Seguridad de cuenta en una clínica: sesiones, roles y qué exige el ENS

El incidente típico de una clínica no es un ataque sofisticado: es un ordenador de recepción con la sesión abierta, un móvil perdido que sigue autenticado y una auxiliar que se fue hace ocho meses y conserva su usuario. Nada de eso se arregla con más contraseña. Se arregla decidiendo quién puede llegar a qué, y pudiendo cerrar el grifo en el momento en que hace falta.

¿Qué debe ofrecer la seguridad de cuenta en una clínica?

La seguridad de cuenta clínica se reduce a cuatro cosas concretas, y ninguna es exótica. Que cada persona vea sus sesiones abiertas y pueda cerrarlas. Que dar de baja a alguien corte su acceso al instante y no cuando caduque el testigo. Que los permisos sean más finos que el rol, porque «administración» abarca demasiado. Y que las operaciones de mayor riesgo pidan una comprobación adicional en lugar de bastarles con que la sesión esté abierta.

• Sesiones visibles por dispositivoVer todas las sesiones activas agrupadas por dispositivo, cerrar una concreta o cerrar todas menos la actual, sin pedírselo a soporte.
• Revocación de un móvil perdidoRevocar el dispositivo y solicitar el borrado de lo almacenado en local, que es el escenario real cuando alguien pierde el teléfono.
• Permisos por recurso, no solo por rolUn catálogo con 28 recursos protegibles y tres niveles —ver, modificar o gestionar— por encima del rol grueso.
• Delegación acotada al que delegaUn rol delegado nunca puede llevar más permisos de los que tiene quien delega: el límite es matemático, no una norma interna.

¿Hace falta un segundo factor para entrar en el sistema?

Es una exigencia razonable para cualquier sistema que custodia historias clínicas, y conviene preguntársela a todo proveedor. Con Sanagest la respuesta honesta es esta: el catálogo público de funcionalidades no publicita hoy un segundo factor en el inicio de sesión, así que no lo anunciamos. Lo que sí está publicado y es comprobable es la verificación reforzada para lo sensible: cambiar el modo de acceso a la historia clínica exige una segunda comprobación, no basta con tener la sesión abierta.

Decirlo así tiene coste comercial y evita algo peor: que alguien contrate contando con una función que luego no encuentra. Al evaluar proveedores, la pregunta útil no es si aparece la sigla en la web, sino dónde exactamente se aplica el segundo factor —solo al entrar, también al exportar datos, también al cambiar permisos— y qué pasa cuando un usuario pierde el dispositivo que lo genera.

Qué exige el ENS a una clínica privada, y qué no

Aquí hay bastante ruido comercial. El Esquema Nacional de Seguridad se aplica al sector público y, en el ámbito privado, únicamente a quien presta servicios o provee soluciones a entidades públicas en virtud de una relación contractual. Una clínica privada que no trabaja con la Administración no queda sujeta al ENS por el hecho de manejar datos de salud. Lo que sí le aplica siempre es el artículo 32 del Reglamento general de protección de datos, que pide medidas adecuadas al riesgo, y el riesgo de un historial clínico es alto por definición.

La revisión de permisos que nadie hace

Los permisos se conceden en caliente y se retiran nunca. Una persona que pasó tres meses cubriendo administración conserva accesos que ya no usa, y esa acumulación es la superficie de riesgo real de casi cualquier clínica. Una revisión trimestral con la lista delante —quién tiene qué y por qué— cuesta media hora y detecta más problemas que cualquier auditoría externa. Que la baja de un usuario revoque de inmediato todas sus sesiones activas evita el caso extremo, pero no sustituye a esa media hora.