NIST atualiza diretrizes de identidade digital com foco em segurança, usabilidade e privacidade
Nova edição do NIST SP 800-63-3 reforça práticas de autenticação e gestão de identidade para ambientes digitais críticos
O National Institute of Standards and Technology (NIST) publicou a atualização das suas Diretrizes de Identidade Digital (SP 800-63-3), que define um novo enquadramento técnico para a gestão de identidades, autenticação e controlo de acessos em plataformas digitais. Este documento, amplamente adotado internacionalmente, é cada vez mais relevante para setores regulamentados — incluindo o das tecnologias de saúde e dos dispositivos médicos e IVD conectados.
As novas diretrizes do NIST trazem um modelo modular que divide o processo de identidade digital em três áreas principais:
Proofing de Identidade (SP 800-63A): processos de verificação e validação da identidade do utilizador;
Autenticação (SP 800-63B): requisitos técnicos para fatores de autenticação, como palavras-passe, tokens, biometria, etc.;
Gestão de Sessões e Federações (SP 800-63C): partilha de identidades entre sistemas distintos (ex.: integração entre prestadores e plataformas reguladas).
Uma abordagem baseada no risco
O NIST introduz uma abordagem baseada no risco, com diferentes níveis de garantia (IAL, AAL e FAL) que podem ser definidos consoante a sensibilidade dos dados ou o grau de controlo exigido. A novidade está na ênfase dada ao equilíbrio entre segurança, usabilidade e proteção da privacidade, contrariando modelos excessivamente rígidos e pouco centrados no utilizador.
Implicações para o setor da saúde digital e fabricantes de dispositivos médicos
Para empresas que desenvolvem soluções digitais em saúde, plataformas de software como dispositivo médico (SaMD), ou dispositivos conectados, estas diretrizes oferecem uma referência clara e reconhecida para alinhar práticas internas com os requisitos de segurança esperados por autoridades reguladoras, parceiros hospitalares ou fornecedores de IT.
Na Smart MDR, ajudamos fabricantes e fornecedores tecnológicos a integrar boas práticas internacionais de gestão de identidade digital nas suas soluções e a antecipar requisitos de cybersecurity ligados à conformidade com regulamentos europeus como o MDR e IVDR.
Aceda ao documento completo abaixo.
