Qual é o risco de contas privilegiadas serem expostas por um

colaborador?
Proteger contas privilegiadas contra mau uso ou abuso interno deve se
concentrar nos sistemas mais críticos, sendo que a maioria dos
funcionários não deve ter acesso a todos os sistemas ao mesmo tempo,
incluindo ambientes de produção, sistemas de backup e sistemas
financeiros. Sendo também fundamental, revogar o acesso a funcionários
que mudam de emprego (utilizadores terminados) não podendo obter
permissão às funções anteriores à mudança.

• A organização tem uma política de segurança de IT que abrange

explicitamente contas privilegiadas?
Embora muitas empresas tenham uma política de IT corporativa em vigor,
muitas ainda carecem de políticas para este tipo de contas privilegiadas.
Estas devem ser bem definidas e deve ser detalhado o seu uso aceitável,
sendo bastante relevante a inclusão da informação sobre o responsável
pelo uso de contas privilegiadas.

• A organização precisa de cumprir regulamentos governamentais ou da

indústria?
Se a empresa necessitar de cumprir estes requisitos, é necessário garantir a
segurança das contas privilegiadas. Efetivamente, muitas organizações
precisam de passar por auditorias regulares para cumprir políticas internas
e regulamentos governamentais ou da indústria. Isto significa demonstrar
que as suas contas privilegiadas são auditadas, seguras e controladas.

• Está a ser reportado ativamente ao Chief Information Security Officer

(CISO) sobre o uso e exposição de contas privilegiadas?
80

Não sendo possível observar adequadamente o que está a acontecer com

as contas privilegiadas, aumenta-se o risco de abuso interno, permitindo-
se que atacantes externos escalem privilégios, colocando em risco a
organização e os seus segredos, assim como toda a infraestrutura.

Depois de respondidas às questões críticas acima referidas, numa fase

inicial, de forma a desenvolver uma estratégia abrangente de segurança
PAM, a organização encontra-se mais preparada para implementar as
medidas de segurança para proteção dos seus ambientes de IT, sendo
seguidamente abordadas as próximas etapas.

2. Construir uma base sólida.

Estabelecer uma base sólida para gerir e proteger contas privilegiadas ajuda
as organizações a serem mais escaláveis e flexíveis a adotar novas
tecnologias. Esta construção passa pelo treino e consciencialização na área
de cibersegurança para quem usa e é responsável por contas privilegiadas.
Devem-se também procurar ferramentas que ajudem a automatizar a
descoberta contínua de contas privilegiadas, o armazenamento de senhas
num “vault” seguro, a rotação automática de senhas de forma regular, a
monitorização e relato da atividade das contas privilegiadas, otimizando as
funcionalidades oferecidas pela solução PAM.

3. Estabelecer políticas e controlos de segurança PAM.

Devem ser alterados os IDs e senhas padrão para muitas contas

privilegiadas incorporadas, senhas como “admin” ou “12345” não são
senhas robustas e não representam uma forte campanha de proteção da
organização, tornando as contas vulneráveis a ataques de Brute Force. Uma
política formal de senhas para contas privilegiadas deve ser escrita para
garantir responsabilidade. Não deve ser permitido que contas privilegiadas
sejam compartilhadas diretamente, sendo o acesso limitado por tempo,
nível de permissão e aprovações necessárias.
4. Monitorizar e registar sessões para atividades de contas privilegiadas
que envolvam dados ou sistemas sensíveis.

5. Controlar a criação de novas contas privilegiadas com um processo

formal de revisão e aprovação.

A criação de qualquer nova conta privilegiada deve ser submetida a

revisões e aprovações específicas por um colega ou supervisor. Para além
disso, as ferramentas de automação podem executar descobertas
periódicas para identificar novas contas privilegiadas não autorizadas.
Devem também ser definidas datas de expiração apropriadas para estas
contas, evitando-se o acumular excessivo e desnecessário de privilégios.
Seguidamente, abordam-se as etapas de melhoria contínua na auditoria de
contas privilegiadas e na demonstração de conformidade, depois de
aplicadas as boas práticas e recomendações sugeridas anteriormente.

6. Auditar e analisar a atividade das contas privilegiadas

Examinar como as contas privilegiadas estão a ser utilizadas através de

auditorias e relatórios que permitem identificar comportamentos
incomuns que podem indicar uma violação ou uso indevido. Estes
relatórios automatizados ajudam a rastrear a causa de incidentes de
segurança, além de demonstrarem conformidade com as políticas e
regulamentações associadas à organização. Esta etapa permite a tomada
de decisões de negócio mais informadas por parte das equipas executivas
como o CISO.

7. Demonstrar conformidade com regulamentações.

8. Continuar a descoberta de contas privilegiadas.

Este processo, é a única maneira prática de manter a visibilidade e o

controlo necessários para proteger os ativos críticos de informações na
organização.
82

9. Integrar o PAM com os sistemas de controlo de segurança existentes

O PAM é apenas um componente vital, mas para funcionar efetivamente,

deve ser integrado com outros controlos de segurança da organização para
fornecer uma cobertura de cibersegurança mais abrangente. Uma das
integrações a ter em consideração é a do SIEM, permitindo uma visão
mais aprofundada dos eventos de segurança, oferecendo à equipa de
administração da solução uma identificação mais precisa dos problemas
de segurança associados. Ao implementar um bom plano estratégico de
PAM, limitando o acesso a contas privilegiadas dificulta-se assim o
trabalho dos cibercriminosos e tornam-se as organizações mais seguras.

6.4 Comparação entre setores no PAM

O PAM desempenha um papel crítico na garantia da segurança da

informação, tanto no setor da saúde, como no setor empresarial. Embora
existam diferenças nas necessidades e característica de cada setor, é
necessário elaborar uma abordagem personalizada de forma a atender aos
requisitos específicos presentes em cada um dos ambientes. Com uma boa
estratégia de implementação, as organizações podem garantir a proteção
de dados sensíveis, reduzir os riscos de violações de segurança e manter a
confiança de clientes, parceiros e pacientes. Seguidamente, são
apresentadas as principais diferenças e semelhanças entre o setor
empresarial e da saúde em relação ao PAM.

1. Sensibilidade dos Dados: Semelhança entre setores

A sensibilidade dos dados é semelhante entre os dois setores, uma vez que
ambos lidam com informações sensíveis que necessitam de ser protegidas.
No setor empresarial, essa informação inclui propriedade intelectual,
dados financeiros, informações de clientes e estratégias de negócio. No
setor da saúde, os dados confidenciais dos pacientes, registos clínicos e
informações pessoais são considerados informação altamente sensível e
com necessidade de proteção.
2. Complexidade do Ambiente: Diferente entre setores

Os ambientes onde as soluções PAM são implementadas podem variar

significativamente entre setores. O setor empresarial, de um modo geral,
possui uma infraestrutura de IT diversificada, constituída por servidores,
workstations, bases de dados e diversas aplicações. Por outro lado, o
ambiente de IT na área da saúde é frequentemente mais complexo, sendo
este constituído por sistemas clínicos, dispositivos médicos e EHRs, para
além de protocolos específicos para garantir a conformidade com leis e
regulamentos de privacidade, como a HIPAA nos EUA e o RGPD na UE.

3. Número de Utilizadores: Diferente entre setores

O número de utilizadores com acesso privilegiado varia entre setores. No

setor empresarial pode existir um número significativo de administradores
e utilizadores com acesso privilegiado, enquanto no setor da saúde, o
acesso privilegiado geralmente é limitado a profissionais de IT, médicos e
enfermeiro consoante o contexto e tipo de permissões necessárias para a
prestação de cuidados de saúde.

4. Exigências Regulatórias: Diferentes entre setores

Ambos os setores se encontram sujeitos a regulamentações específicas

relacionadas com a segurança da informação. No setor empresarial isso
pode variar de acordo com a indústria e localização geográfica da empresa,
enquanto na área da saúde, o cumprimento de regulamentações, como a
HIPAA nos EUA e o RGPD na UE e normas de privacidade noutros
países, é obrigatório, podendo diretamente afetar as práticas de PAM.

5. Prioridades de Implementação: Diferentes entre setores

No setor empresarial, o foco pode se encontrar mais na proteção de

informações comerciais e na prevenção de ataques cibernéticos de forma
a preservar a vantagem competitiva. Por outro lado, no setor da saúde, a
proteção dos dados dos pacientes e conformidade com regulamentações
de privacidade são as principais prioridades.
84

7. Discussão
A escolha de uma solução para implementação, independentemente do
seu contexto, como por exemplo a apresentada no presente estudo, deve
ser baseada nas necessidades de cada negócio. As organizações devem
fazer uma avaliação de risco antes de tomar uma decisão de forma a gerir
expectativas, custos e qualidade de resposta em relação a esse
investimento. Uma solução também pode ser determinada por
regulamentos, como o RGPD e a HIPAA que apresentam regras que
devem ser seguidas de forma a manter a conformidade. Os hospitais
devem ter sistemas que separam privilégios e protegem as informações
dos pacientes, como os princípios básicos de segurança de privilégios
mínimos e segmentação de funções. Esta problemática é solucionada, ou
pelo menos mitigada, através da adoção de soluções PAM no setor da
saúde, para além da adoção de sistemas apropriados de deteção e
prevenção de intrusão que devem estar já implementados e
adequadamente monitorizados mantendo a segurança das infraestruturas
protegidas e operacionais.

De forma a obter uma resposta concisa perante as diversas tentativas de

intrusão realizadas durante os ataques cibernéticos, os sistemas devem
optar por opções adicionais de segurança de rede, que incluem a instalação
de dispositivos de segurança, como firewalls de próxima geração, deteção
de intrusão e sistemas de prevenção de intrusão, gateway web seguro,
dispositivos de sandbox, informações de segurança e gestão de eventos,
como o SIEM, gestão de acessos privilegiados, como o PAM e outros
ferramentas relacionadas. Para além destas implementações, deve ser feito
o controlo de acesso, sendo que os utilizadores finais devem aceder apenas
às fontes de que precisam para concluir as suas tarefas, e a gestão de
acessos privilegiados através do PAM.
Através da associação das ferramentas disponibilizadas pelo PAM, é
possível projetar um caso de estudo na área da saúde utilizando as boas
práticas referidas no capítulo anterior. Em particular, os conceitos que
podem ser aplicados em ambientes de assistência médica são o controlo
de acesso baseado em função permitindo designar níveis de privilégio por
função para que médicos, enfermeiros, técnicos e funcionários
administrativos tenham diferentes níveis de acesso. O primeiro passo para
a implementação de PAM no setor da saúde passa pelo estudo dos
sistemas, aplicações e servidores a integrar na solução e definição de
acessos privilegiados, assim como grupos privilegiados administrativos
para gerirem e manterem o contínuo melhoramento da solução, sendo
necessários mais estudos nesta área de forma a delinear um caminho bem-
sucedido na implementação de PAM no setor da saúde.
 86

8. Conclusões e
recomendações

Para a elaboração do presente trabalho foram inicialmente definidos

objetivos principais subjacentes à temática passando pela sumarização
de um caso de estudo empresarial, através do acompanhamento
próximo de uma implementação de PAM numa grande empresa e na
sugestão e adaptação desse caso de estudo para um contexto na área da
saúde. Por último, a criação de um guia de boas práticas para a possível
implementação de um caso de estudo em saúde, através do
estabelecimento de um plano estratégico.

Depois da definição dos objetivos, passou-se para a elaboração do

trabalho com a apresentação e enquadramento do caso de estudo
realizado em contexto empresarial e pela revisão de artigos sobre a
implementação de soluções PAM ao nível do setor da saúde e
empresarial. Posteriormente foi feita, de forma sistemática, o
levantamento das necessidades apresentadas por cada uma das áreas na
adoção deste tipo de soluções de gestão de acessos privilegiados.
Seguidamente no capítulo da discussão foram apresentadas as
principais conclusões do estudo finalizando assim a resposta aos
objetivos inicialmente propostos.

Dada a relevância do tema ao nível da segurança, uma vez que as

violações cibernéticas estão se a proliferar rapidamente e fortalecer as
redes organizacionais se torna uma situação imperativa, as principais
contribuições do presente estudo são a sensibilização para uma
temática com muito pouco trabalho desenvolvido ao nível do setor da
saúde, área vital para o cuidado e acompanhamento de pacientes. A
exposição de questões tão atuais como os ataques cibernéticos e a
necessidade de uma rápida resposta por parte das organizações,
servindo o presente trabalho para realizar a ponte entre a época pré e
pós pandemia onde se observaram estes casos com mais incidência.
Este aumento é resultante do crescente número de novas tecnologias
que são implementadas mais rapidamente do que os sistemas de
segurança podem ser criados ou atualizados para protegê-los. Outra
contribuição importante é o reforço de segurança no setor da saúde
através da criação de ferramentas com capacidade para responder em
cenários críticos e analisar alterações comportamentais na atividade dos
utilizadores. Por último, outra consideração relevante a mencionar é a
possibilidade de monitorizar, através da gravação de sessão, o acesso a
informações privilegiadas e aos segredos de uma organização por parte
de profissionais de saúde, impedindo dessa forma a visualização e
manipulação não autorizado a registos clínicos dos pacientes, sendo
desta forma sumarizadas as principais considerações do estudo.

Ao longo da elaboração da dissertação foram presenciadas algumas

limitações, sendo a principal, a falta de documentação de soluções
PAM ao nível do setor da saúde, embora referidas de forma indireta as
funcionalidades desta ferramenta. Este facto leva à subjetividade da
solução, sendo necessário realizar casos de estudo reais de
implementação de soluções de gestão de acessos privilegiados em
saúde. Estes casos de estudos vão produzindo resultados fundamentais
para generalizar a utilização destas ferramentas e iniciar programas e
incentivos à formação em meio hospitalar para estas tecnologias. Estas
iniciativas aumentam a consciencialização e diminuem a resistência na
adoção destes mecanismos por parte da classe médica, ganhando assim
a confiança das instituições e profissionais de saúde. Neste sentido
devem-se estabelecer, de forma mais definitiva, estratégias de
implementação de soluções de gestão de acessos privilegiados
88

aumentando a investigação neste setor, caso contrário somos todos

afetados pela neglicência e desvalorização da modernização e adoção
de boas práticas de segurança e proteção no setor da saúde.

O PAM na área da saúde é uma solução que visa proteger e controlar

o acesso a contas privilegiadas, como as de administradores de sistemas,
médicos e outros profissionais com acesso a dados confidenciais.
Mesmo sem ter a solução PAM implementada, ainda existem algumas
medidas que podem ser tomadas para reforçar a segurança do acesso
privilegiado na área da saúde. De seguida são indicadas algumas ações
que podem melhorar a postura de segurança antes da adoção completa
do PAM:

• Revisão e Reforço de Políticas de Acesso - Realizar uma revisão das

políticas de acesso existentes e garantir que apenas as pessoas
essenciais possuam privilégios elevados. Limitar o número de
contas privilegiadas e restringir o acesso com base nas necessidades
reais.

• Autenticação Forte - Implementar MFA para contas de alto

privilégio e até mesmo para os utilizadores em geral. Este
mecanismo faculta uma camada adicional de segurança, protegendo
as contas mesmo se as senhas forem comprometidas.

• Monitorização de Atividades - Iniciar a monitorização contínua das

atividades realizadas por contas privilegiadas. Isso pode ser feito
por meio de logs de auditoria e ferramentas de monitorização, para
identificar qualquer comportamento suspeito ou acesso não
autorizado.

• Gestão de Senhas - Fortalecer as políticas de gestão de senhas,

exigindo senhas complexas e trocas regulares de senhas para contas
privilegiadas.
 • Consciencialização e formação - Promover a consciencialização
sobre segurança cibernética entre os colaboradores, especialmente
aqueles que têm acesso privilegiado. Formação pode ajudar a evitar
ações inseguras e divulgar as melhores práticas de segurança.

• Controlo de Acesso Baseado em Funções - Implementar o RBAC

para garantir que apenas os utilizadores autorizados têm acesso a
recursos específicos de acordo com as suas funções e
responsabilidades.

• Análise de Vulnerabilidades - Realizar análises de vulnerabilidades

regulares para identificar possíveis falhas de segurança e corrigi-las
antes que sejam exploradas.

Atualmente, não existem muitos trabalhos desenvolvidos no setor da

saúde com a temática apresentada na presente dissertação. Isto pode
resultar da não publicação das tecnologias utilizados quer no setor
empresarial como no setor da saúde, de forma a manter a
confidencialidade e segurança dos sistemas, ou por existir uma lacuna nas
pesquisas relacionadas com este tema. Da informação pública recolhida, a
implementação deste tipo de soluções não parece ser norma em Portugal,
pelo que o presente trabalho pretende aumentar o conhecimento e
consciencialização para estas ferramentas de gestão de acessos
privilegiados.
 90

9. Trabalho futuro
O presente trabalho abre caminho para mais investigação na
implementação da gestão de acessos privilegiados na área da saúde, sendo
necessário aprofundar casos de estudo existentes com implementação de
soluções de Privileged Access Management.

Para além de serem necessários mais estudos nesta área, torna-se

inquestionável o conhecimento dos contextos reais e as necessidades
experienciadas diariamente na prática profissional de toda uma
organização de saúde, desde o atendimento do paciente, ao registo de
informação sensível, respetivo tratamento e follow-up e processamento de
dados concordantes com as regulamentações estabelecidas. É necessário
conhecer bem a organização e o tipo de infraestrutura e equipas
responsáveis pela gestão de informação, sendo fundamental uma boa
estratégia de implementação e definição de acessos privilegiados, funções
e respetiva distribuição de permissões.

Embora se encontrem diversas semelhanças entre setores, a vitalidade e

complexidade do setor da saúde exige uma pesquisa mais aprofundada e
rigorosa com objetivos iniciais muito bem definidos de forma a seguir uma
configuração e implementação de sucesso.

O presente trabalho de investigação encontra-se em constante evolução,

sendo estes tópicos emergentes atualmente e relevantes para um bem
maior, o de todos nós.
 91

10. Referências

[1] ‘2018 State of Endpoint Security Risk’. Barkly/Ponemon Institute,

Oct 2018. Accessed Sep 2019. https://
cdn2.hubspot.net/hubfs/468115/ whitepapers/state-of-endpoint-
security-2018.pdf.

[2] ‘Assessment of Identity and Access Management’. One Identity.

Accessed Aug 2019.
www.oneidentity.com/whitepaper/globalsurvey-exec-summary-key-
findings8134482/.

[3] Al-Hamdani, W. A. (2010). Cryptography based access control in

healthcare web systems. 2010 Information Security Curriculum
Development Conference.

[4] Alshehri, S., & Raj, R. K. (2013). Secure access control for health
information sharing systems. 2013 IEEE International Conference
on Healthcare Informatics.

[5] Al-Zubaidie M, Zhang Z, Zhang J. PAX: Using Pseudonymization

and Anonymization to protect patients’ identities and data in the
healthcare system. Int J Environ Res Public Health [Internet].
2019;16(9):1490. Available from:
http://dx.doi.org/10.3390/ijerph16091490
92

[6] Anthonysamy, P., Rashid, A., & Chitchyan, R. (2017). Privacy

requirements: Present & future. 2017 IEEE/ACM 39th
International Conference on Software Engineering: Software
Engineering in Society Track (ICSE-SEIS).

[7] Authorization Defined: What’s the Difference? (n.d.).

[8] Azeez, N. A., & Vyver, C. V. der. (2017). Towards a dependable

access framework for E-health. 2017 International Conference on
Computational Science and Computational Intelligence (CSCI).

[9] Bauer, L., Cranor, L. F., Reeder, R. W., Reiter, M. K., & Vaniea, K.
(2009). Real life challenges in access-control management.
Proceedings of the SIGCHI Conference on Human Factors in
Computing Systems.

[10] Bertino, E., & Takahashi, K. (2011). Identity Management:

Concepts, Technologies, and Systems.

[11] Bhaskaran, K., Hernandez, M., Laredo, J., Luan, L., Ruan, Y.,
Vukovic, M., Driscoll, P., Miller, D., Skinner, A., Verma, G.,
Vivekanandan, P., Chen, L., & Gaskill, G. (2012). Privileged identity
management in enterprise service-hosting environments. 2012
IEEE Network Operations and Management Symposium.

[12] Brucker, A. D., & Petritsch, H. (2009). Extending access control

models with break-glass. Proceedings of the 14th ACM Symposium
on Access Control Models and Technologies.

[13] Calvillo, J., Román, I., Rivas, S., & Roa, L. M. (2011). Privilege
management infrastructure for virtual organizations in healthcare
grids. IEEE Transactions on Information Technology in
Biomedicine: A Publication of the IEEE Engineering in Medicine
and Biology Society, 15(2), 316–323.
https://doi.org/10.1109/TITB.2010.2104160
[14] Carson, J. (2019). The Evolution from Password Managers to
Privileged Access Management. In Which is right for you? Thycotic
Cyber Security Blog.

[15] Carson, J. 2017. Privileged access management for dummies. (n.d.).

Delinea. Retrieved July 26, 2023, from
https://thycotic.com/resources/wiley-dummies-privileged-account-
management/

[16] Carson, Joseph. (2018, August 7). The privileged access

management Lifecycle and path to maturity. Delinea.
https://delinea.com/blog/privileged-access-management-lifecycle-
path-to-maturity

[17] Carter, P. E., & Green, G. (2009). Networks of contextualized data:

A framework for cyberinfrastructure data management.
Communications of the ACM, 52(2), 105–109.
https://doi.org/10.1145/1461928.1461956

[18] Carter, S. (2017). RBAC vs ABAC Access Control Models - IAM

Explained. Identity Automation Blog.

[19] Chen, Y., & Xu, H. (2013). Privacy management in dynamic groups:
Understanding information privacy in medical practices.
Proceedings of the 2013 Conference on Computer Supported
Cooperative Work.

[20] Choe J, Yoo SK. Web-based secure access from multiple patient
repositories. Int J Med Inform [Internet]. 2008;77(4):242–8.
Available from: http://dx.doi.org/10.1016/j.ijmedinf.2007.06.001

[21] Coats, B., & Acharya, S. (2013). The forecast for electronic health
record access: Partly cloudy. Proceedings of the 2013 IEEE/ACM
International Conference on Advances in Social Networks Analysis
and Mining.
94

[22] Cobia, Anea, "Privileged Access Management" (2019). Economic

Crime Forensics Capstones. 34.
https://digitalcommons.lasalle.edu/ecf_capstones/34

[23] Executive Office of the P United States. The national strategy to

secure cyberspace. North Charleston, SC: Createspace Independent
Publishing Platform; 2012.

[24] Fang, L., Yin, C., Zhu, J., Ge, C., Tanveer, M., Jolfaei, A., & Cao, Z.
(2020). Privacy protection for medical data sharing in smart
healthcare. ACM Transactions on Multimedia Computing
Communications and Applications, 16(3s), 1–18.
https://doi.org/10.1145/3408322

[25] Ferraiolo, D. F., Sandhu, R., Gavrila, S., Kuhn, D. R., &
Chandramouli, R. (2001). Proposed NIST standard for role-based
access control. ACM Transactions on Information and System
Security, 4(3), 224–274. https://doi.org/10.1145/501978.501980

[26] Ferraiolo, D., & Barkley, J. (1997). Specifying and managing role-
based access control within a corporate intranet. Proceedings of the
Second ACM Workshop on Role-Based Access Control - RBAC
’97.

[27] Ferreira, A., Cruz-Correia, R., Antunes, L., & Chadwick, D. (2007).
Access control: how can it improve patients’ healthcare? Studies in
Health Technology and Informatics, 127, 65–76.

[28] Heinze O, Bergh B. A model for consent-based privilege

management in personal electronic health records. Stud Health
Technol Inform. 2014;205:413–7.

[29] Helms, E., & Williams, L. (2011). Evaluating access control of open
source electronic health record systems. Proceeding of the 3rd
Workshop on Software Engineering in Health Care - SEHC ’11.
[30] Hernandez, J., McKenna, L., & Brennan, R. (2021). TIKD: A
trusted integrated knowledge dataspace for sensitive healthcare data
sharing. 2021 IEEE 45th Annual Computers, Software, and
Applications Conference (COMPSAC).

[31] Hintsanen, K. 2020. Privileged Access Management – lessons

learned.

[32] Huang, K., Siegel, M., & Madnick, S. (2019). Systematically

understanding the cyber attack business: A survey. ACM Computing
Surveys, 51(4), 1–36. https://doi.org/10.1145/3199674

[33] Jafari, M., Safavi-Naini, R., & Sheppard, N. P. (2011). A rights

management approach to protection of privacy in a cloud of
electronic health records. Proceedings of the 11th Annual ACM
Workshop on Digital Rights Management.

[34] Jaferian, P., Botta, D., Hawkey, K., & Beznosov, K. (2009). A case
study of enterprise identity management system adoption in an
insurance organization. Proceedings of the Symposium on
Computer Human Interaction for the Management of Information
Technology.

[35] Jin, J., Ahn, G.-J., Hu, H., Covington, M. J., & Zhang, X. (2009).
Patient-centric authorization framework for sharing electronic
health records. Proceedings of the 14th ACM Symposium on Access
Control Models and Technologies.

[36] Kern, A., Kuhlmann, M., Schaad, A., & Moffett, J. (2002).
Observations on the role life-cycle in the context of enterprise
security management. Proceedings of the Seventh ACM Symposium
on Access Control Models and Technologies.

[37] Khan, M. F. F., & Sakamura, K. (2016a). A patient-centric approach

to delegation of access rights in healthcare information systems.
2016 International Conference on Engineering & MIS (ICEMIS).
96

[38] Khan, M. F. F., & Sakamura, K. (2016b). A secure and flexible e-

Health access control system with provisions for emergency access
overrides and delegation of access privileges. 2016 18th
International Conference on Advanced Communication Technology
(ICACT).

[39] Khan, M. F. F., & Sakamura, K. (2016c). A smartcard-based

framework for delegation management in healthcare Access Control
systems. 2016 IEEE Region 10 Conference (TENCON).

[40] Kiourtis A, Mavrogiorgou A, Vidakis K, Kyriazis D. Health record

index: Secure access of cloud-stored healthcare data. Stud Health
Technol Inform [Internet]. 2020;272:221–4. Available from:
http://dx.doi.org/10.3233/SHTI200534

[41] Koufi V, Vassilacopoulos G. Context-aware access control for

pervasive access to process-based healthcare systems. Stud Health
Technol Inform. 2008;136:679–84.

[42] Kruse, C. S., Frederick, B., Jacobson, T., & Monticone, D. K.

(2017). Cybersecurity in healthcare: A systematic review of modern
threats and trends. Technology and Health Care: Official Journal of
the European Society for Engineering and Medicine, 25(1), 1–10.
https://doi.org/10.3233/THC-161263

[43] Lee, K., Jiang, Z., Kim, S., & Kim, S. (2005). Security policy
management for healthcare system network. Proceedings of 7th
International Workshop on Enterprise Networking and Computing
in Healthcare Industry, 2005. HEALTHCOM 2005.

[44] Liu, Vicky & Caelli, William & Smith, Jason & May, Lauren & Lee,
Min & Ng, Zi & Foo, Jin & Li, Weihao. (2010). A secure
architecture for Australia's index based e-health environment. 7-16.

[45] MacGahan, T., Johnson, C., Rodriguez, A., von Ronne, J., & Niu, J.
(2017). Provable enforcement of HIPAA-compliant release of
 medical records using the history aware programming language.
Proceedings of the 22nd ACM on Symposium on Access Control
Models and Technologies.

[46] Malin B, Airoldi E. Confidentiality preserving audits of electronic

medical record access. Stud Health Technol Inform. 2007;129(Pt
1):320–4.

[47] Marcos-Pablos, S., García-Holgado, A., & García-Peñalvo, F. J.

(2019). Modelling the business structure of a digital health
ecosystem. Proceedings of the Seventh International Conference on
Technological Ecosystems for Enhancing Multiculturality.

[48] Nagarani, C., & Kousalya, R. (2021). A flexible access control with
user revocation in fog-enabled cloud computing. 2021 6th
International Conference on Inventive Computation Technologies
(ICICT).

[49] Olson, L. E., Gunter, C. A., & Olson, S. P. (2009). A medical

database case study for reflective database access control.
Proceedings of the First ACM Workshop on Security and Privacy in
Medical and Home-Care Systems.

[50] Parveen, S., Ahmad, S., & Khan, M. A. (2021). Integration of

identity governance and management framework within universities
for privileged users. International Journal of Advanced Computer
Science and Applications : IJACSA, 12(6).
https://doi.org/10.14569/ijacsa.2021.0120664

[51] Pranggono, B., & Arabo, A. (2020). COVID ‐19 pandemic

cybersecurity issues. Internet Technology Letters, itl2.247.
https://doi.org/10.1002/itl2.247

[52] Purba, A., & Soetomo, M. (2019). Assessing Privileged Access

Management (PAM) using ISO 27001:2013 Control. ACMIT
Proceedings, 5(1), 65–76. https://doi.org/10.33555/acmit.v5i1.76
98

[53] Qiao, R., Luo, X.-Y., Zhu, S.-F., Liu, A.-D., Yan, X.-Q., & Wang,
Q.-X. (2020). Dynamic autonomous cross consortium chain
mechanism in e-healthcare. IEEE Journal of Biomedical and Health
Informatics, 24(8), 2157–2168.
https://doi.org/10.1109/JBHI.2019.2963437

[54] Rezaeibagha F, Mu Y. Distributed clinical data sharing via dynamic

access-control policy transformation. Int J Med Inform [Internet].
2016;89:25–31. Available from:
http://dx.doi.org/10.1016/j.ijmedinf.2016.02.002

[55] Rizvi, S. Z. R., Fong, P. W. L., Crampton, J., & Sellwood, J. (2015).
Relationship-based access control for an open-source medical
records system. Proceedings of the 20th ACM Symposium on
Access Control Models and Technologies.

[56] Saidi, H., Labraoui, N., Ari, A. A. A., Maglaras, L. A., & Emati, J. H.
M. (2022). DSMAC: Privacy-aware decentralized self-management
of data access control based on blockchain for health data. IEEE
Access: Practical Innovations, Open Solutions, 10, 101011–101028.
https://doi.org/10.1109/access.2022.3207803

[57] Schaad, A., Moffett, J., & Jacob, J. (2001). The role-based access
control system of a European bank: A case study and discussion.
Proceedings of the Sixth ACM Symposium on Access Control
Models and Technologies.

[58] Shawon S. M. Rahman, A. L. (2021). Security professionals must

reinforce detect attacks to avoid unauthorized data exposure.
INFORMATION TECHNOLOGY IN INDUSTRY, 8(1).
https://doi.org/10.17762/itii.v8i1.76

[59] Sivan,R.;Zukarnain,Z.A. SecurityandPrivacyinCloud-Based E-

HealthSystem.Symmetry2021,13, 742.https://doi.org/10.3390/
sym13050742
[60] Steps of a Cyber Attack, & What You Can do to Protect Your
Windows Privileged Accounts.

[61] Taweel, A., Speedie, S., Tyson, G., Tawil, A. R. H., Peterson, K., &
Delaney, B. (2011). Service and model-driven dynamic integration of
health data. Proceedings of the First International Workshop on
Managing Interoperability and Complexity in Health Systems.

[62] Tirtadjaja, W., Rana, M. E., & Shanmugam, K. (2021). Managing

high privileged accounts in IT enterprise: Enhanced security
infrastructure. 2021 International Conference on Data Analytics for
Business and Industry (ICDABI).

[63] Video on Solutions Review webpage. (2019).

[64] Walkowski, D. (2019). What is the CIA Triad? F5 Labs web page.

[65] Wang, Q., & Jin, H. (2012). An analytical solution for consent
management in patient privacy preservation. Proceedings of the 2nd
ACM SIGHIT International Health Informatics Symposium.

[66] Wang, R. (2018). Privileged Account Management and Identity

Access Management: Same Family, Different Strengths. Thycotic’s
Cyber Security Blog.

[67] Weaver, A. C., Dwyer, S. J., Snyder, A. M., Van Dyke, J., Hu, J.,
Chen, X., Mulholland, T., & Marshall, A. (2004). Federated, secure
trust networks for distributed healthcare it services. IEEE
International Conference on Industrial Informatics, 2003. INDIN
2003. Proceedings.

[68] Weitzman, L., Dean, S. E., Meliksetian, D., Gupta, K., Zhou, N., &
Wu, J. (2002). Transforming the content management process at
Ibm.com. Case Studies of the CHI2002|AIGA Experience Design
FORUM.
100

[69] Wilikens, M., Feriti, S., Sanna, A., & Masera, M. (2002). A context-
related authorization and access control method based on RBAC:
Proceedings of the Seventh ACM Symposium on Access Control
Models and Technologies.

[70] Wu, G., & Wang, Y. (2020). The security and privacy of blockchain-
enabled EMR storage management scheme. 2020 16th International
Conference on Computational Intelligence and Security (CIS).

[71] Wu, S.-W., Cheng, P.-H., Chiang, W.-C., Lin, J.-K., & Lai, J.-S.
(2011). Categorized level management agent with forest-based data
structures for accessing personal health records. TENCON 2011 -
2011 IEEE Region 10 Conference.

[72] Ying, Z., Si, Y., Ma, J., Liu, X., & Xu, S. (2020). FHPT: Fine-grained
EHR sharing in E-healthcare cloud with hidden policy and
traceability. GLOBECOM 2020 - 2020 IEEE Global
Communications Conference.

[73] Zaghloul, E., Zhou, K., & Ren, J. (2020). P-MOD: Secure privilege-
based multilevel organizational data-sharing in cloud computing.
IEEE Transactions on Big Data, 6(4), 804–815.
https://doi.org/10.1109/tbdata.2019.2907133