Conformidade e Governação

O que é a ADHICS, a Norma de Segurança da Informação e Cibersegurança na Saúde de Abu Dhabi?

A ADHICS V2, em vigor desde agosto de 2024, define controlos de segurança da informação de saúde e de cibersegurança para as entidades de saúde de Abu Dhabi. Âmbito, domínios e auditorias.

A ADHICS, a Norma de Segurança da Informação e Cibersegurança na Saúde de Abu Dhabi, é a norma de segurança da informação e cibersegurança do Departamento de Saúde de Abu Dhabi para o setor da saúde do emirado. A versão atual, ADHICS V2, foi publicada em maio de 2024 e entrou em vigor em agosto de 2024. Aplica-se a qualquer entidade do Emirado de Abu Dhabi que gere, aceda a, armazene, utilize, trate ou transmita informação de saúde, incluindo estabelecimentos de saúde, entidades pagadoras e prestadores de tecnologia e serviços de saúde. O Departamento de Saúde (DoH) audita as entidades reguladas e pode aplicar sanções por violações da norma.

Quem emitiu a ADHICS e quando?

O DoH lançou a ADHICS em 2019. A primeira edição, ADHICS V0.9, foi publicada a 3 de fevereiro de 2019, e o DoH exigiu que os estabelecimentos de saúde de Abu Dhabi a cumprissem antes de 29 de fevereiro de 2020. A ADHICS V2 substitui-a, juntamente com a Norma de Segurança da Internet das Coisas Médicas (IoMT) e a Norma sobre Privacidade dos Dados de Saúde dos Doentes, ambas V0.9 de 2020. A V2 é da responsabilidade do Gabinete de Segurança da Informação e Cibersegurança do DoH e tem revisão prevista para maio de 2027.

Quem tem de cumprir a ADHICS?

A ADHICS V2 aplica-se a qualquer entidade do Emirado de Abu Dhabi que gere, aceda a, armazene, utilize, trate ou transmita informação de saúde, incluindo estabelecimentos de saúde, entidades pagadoras e prestadores de tecnologia e serviços de saúde. Abrange também os profissionais de saúde e o pessoal de apoio com acesso a informação de saúde, de diagnóstico ou pessoal dos doentes. Qualquer entidade que armazene ou trate informação de saúde proveniente do emirado tem de cumprir os controlos aplicáveis, e o cumprimento de um conjunto mínimo de controlos da ADHICS é um pré-requisito para a integração no Malaffi, a plataforma de intercâmbio de informação de saúde de Abu Dhabi.

Como está estruturada a ADHICS V2?

A Secção A abrange a governação e o enquadramento, e a Secção B define os controlos em 11 domínios. Os controlos dividem-se em quatro categorias por tipo de entidade, com 131 controlos nas categorias Básica, Transitória e Avançada, a que se soma uma categoria Prestador de Serviços. Os controlos Básicos aplicam-se por defeito a todas as entidades, e as entidades da categoria Avançada aplicam também, por defeito, os controlos Transitórios.

1.Domínios: segurança dos recursos humanos; gestão de ativos; segurança física e ambiental; controlo de acessos; gestão das comunicações e operações; privacidade e proteção de dados; segurança na nuvem; segurança de terceiros; aquisição, desenvolvimento e manutenção de sistemas de informação; gestão de incidentes de segurança da informação; e gestão da continuidade dos sistemas de informação.

2.Básica: sempre aplicável; 58 controlos e 274 subcontrolos.

3.Transitória: hospitais com 1 a 20 camas e centros como centros de diagnóstico, de diálise, de fertilização in vitro e de reabilitação; 40 controlos e 171 subcontrolos.

4.Avançada: hospitais com 21 ou mais camas, a plataforma de intercâmbio de informação de saúde Malaffi, seguradoras e administradores terceiros; 33 controlos e 132 subcontrolos.

5.Prestador de Serviços: todos os prestadores de tecnologia e serviços de saúde implementam os controlos desta categoria.

Que controlos da ADHICS moldam as operações de segurança?

Um pequeno número de controlos da V2 define o ritmo operacional do registo de eventos, dos incidentes, do alojamento e dos fornecedores.

1.Registo de eventos: as entidades da categoria Avançada protegem os registos contra adulteração, modificação ou destruição e conservam-nos num sistema centralizado de gestão de registos durante um período que satisfaça as necessidades legais, regulamentares e da própria entidade; os prestadores de serviços também têm de proteger os respetivos registos.

2.Incidentes: informar o Abu Dhabi Health SOC dos incidentes de segurança da informação e de privacidade dentro de prazos predeterminados. A diretriz de implementação define-os por prioridade, desde quase em tempo real para P1 até 24 horas após o reconhecimento para P4.

3.Violações de dados: partilhar com o DoH o formulário de violação de dados no prazo de 72 horas após o reconhecimento do incidente.

4.Nuvem (controlos Transitórios e de Prestador de Serviços): alojar fisicamente o ambiente de nuvem nos EAU, incluindo as cópias de segurança e a recuperação após desastre, e manter as chaves criptográficas da entidade fora do controlo do fornecedor de serviços de nuvem.

5.Localização dos dados: não armazenar, tratar nem transferir informação de saúde fora dos EAU, salvo se o DoH emitir uma isenção válida e específica.

6.Terceiros: incluir cláusulas de direito de auditoria e notificar prontamente o DoH de qualquer incidente de segurança que envolva um terceiro.

Como se fiscaliza e audita o cumprimento da ADHICS?

O DoH realiza auditorias periódicas e avaliações técnicas às entidades reguladas para validar o cumprimento, e as entidades têm de realizar auditorias independentes pelo menos uma vez por ano. Segundo a diretriz de implementação da V2, a auditoria externa da ADHICS está integrada no programa de auditoria dos estabelecimentos de saúde e associada ao licenciamento dos estabelecimentos, tanto para novos registos como para renovações. A V2 atribui a cada categoria de controlos o mesmo prazo: seis meses a contar da integração oficial no programa ou da publicação da norma, consoante o que ocorrer primeiro. O DoH pode aplicar sanções por violações da norma ao abrigo do regulamento disciplinar do setor da saúde de Abu Dhabi; a norma não indica montantes de coimas.

Como demonstram as entidades de saúde o cumprimento da ADHICS?

A lista de verificação de autoavaliação da diretriz de implementação abrange todos os 131 controlos e os respetivos subcontrolos, e os auditores esperam registos que demonstrem o funcionamento de cada controlo aplicável.

1.A autoavaliação preenchida e a categoria de controlos da entidade.

2.Políticas, avaliações de risco, inventários de ativos e revisões de acessos.

3.Registos centralizados e protegidos e o período de conservação escolhido para esses registos.

4.Relatórios de incidentes enviados ao Abu Dhabi Health SOC e formulários de violação de dados enviados ao DoH.

5.Registos de alojamento na nuvem e de gestão de chaves que comprovem o alojamento nos EAU.

6.Contratos com terceiros com cláusulas de direito de auditoria e obrigações de notificação de incidentes.

Em que pontos ajuda a Vigilbase com as evidências da ADHICS?

O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar. Cada investigação regista as evidências, a ação executada e o resultado da verificação, o que ajuda a produzir registos de incidentes e os factos que o Abu Dhabi Health SOC e o DoH solicitam. O Cloudflare gerido opera controlos de WAF e DDoS para portais de doentes e outras aplicações públicas dentro do âmbito acordado. A ADHICS mantém a informação de saúde dentro dos EAU, salvo se o DoH conceder uma isenção, os seus controlos de nuvem exigem alojamento nos EAU e qualquer prestador de tecnologia ou serviços de saúde enquadra-se na sua categoria Prestador de Serviços. Traga os seus requisitos de localização de dados para a definição do âmbito; confirmamos as configurações suportadas e os requisitos por resolver antes da integração.

Sobre este guia

Este guia resume a ADHICS V2 e a respetiva diretriz de implementação, tal como publicadas pelo DoH e disponíveis em outubro de 2026. Não constitui aconselhamento jurídico. As publicações do DoH prevalecem sobre este resumo; confirme a sua categoria de controlos e as suas obrigações junto do DoH e dos responsáveis pela conformidade da sua organização.

Principais conclusões

✓A ADHICS V2 entrou em vigor em agosto de 2024 e aplica-se a qualquer entidade de Abu Dhabi que lide com informação de saúde.

✓Os controlos dividem-se nas categorias Básica, Transitória, Avançada e Prestador de Serviços, em 11 domínios.

✓O DoH audita as entidades reguladas, associa as auditorias da ADHICS ao licenciamento dos estabelecimentos e pode aplicar sanções.

✓A informação de saúde e o alojamento na nuvem permanecem nos EAU, salvo se o DoH conceder uma isenção específica.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

O que é uma auditoria ADHICS?

O DoH realiza auditorias periódicas e avaliações técnicas às entidades reguladas para validar o cumprimento da ADHICS. A auditoria externa da ADHICS está integrada no programa de auditoria dos estabelecimentos de saúde e associada ao licenciamento dos estabelecimentos, tanto para novos registos como para renovações.As entidades têm também de realizar auditorias independentes pelo menos uma vez por ano e manter registos que demonstrem o funcionamento de cada controlo aplicável.

Quem precisa de cumprir a ADHICS?

Qualquer entidade do Emirado de Abu Dhabi que gere, aceda a, armazene, utilize, trate ou transmita informação de saúde, incluindo estabelecimentos de saúde, entidades pagadoras e prestadores de tecnologia e serviços de saúde.

O que mudou na ADHICS V2?

A ADHICS V2, publicada em maio de 2024 e em vigor desde agosto de 2024, substitui a ADHICS V0.9 de 2019 e as normas de 2020 sobre segurança da IoMT e privacidade dos dados de saúde dos doentes. Agrupa os controlos nas categorias Básica, Transitória, Avançada e Prestador de Serviços, em 11 domínios, incluindo privacidade e proteção de dados e segurança na nuvem.

Pode a informação de saúde ser alojada fora dos EAU ao abrigo da ADHICS?

Não sem uma isenção válida e específica do DoH. Os controlos de nuvem da ADHICS V2 para entidades da categoria Transitória e prestadores de serviços exigem também que os ambientes de nuvem, incluindo as cópias de segurança e a recuperação após desastre, estejam fisicamente alojados nos EAU.

Em que prazo devem ser comunicados os incidentes ao abrigo da ADHICS?

Os incidentes são comunicados ao Abu Dhabi Health SOC dentro de prazos predeterminados, definidos por prioridade na diretriz de implementação, desde quase em tempo real para P1 até 24 horas após o reconhecimento para P4. O formulário de violação de dados é enviado ao DoH no prazo de 72 horas após o reconhecimento do incidente.Responsabilidades nas operações de segurança Cobertura e compromissos de resposta a incidentes

Tópicos Relacionados

Noções básicas de segurança

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender