Imaginá un consultorio chico donde todo el equipo comparte un único usuario del sistema de pacientes. La recepcionista, la enfermera, el médico y la contadora de medio tiempo abren las mismas pantallas y ven los mismos registros. Es cómodo. También significa que nadie puede responder una pregunta simple: ¿quién miró la ficha de este paciente el martes pasado?
La información de salud es de los datos más sensibles que puede tener un negocio. Resolver bien los accesos no es solo un tema de tecnología; es una decisión sobre quién necesita saber qué, escrita y después aplicada por el software.
Empezá por los roles, no por las personas
En lugar de decidir los accesos persona por persona, un sistema bien hecho define roles según el trabajo, y después asigna personas a los roles. Un consultorio típico podría tener:
- Recepción: ve la agenda, los datos de contacto y el estado de facturación, pero no las notas clínicas.
- Enfermería o asistentes: ve lo necesario para la consulta en curso.
- Profesional de salud: ve la historia clínica de sus pacientes.
- Facturación: ve facturas y datos de cobertura, no diagnósticos.
- Administrador: gestiona usuarios y configuración, pero no necesita leer contenido clínico para hacerlo.
Cuando alguien cambia de puesto, cambiás su rol y todo lo demás lo sigue. Además es mucho más fácil de explicar y revisar que una planilla de excepciones individuales.
La idea de "mínimo necesario"
El principio detrás de esto tiene nombre en la normativa de privacidad de salud de Estados Unidos. HHS describe el estándar de "minimum necessary" (mínimo necesario) de la Regla de Privacidad de HIPAA como la exigencia de que las entidades cubiertas hagan esfuerzos razonables para limitar el uso o la divulgación de información de salud protegida al mínimo necesario para el fin buscado. HHS también indica que, para el acceso del personal, las políticas deben identificar quién necesita acceso y a qué información, y señala excepciones, como las divulgaciones para tratamiento.
No hace falta ser una entidad estadounidense para tomar la idea. Muchas normas de protección de datos en el mundo se apoyan en un razonamiento parecido, aunque los detalles difieren y un profesional legal debería confirmar qué te aplica. Como principio de diseño es simple: si un trabajo no necesita ver algo, la pantalla no debería mostrarlo.
Tu propio usuario, siempre
La Regla de Seguridad de HIPAA también da pistas técnicas que vale la pena tomar. Entre sus requisitos pide asignar "un nombre y/o número único para identificar y rastrear la identidad del usuario" (45 CFR 164.312(a)(2)(i), traducción mía). Los usuarios compartidos debilitan cualquier otro control, porque el registro de quién hizo qué apunta a "recepción" y no a una persona.
Registros de acceso: saber quién miró
La misma norma pide mecanismos que "registren y examinen la actividad" en los sistemas que contienen o usan información de salud protegida en formato electrónico (164.312(b)) y, en otro apartado, procedimientos para revisar regularmente los registros de actividad del sistema, "como los registros de auditoría" (164.308(a)(1)(ii)(D)).
En palabras simples, un buen sistema guarda un registro de quién abrió qué ficha de paciente, cuándo, y qué cambió. Ese registro solo sirve si alguien lo lee, así que ayuda que el sistema pueda responder cosas como "mostrame todos los que abrieron esta ficha" y marcar patrones raros, como un usuario que abre decenas de fichas fuera de sus pacientes habituales.
Acceso de emergencia, o "break-glass"
Las reglas nunca son perfectas. A veces un profesional necesita una ficha que normalmente no puede ver, con urgencia, y esperar a un administrador sería peor que el riesgo. Un enfoque común es el acceso break-glass ("romper el vidrio"): la persona puede saltar la restricción, pero debe indicar un motivo, la acción queda claramente registrada y un responsable la revisa después.
La Regla de Seguridad sí exige un "procedimiento de acceso de emergencia" para obtener la información de salud necesaria durante una emergencia (164.312(a)(2)(ii)). No prescribe cómo; break-glass es una forma práctica de hacerlo, y la revisión posterior es lo que evita que se convierta en una puerta trasera.
Bajas de personal: la puerta que queda abierta
Las cuentas activas de ex empleados son un punto débil conocido. La Regla de Seguridad incluye, como especificación "abordable" (addressable), procedimientos para terminar el acceso cuando finaliza el empleo de un miembro del personal (164.308(a)(3)(ii)(C)).
En términos de software, eso significa desactivar la cuenta el mismo día, no borrarla, para que las entradas pasadas del registro sigan mostrando quién hizo qué. También ayuda revisar la lista de usuarios activos cada tanto y quitar accesos a quienes cambian de función.
Lo que cuesta y lo que da
Nada de esto requiere tecnología exótica. Requiere que alguien defina los roles, un sistema construido para aplicarlos y el hábito de leer el registro de vez en cuando. A cambio, podés responder consultas de pacientes, socios o autoridades, limitás el daño si se roba un usuario y tu equipo aprende que el acceso es una responsabilidad.
Un primer paso
Hacé una lista de todas las personas que usan tu sistema de pacientes y anotá al lado de cada una las tres cosas que realmente necesita hacer. Después revisá qué puede ver hoy. La diferencia entre las dos listas es tu primer requerimiento.