Cuentas compartidas y una filtración de datos de salud en una clínica de Santiago
La clínica San Rafael, en Santiago, atiende unos 300 pacientes al día con 45 empleados. En recepción, seis personas comparten tres cuentas genéricas ('recepcion1', 'recepcion2', 'recepcion3') porque el sistema de historias clínicas solo permite una sesión por cuenta y el cambio de turno es constante. Los resultados de laboratorio se guardan en una carpeta compartida del servidor de archivos, accesible por todo el personal, sin clasificación ni registro de auditoría más allá del inicio de sesión. La semana pasada, el resultado de VIH de una paciente apareció en un grupo de WhatsApp. La encargada de TI revisó los registros: hay 14 inicios de sesión en las cuentas genéricas esa mañana y no puede determinar quién abrió el archivo. El proveedor del sistema dice que la versión actual no soporta cuentas nominales y que la actualización cuesta RD$ 400,000, fuera del presupuesto de este año. La directora médica pide «cambiar las contraseñas y cerrar el caso antes de que llegue la prensa».
1. ¿Qué propiedades de la seguridad de la información se vieron afectadas y por qué los registros disponibles no permiten atribuir la divulgación?
Read the worked answer
Propiedades afectadas
- Confidencialidad: es la propiedad vulnerada de forma directa. El resultado de VIH es un dato sensible de salud que llegó a personas sin necesidad de conocerlo.
- Integridad: no hay evidencia de alteración del dato, así que no se puede afirmar que se vulneró; conviene decirlo explícitamente en el informe para no sobreafirmar.
- Disponibilidad: intacta; el archivo se sigue consultando con normalidad.
Por qué no hay atribución La propiedad que falta no es de la tríada clásica sino la responsabilidad individual (accountability) y, en su forma jurídica, el no repudio. Un registro de auditoría solo vale si cada línea se asocia a una persona:
- Las cuentas genéricas eliminan la identidad: 14 inicios de sesión en tres cuentas no distinguen a seis personas.
- Sin registro de acceso al archivo (quién abrió, copió o imprimió) solo se sabe que alguien con sesión abierta pudo hacerlo.
- Sin privilegio mínimo, todo el personal podía leer la carpeta, así que el universo de sospechosos es cualquiera que tuviera una sesión activa.
Conclusión: existen registros, pero no evidencia. La causa raíz no es la contraseña sino la ausencia de identidad única, control de acceso por rol y auditoría a nivel de archivo. Cualquier medida que no restaure la identidad reproduce el problema en el siguiente turno.
2. Proponga un esquema de clasificación para la carpeta de resultados de laboratorio y al menos dos controles, justificando qué propiedad protege cada uno.
Read the worked answer
Esquema propuesto (cuatro niveles)
- Pública: información institucional, horarios, servicios.
- Uso interno: procedimientos, inventarios.
- Confidencial: datos administrativos y financieros de pacientes.
- Sensible: resultados de laboratorio, diagnósticos, datos de salud.
Los resultados de laboratorio se clasifican como Sensible, con la dirección médica como dueña del dato, etiqueta visible en la carpeta y regla de retención definida. La clasificación va primero porque el control se deriva del nivel, no al revés.
Controles y propiedad que protegen
- Control de acceso basado en rol y necesidad de saber: recepción no ve resultados, el médico tratante sí, el laboratorio solo su carpeta. Protege la confidencialidad y, sobre todo, reduce el universo de personas con acceso legítimo, lo que devuelve capacidad de atribución.
- Auditoría de acceso a archivos con alertas (accesos fuera de horario, copias masivas, impresiones): protege la responsabilidad individual y disuade; convierte el registro en evidencia.
- Cifrado en reposo de la carpeta y del respaldo: protege la confidencialidad ante robo o pérdida del medio, no ante un usuario con permisos.
- Bloqueo de impresión y de compartir por web o mensajería (DLP): ataca directamente el vector observado, la salida por WhatsApp.
Ningún control aislado resuelve el caso: la combinación de identidad, mínimo privilegio y auditoría es la que cierra la brecha.
3. Evalúe la instrucción de la directora médica de cambiar las contraseñas y cerrar el caso.
Read the worked answer
La instrucción tiene tres problemas y ninguno es técnico:
- No resuelve la causa raíz. Cambiar contraseñas de cuentas compartidas no cambia que seis personas usen la misma identidad: en la próxima filtración volverá a ser imposible saber quién fue. Es un control cosmético.
- Destruye evidencia. Cerrar el caso implica dejar de mirar; si además se rotan credenciales, se reinician sesiones o se limpian registros, se pierde la única traza existente y se compromete cualquier investigación posterior, interna o judicial.
- Aumenta la exposición legal. Se trata de un dato sensible de salud; la empresa tiene deber de confidencialidad y custodia, y la persona afectada tiene derechos sobre su información. Cerrar el caso sin evaluar la notificación a la paciente y a la autoridad competente agrava la posición institucional.
Secuencia defendible
- Contención inmediata: crear cuentas nominales o deshabilitar las genéricas, restringir la carpeta a roles clínicos.
- Preservar: exportar e integrar los registros actuales antes de cualquier cambio, con responsable y fecha.
- Evaluar con asesoría jurídica la notificación a la paciente y el manejo comunicacional.
- Plan de 30/60/90 días con la actualización del sistema como partida presupuestaria.
«Antes de que llegue la prensa» es un motivo reputacional legítimo, pero no puede dictar la respuesta técnica: la divulgación ya ocurrió y lo que queda por controlar es su alcance y su repetición.