O acesso ao correio eletrónico Outlook do CHU de Montpellier baseia-se no ambiente Office 365, associado a uma autenticação forte. Para os profissionais, a dificuldade não está na ligação em si, mas na gestão dos métodos MFA e na manutenção de um acesso fiável a partir de diferentes dispositivos.
Métodos MFA no Office 365 do CHU: escolher e hierarquizar os fatores
A autenticação multifator (MFA) é a principal barreira de segurança do espaço do profissional. Nem todos os métodos são igualmente adequados num contexto hospitalar, onde a troca de smartphone ou o esquecimento de um dispositivo no balneário podem bloquear o acesso ao correio eletrónico a meio do turno.
A ANSSI lembra que um código de verificação recebido por e-mail é insuficiente se essa mesma caixa de correio for utilizada para recuperar a conta. No CHU, os métodos escolhidos devem ser os aprovados pela DSI, e não uma opção pessoal predefinida.
A Universidade de Montpellier recomenda aos seus utilizadores que registem pelo menos dois métodos de autenticação para evitar bloqueios ao trocar de dispositivo. Esta experiência aplica-se diretamente ao contexto do CHU: um profissional que tenha apenas um método MFA arrisca-se a perder completamente o acesso se o telemóvel avariar. Recomendamos que verifique os métodos registados antes de qualquer período prolongado de serviço.
A configuração do correio eletrónico Outlook do CHU Montpellier é feita através do portal de registo MFA, acessível pela intranet ou através da ligação fornecida pela DSI aquando da criação da conta.
- A aplicação Microsoft Authenticator no smartphone continua a ser o método mais fiável em mobilidade, pois funciona mesmo sem rede móvel, através de notificações push ou de um código temporário.
- O SMS de verificação é uma alternativa simples, mas depende da rede móvel, que por vezes é instável em alguns edifícios hospitalares.
- A chamada telefónica é uma terceira opção de recurso, útil se a aplicação deixar de responder e o SMS não chegar.
Aceder ao Outlook a partir do exterior do CHU: VPN, webmail e computadores não geridos
O acesso remoto ao correio eletrónico varia consoante o dispositivo utilizado. Esta distinção, muitas vezes ignorada nos guias destinados ao público em geral, é determinante para que a ligação seja bem-sucedida.
Num computador gerido pelo CHU (portátil de serviço ou computador fixo do gabinete), o acesso ao Outlook através do Office 365 é feito de forma transparente após a autenticação MFA. O navegador e o cliente Outlook estão pré-configurados para se ligarem ao tenant correto do Microsoft Exchange.
Num dispositivo pessoal, a situação é diferente. A ANSSI desaconselha a utilização de dispositivos pessoais para aceder aos recursos internos de uma instituição de saúde sem recorrer a uma VPN ou a um ambiente isolado. O webmail Outlook (outlook.office365.com) continua a ser o ponto de acesso mais comum para os profissionais que se ligam a partir de casa, mas requer um navegador atualizado e a ausência de extensões que possam bloquear os redirecionamentos de autenticação.
O cliente Outlook instalado num PC pessoal pode funcionar, desde que o perfil Exchange esteja corretamente configurado. Uma configuração incorreta do servidor de entrada provoca erros de sincronização recorrentes, muitas vezes confundidos com um problema de palavra-passe.
Segurança dos dados de saúde e correio eletrónico hospitalar
O CHU de Montpellier tem certificação de Alojador de Dados de Saúde (HDS). Esta certificação impõe requisitos relativos à transmissão e ao armazenamento de mensagens que contenham informações de pacientes.
Um e-mail profissional no CHU não é um canal inofensivo. Os anexos com dados identificativos de pacientes devem respeitar as regras de encriptação e rastreabilidade impostas pelo enquadramento HDS. Enviar um relatório médico sem encriptação para um endereço pessoal do Gmail constitui uma violação dos procedimentos internos, mesmo que a intenção seja boa.
O portal da intranet do CHU Montpellier reúne as recomendações de boas práticas. Os profissionais encontram aí as instruções atualizadas sobre os tipos de ficheiros permitidos como anexos e os procedimentos a seguir para comunicar a receção de um e-mail suspeito.
Antiphishing: medidas práticas para os profissionais
As tentativas de phishing dirigidas a instituições hospitalares têm aumentado nos últimos anos. Um profissional com pressa entre dois cuidados é um alvo ideal para um e-mail que imita uma notificação da DSI.
- Verifique o endereço completo do remetente (e não apenas o nome apresentado) antes de clicar numa ligação para «repor a palavra-passe».
- Nunca introduza as suas credenciais do CHU numa página cujo URL não comece pelo domínio oficial da instituição ou da Microsoft.
- Comunique imediatamente qualquer mensagem suspeita através do procedimento da DSI, em vez de a eliminar, pois a denúncia permite bloquear a campanha para todos os profissionais.
Resolução rápida de erros de acesso ao espaço do profissional
A maioria dos bloqueios de acesso ao correio eletrónico Outlook do CHU não se deve a uma falha do servidor. Resulta de três causas recorrentes, que podem ser identificadas sem a intervenção da DSI.
Uma cache do navegador corrompida bloqueia o ciclo de autenticação do Office 365. O sintoma típico é a página de início de sessão recarregar continuamente, sem nunca apresentar a caixa de entrada. Na maioria dos casos, basta limpar a cache e os cookies do navegador e voltar a iniciar sessão.
Uma palavra-passe expirada pode gerar uma mensagem de erro enganadora, que menciona um «problema no servidor» em vez da expiração das credenciais. A reposição é feita através do portal dedicado, acessível a partir da página de autenticação do CHU.
Um método MFA desatualizado (número de telefone antigo ou aplicação desinstalada) impede a validação do segundo fator. Neste caso, só o contacto com o suporte informático do CHU permite repor o registo MFA e registar um novo dispositivo.
A resolução destes três problemas abrange a grande maioria das situações de bloqueio. Para incidentes persistentes, o serviço informático do CHU continua disponível através da intranet ou por telefone durante o horário de expediente, com um sistema de tickets para acompanhar os pedidos recebidos fora desse horário.
