Sessões ativas e login suspeito: por que isso importa tanto quanto a senha

A conversa sobre segurança de prontuário eletrônico costuma parar na senha — forte, única, trocada de tempos em tempos. Isso é necessário e insuficiente. Senha resolve a porta de entrada; o que acontece depois de alguém entrar é uma camada diferente de proteção, e é a que costuma faltar.

O que "sessão ativa" quer dizer

Cada vez que você faz login, o sistema abre uma sessão que continua válida até você sair ou ela expirar. Login feito num computador compartilhado, num celular emprestado, ou num aparelho que depois foi vendido sem logout — tudo isso é sessão que pode continuar ativa mesmo sem a senha estar comprometida. É por isso que sistema sério mostra a lista de sessões ativas e deixa você encerrar qualquer uma remotamente, de qualquer lugar.

Por que isso pesa mais em conteúdo clínico

Prontuário psicológico é dado pessoal sensível pela própria LGPD — a mesma categoria da informação de saúde. Um acesso indevido, mesmo que breve, já é incidente a considerar, independente de qualquer dado ter sido de fato copiado. A prevenção vale mais aqui do que em praticamente qualquer outro tipo de sistema que você usa no consultório.

Anomalia é mais informativa do que parece

Login num horário incomum, de uma localização que nunca apareceu antes, ou dois acessos simultâneos de lugares diferentes — sistemas que sinalizam isso automaticamente dão um alerta antecedente que senha nenhuma dá sozinha. Não é sobre desconfiar de si mesmo; é sobre ter como perceber rápido se a senha vazou antes de qualquer dado ser efetivamente acessado.

A trilha de quem leu, não só de quem alterou

Ponto que já aparece na avaliação de qualquer sistema de prontuário: a trilha de acesso precisa registrar leitura, não só edição. Alguém pode abrir o prontuário de um paciente sem mudar uma vírgula — e isso também é acesso que deveria ficar registrado, de forma que nem quem administra o sistema consiga apagar depois.

O hábito simples que fecha a maior parte do risco

Sair da conta ao trocar de aparelho, revisar a lista de sessões ativas de vez em quando e encerrar qualquer uma que você não reconheça — esses três hábitos, sem exigir nenhum conhecimento técnico, cobrem a maior parte do risco prático que senha forte sozinha deixa passar.