La curiosidad (aunque no sólo) mató al gato

Según una noticia publicada en la revista americana SC Magazine, el número de accesos ilícitos a información sanitaria está creciendo y una gran parte de las violaciones de la seguridad y la confidencialidad proceden de empleados curiosos a los que les gusta mirar los datos médicos de sus compañeros, parientes o amigos ¡Aunque tampoco faltan los que lo hacen con vistas a perpetrar suplantaciones de identidad! ¡El enemigo sigue estando dentro, ya sea un gato curioso o un zorro ladrón!

Seguridad y Confianza

Para  cerrar esta serie sobre las conclusiones del VIII Foro de Protección de Datos de Salud quiero abordar uno de los temas que centró los debates del mismo: la seguridad como elemento de calidad y confianza en los sistemas de información sanitarios.

La generación de confianza entre los usuarios de la sanidad es un factor indispensable para avanzar en la implantación de las TIC en este sector. Y los tres elementos clásicos que componen la seguridad -esto es, confidencialidad, integridad y disponibilidad de la información- son las premisas básicas para conseguir sistemas informáticos de salud fiables, actualizados y eficientes para el tratamiento y la asistencia de los pacientes que acuden a los distintos centros sanitarios.

En efecto, los profesionales que participaron en el Foro pusieron de manifiesto que la disponibilidad oportuna e instantánea de la información y, en especial, de la contenida en la historia clínica, es uno de los aspectos clave para conseguir una atención de calidad y, además, dicha información debería de presentarse como un todo integral sin que fuera necesario acceder a distintos sistemas de información, cada uno de ellos con sus diferentes formatos y distintos controles de acceso, pues ello implica conocer y memorizar numerosas contraseñas y moverse entre distintas aplicaciones, lo que dificulta una visión de conjunto e impide que el médico se centre en lo realmente importante: la relación e interacción con el paciente.

Pero es, quizás, la confidencialidad de la información, esto es, que los datos solo sean accedidos por quien debe conocerlos y en el momento que resulta necesario utilizarlos, el aspecto más relevante o, al menos, el más determinante tanto para los pacientes como para los profesionales sanitarios, para conseguir una seguridad y confianza adecuadas por parte de todos los actores que intervienen en el tratamiento de la información sanitaria.

En este sentido, parece haber un claro consenso en que la tecnología necesaria para garantizar la confidencialidad y la seguridad existe y está disponible para todas las organizaciones y, al mismo tiempo, también es evidente que la tecnología por sí sola no es en absoluto suficiente. Y el reto está en conseguir que la información siempre esté disponible y actualizada cuando se requiera en cualquier acto asistencial pero de tal forma que existan los controles necesarios para evitar su acceso tanto por terceros no autorizados como por los profesionales sanitarios que no acrediten una razón válida para consultarla, exigiendo responsabilidades y aplicando las correspondientes medidas disciplinarias a los que violen la norma.

Estas o parecidas conclusiones fueron también el resultado del Foro de Debate sobre Seguridad de los Sistemas de Información Sanitarios que se celebró el pasado 31 de marzo en el Palacio de Congresos de Ávila en el marco de las Jornadas de e-Salud de Castilla y León, conclusiones que son perfectamente compatibles con los resultados del Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español que recientemente llevaron a cabo conjuntamente la Agencia de Protección de Datos de la Comunidad de Madrid (APDCM) y el Instituto Nacional de Tecnologías de la Comunicación (INTECO).

Como resumen, se afirmó que la seguridad no se puede conseguir por medidas aisladas o por la mera implantación de herramientas técnicas sino que debe haber una conjunción entre tecnología, procesos, procedimientos y formación, tal y como expresó certeramente José Luis Solla. 

Finalmente, como último punto de reflexión, debemos tener en cuenta que avanzamos de manera imparable en dos direcciones: la interoperabilidad de los sistemas sanitarios y la utilización del cloud computing para la oferta de soluciones accesibles y escalables, en muchas ocasiones formuladas no ya a las instituciones sanitarias, sino directamente a los pacientes. Y en estos dos ámbitos, la garantía de la confidencialidad, la integridad y la disponibilidad de la información es un elementos clave para poder asegurar que se resguardan debidamente los derechos de los ciudadanos cuyos datos se tratan e intercambian cada vez en mayor escala.

La venganza de las fotocopiadoras

Nadie pensaría que una modesta máquina tan anticuada, con sus rodillitos, sus sistemas de tracción y succión,  sus bandejitas de papel y sus ruiditos pre-TIC, tan poco cool, despreciada y destinada a la extinción cuando alcancemos la tierra prometida de la oficina sin papeles y la sociedad digital integral podría todavía, en un último estertor, aprovechando que ha sido dotada de elementos digitales para disimular su antigüedad, vengarse de aquellos que la abandonan revelando sus más íntimos secretos.


Todos estamos acostumbrados a  tomar medidas cuando nos deshacemos de ordenadores u otros equipos digitales para que la información guardada en sus sistemas de almacenamiento sea destruida. Pero ¿nos hemos parado a pensar alguna vez que las "modernas" fotocopiadoras -de hecho, las fabricadas ¡desde 2002!- están equipadas con discos duros en los que se almacenan todas las copias que se realizan? ¿Y en que sería conveniente destruir esta información antes d e "entregarlas al chatarrero"?


Esto es lo que ha puesto de manifiesto una investigación de la CBS en un almacén de material de segunda mano donde esperaban para ser vendidas más de seis mil fotocopiadoras. ¿Se imaginan la fuente de información que podría ser una fotocopiadora del servicio de psiquiatría o de enfermedades infecciosas de un hospital? ¿La cantidad de historias clínicas que estarán almacenadas en sus discos duros? Los periodistas de la CBS han demostrado que comprar unas cuantas al azar y revisar sus discos con un programa forense de libre disposición bajado de Internet (de hecho, en algún caso, antes de analizar los discos ya se obtuvo información porque había papeles olvidados en una máquina ¡de la Unidad de Delitos Sexuales de una fuerza de policía!) es tan sencillo como comprar un frigorífico o una lavadora. En unas doce horas habían accedido a decenas de miles de documentos almacenados en los discos.


Y, sí, ya se lo habrán imaginado, la Ley de Murphy es inexorable: una de las máquinas procedía de una aseguradora de salud y su disco contenía un buen número de documentos de asistencia médica, incluyendo recetas, resultados de analíticas y diagnósticos de cáncer.


Por lo tanto, atención a la venganza de las fotocopiadoras. Cualquier equipo que realice funciones automatizadas en nuestros días contiene, con toda seguridad, dispositivos de almacenamiento permanente por lo que, antes de venderlo o deshacernos de él, debemos asegurarnos que esos datos han sido destruidos o borrados definitivamente, sin posibilidad de recuperación. Además de proteger la privacidad de aquellos cuyas vidas pasan por ellos también estaremos cumpliendo con las medidas que exige la legislación de protección de datos y nos ahorraremos quebraderos de cabeza.