El ciclo IAM en acción: un hospital entre sector público y privado

Las tres de la madrugada en urgencias

A las tres de la madrugada, una ambulancia lleva a urgencias de la Red de Salud Metro a un hombre inconsciente. Lo trasladaron desde la planta de cardiología una hora antes, y la médica de guardia no tiene derechos permanentes sobre las historias de la unidad de cardiología. No hay tiempo para pedir un acceso y esperar una aprobación. Lo que pase en esa pantalla en los próximos diez segundos es una decisión de IAM, y equivocarse en cualquier dirección es grave: negar el acceso puede costar una vida, y concederlo en silencio deja al hospital con un agujero de privacidad que no sabrá explicar.

Sara dirige IAM en la Red de Salud Metro, y tiene que diseñar para esa noche y para mil mañanas normales. Ya hemos visto el ciclo operativo y el JML a fondo. Este artículo los pone a funcionar con limitaciones reales, empezando por la sanidad porque ningún otro sector presiona tanto sobre la misma maquinaria: urgencias de vida o muerte, riesgos de privacidad que no se pueden deshacer, mucha rotación y, en este ejemplo, una organización que vive en dos sectores a la vez.

La Red de Salud Metro es un sistema regional con un hospital público de 600 camas, financiado y en parte dotado de personal a través del servicio público de salud, y una clínica privada anexa que funciona con criterios comerciales. El mismo campus, en algunos sitios la misma plataforma de historias clínicas, pero dos nóminas, dos mundos de RR. HH. y dos regímenes de cumplimiento, y un mismo grupo de médicos que a menudo trabaja en los dos. Si consigues que el JML funcione limpio aquí, funcionará en cualquier parte. La pregunta que enmarca todo el caso, “¿cuál es la fuente autoritativa de esta persona?”, no tiene una única respuesta en la Red de Salud Metro. Un cardiólogo puede ser contratista privado en la clínica y tener a la vez privilegios de ingreso en el hospital público. Todo el diseño depende de responder esa pregunta por relación, no por persona.

Seis grupos, seis fuentes

La Red de Salud Metro no tiene “empleados”. Tiene seis grupos de identidades distintos, cada uno con su propio ciclo de vida y su propia fuente de verdad.

La primera decisión de diseño es resistirse a una única fuente de RR. HH. Cada grupo tiene un sistema distinto que guarda la verdad sobre él, y la plataforma de IGA tiene que agregarlos todos en un único registro maestro, uniendo por la persona allí donde los grupos se solapan, como con los médicos que trabajan en las dos alas, pero manteniendo separadas las relaciones.

La identidad de un profesional nuevo se construye con más de una fuente, y la plataforma tiene que saber qué fuente manda en cada atributo. El nombre legal y el documento de identidad vienen de quien le emplea, el sistema de RR. HH. del gobierno en el lado público o Workday en el privado. La licencia médica y la especialidad vienen del sistema de acreditación, porque solo la acreditación verifica y renueva licencias. La rotación actual y el tutor vienen del registro académico, porque los residentes pertenecen a un programa de formación, no a una nómina. La fecha de fin de un contratista viene de la gestión de proveedores, porque los contratistas no dimiten, se les acaba el contrato. Y el departamento y la ubicación vienen de quien emplea. Todos publican eventos en un bus de mensajes que lee la plataforma de IGA, el mismo patrón por eventos que permite terminar la incorporación antes del primer turno de un profesional. La regla clave que lo atraviesa todo es que la licencia siempre obedece a la acreditación, sea quien sea quien emplee a la persona. Un médico contratado por la clínica privada sigue teniendo su derecho a abrir una historia gobernado por el registro de licencias de la autoridad pública de acreditación.

Alta: una médica que trabaja en las dos alas

A la doctora Elena Ruiz, cardióloga, la contrata la clínica privada y le conceden privilegios de ingreso en el hospital público, las dos cosas en la misma semana. Son dos altas para una persona, y hacerlo bien supone aprovisionar por separado la relación con la clínica y la relación con el hospital, atando ambas a una única identidad maestra.

sequenceDiagram
  accTitle: Incorporación de una médica con doble afiliación en la Red de Salud Metro
  accDescr: El sistema de acreditación confirma a la plataforma de IGA que la licencia de la doctora Ruiz está vigente, y la plataforma crea o reutiliza una única identidad maestra. Workday comunica la relación laboral con la clínica privada y el sistema de privilegios del hospital público comunica la relación de ingreso. La plataforma de IGA aprovisiona un conjunto de accesos de la clínica y otro separado del hospital, ambos condicionados a la licencia vigente, y lo registra todo en el almacén de auditoría.
  participant CRED as Acreditación
  participant IGA as Plataforma IGA
  participant WD as Workday
  participant PUB as Privilegios
  participant APPS as Apps clínicas
  CRED->>IGA: Licencia vigente verificada (Dra. Ruiz)
  IGA->>IGA: Crea o reutiliza la identidad maestra
  WD->>IGA: Empieza el empleo en la clínica privada
  PUB->>IGA: Privilegios de ingreso concedidos
  IGA->>APPS: Acceso de la clínica (según licencia)
  IGA->>APPS: Acceso del hospital (según licencia)
  IGA->>IGA: Dos relaciones, una identidad, ambas auditadas

Lo que lo hace correcto, y no solo cómodo, es que los dos conjuntos nunca se mezclan. El rol de la clínica le da a la doctora Ruiz la agenda y la facturación de la clínica y su parte de la historia clínica; el privilegio del hospital le da las historias de cardiología de pacientes ingresados y la prescripción electrónica. Si su contrato con la clínica terminara mañana, el acceso de la clínica se retiraría y sus privilegios en el hospital, una relación distinta, seguirían intactos.

El atajo tentador es dar a una médica así un único “superrol” que lo cubra todo. Es un desastre de privacidad y de auditoría. Ya no puedes decir por qué tiene un acceso concreto, no puedes retirar una afiliación sin la otra y un auditor no puede averiguar con qué sombrero estaba cuando abrió una historia. Mantén las relaciones separadas aunque la persona sea la misma.

Cambio de puesto: cuando un residente pasa a adjunto

El cambio de puesto característico de un hospital docente es el del residente que termina su formación y pasa a ser médico adjunto. Todo en su acceso cambia a la vez. Sale de la autoridad del registro académico y pasa al sistema de RR. HH. público o a la nómina privada. Su acceso supervisado y limitado se convierte en privilegios independientes. Y un montón de permisos del programa de formación tienen que retirarse en lugar de arrastrarse.

Un cambio de puesto correcto recalcula todo el conjunto esperado a partir de la nueva relación y concilia en las dos direcciones. Concede la prescripción independiente, la autoridad para recetar dentro de su licencia y el acceso de adjunto a la historia clínica. Retira las restricciones de supervisión del residente, los recursos compartidos del programa de formación y el acceso del registro académico, todo lo que solo tenía sentido durante la formación. Y vuelve a comprobar la separación de funciones ante cualquier conflicto que cree la nueva autoridad.

El fallo es el universal del artículo del JML: dar el acceso de adjunto y dejar el de residente, de modo que un médico sénior acumula en silencio una década de permisos de formación que nadie recuerda haber concedido. En un hospital eso no es solo desorden. Es un camino hacia sistemas y grupos de pacientes que el adjunto ya no tiene ningún motivo clínico para tocar.

Bajas: los ritmos de las salidas

Las salidas en la Red de Salud Metro llegan con tres ritmos muy distintos, y el flujo de baja tiene que resolver cada uno. Las promociones se van según el calendario: residentes y estudiantes salen en oleadas al final de cada rotación, así que cada identidad de una promoción está atada a una fecha fija de fin y su acceso caduca solo, acceso justo a tiempo a escala de todo un grupo, seguido de una reconciliación para barrer a los rezagados. A los contratistas se les acaba el contrato: cuando termina el de la empresa de ingeniería biomédica, el sistema de proveedores envía la baja y se revoca el acceso a las consolas de gestión de equipos y a las partes de la historia clínica que usaban. Como los contratistas se van sin hacer ruido, una fecha de fin que falta o que se alarga se trata como una excepción que hay que revisar. Y algunas salidas son urgentes: un profesional despedido tras un incidente grave necesita que se le corte el acceso en minutos, que se cierren sus sesiones y que se revise forensemente cada historia que tocó, y nada de eso puede esperar a un lote nocturno.

En los tres casos, desactivar primero y borrar después importa más de lo habitual. Las historias que la persona escribió, firmó o cofirmó tienen que seguir siendo atribuibles durante años, así que la cuenta se desactiva y se conserva, nunca se borra el primer día, hasta que vence el periodo de retención que fija la normativa.

Romper el cristal

Volvamos a urgencias. Lo que hace única a la sanidad es que negar un acceso puede matar a alguien. La respuesta es el break-glass, romper el cristal, una excepción de emergencia controlada.

flowchart TB
  accTitle: Flujo de acceso de emergencia break-glass
  accDescr: Un profesional pide acceso de emergencia a una historia que queda fuera de sus derechos normales. El sistema concede el acceso de inmediato, pero marca la sesión como de emergencia, escribe un evento de auditoría de alta prioridad, limita el acceso en el tiempo y abre automáticamente una revisión posterior obligatoria por parte de la oficina de privacidad, que o bien da el acceso por justificado o bien lo escala como una infracción.
  REQ[El clínico necesita un expediente<br/>fuera de sus derechos normales] --> GRANT[Otorgar acceso de inmediato]
  GRANT --> FLAG[Marcar sesión como break-glass]
  FLAG --> LOG[Evento de auditoría de alta prioridad]
  FLAG --> BOX[Acotar el acceso en el tiempo]
  LOG --> REVIEW[Revisión posterior obligatoria<br/>por oficina de privacidad]
  REVIEW -->|justificado| CLEAR[Aclarar y documentar]
  REVIEW -->|no justificado| ESC[Escalar como violación]

El principio es que la prevención se cambia por detección, nunca por rendición de cuentas. La médica entra al instante, sin ninguna cola de aprobación entre ella y un paciente que se muere, pero el sistema hace que el acceso haga ruido: una entrada de registro de alta prioridad, una ventana limitada en el tiempo y una revisión posterior que no es opcional. La mayoría de las veces que se rompe el cristal están plenamente justificadas y se documentan así; las pocas que no lo están se convierten en investigaciones de privacidad. Lo importante es que se revisan todas, y eso es lo que impide que la excepción se convierta en silencio en una puerta trasera.

Cuando caduca una licencia

El segundo control propio de la sanidad es la suspensión automática cuando caduca una licencia. Como el sistema de acreditación es autoritativo para las licencias, envía las fechas de caducidad a la plataforma de IGA, que organiza el ciclo de vida en torno a ellas: recordatorios al médico y a la oficina de acreditación en las semanas previas y, si la licencia no se renueva antes de la fecha de caducidad, suspensión automática del acceso a todos los sistemas clínicos.

No es higiene opcional. La normativa exige que solo el personal con licencia vigente llegue a la información sanitaria protegida, y con cientos de médicos con renovaciones escalonadas, llevarlo a mano es imposible. La regla de seguridad de HIPAA exige controles de acceso y de auditoría sobre la información sanitaria electrónica, y la NIST SP 800-66, la guía para aplicarla, los convierte en prácticas concretas de gestión de cuentas y de registro. Romper el cristal, condicionar el acceso a la licencia y llevar un registro completo de quién abrió qué no son adornos; son la forma en que un hospital demuestra que cumple los principios de “mínimo necesario” y de rendición de cuentas que exige la norma.

Equipos y cuentas de servicio

El grupo más grande de la Red de Salud Metro no son los profesionales sanitarios. Son los cerca de 1.800 equipos médicos y cuentas de servicio de la CMDB. Bombas de infusión, estaciones de imagen, analizadores de laboratorio y las cuentas de integración que mueven datos entre la historia clínica y una docena de sistemas más son todos identidades. Se autentican, tienen accesos y, sin gobierno, son el blanco más blando del edificio.

Estas identidades no humanas rompen las suposiciones del JML de formas útiles. No entran por RR. HH. y nunca dimiten, así que su ciclo de vida pertenece a la CMDB y al equipo de ingeniería biomédica, no a RR. HH. Un equipo se aprovisiona cuando se pone en servicio, sus accesos cambian cuando se mueve entre unidades y tiene que darse de baja cuando se retira, un evento de baja que en la práctica es el que más se salta. Una estación de imagen retirada cuya cuenta de servicio sigue teniendo acceso vivo a la historia clínica es una huérfana con un puerto de red. Las reglas imitan el ciclo de vida humano con un matiz. Cada equipo y cada cuenta de servicio tienen una persona responsable con nombre, porque una identidad sin dueño es una identidad que nadie dará de baja. Las credenciales se rotan y se guardan en una bóveda, nunca se comparten en una hoja de cálculo. Y la retirada de un equipo es un evento de baja con seguimiento, conciliado con la CMDB, porque que la cuenta de un equipo sobreviva al equipo es justo lo que existe para atrapar la reconciliación de huérfanas. La identidad no humana tiene su propio dominio más adelante en el programa; lo que importa aquí es que un hospital no puede hacer JML para las personas e ignorar la población más grande, la de las cosas. A los atacantes les da igual si la credencial que roban es de una cardióloga o de un escáner de TAC.

¿Quién abrió esta historia?

La sanidad es donde la auditoría deja de ser higiene y se convierte en el producto. Con HIPAA, un paciente puede preguntar quién ha mirado su historia, y el hospital tiene que responder de forma completa y creíble. Cada evento del ciclo de vida de arriba, alta, cambio de puesto, romper el cristal, baja, suspensión por licencia, se escribe en un almacén de auditoría precisamente para poder responder a esa pregunta meses o años después. No registra solo los inicios de sesión, sino el acceso a cada historia: qué profesional abrió la de qué paciente, cuándo, desde dónde y con qué autoridad, rutinaria, por rol o de emergencia.

Dos cosas hacen que esa auditoría sea fiable y no un teatro. La atribución sobrevive a la persona: como las bajas se desactivan y se conservan en lugar de borrarse, una historia que abrió hace tres años una enfermera que ya se fue sigue siendo atribuible a ella, mientras que borrar la cuenta demasiado pronto deja agujeros en el rastro justo donde una investigación los necesita. Y las anomalías se sacan a la luz, no solo se guardan: un hospital que solo conserva registros está haciendo teatro de cumplimiento, mientras que uno maduro ejecuta detección sobre ellos y pilla al empleado que abre la historia de un famoso, al profesional que curiosea pacientes a los que nunca trató, al pico de accesos justo antes de una dimisión. Ese es el punto en el que IAM pasa el relevo a la detección de amenazas de identidad, un dominio posterior.

La lección va mucho más allá de la sanidad: la auditoría solo es tan buena como la disciplina del ciclo de vida que tiene debajo. No puedes reconstruir quién hizo qué si las identidades están fusionadas, las bajas se borran y romper el cristal no deja registro. Un hospital simplemente hace imposible ignorar lo que está en juego.

Dos relojes de RR. HH.

La estructura de dos sectores provoca un problema más sutil que el de los médicos que trabajan en las dos alas: las dos mitades de la Red de Salud Metro llevan RR. HH. con relojes distintos. El sistema de RR. HH. del gobierno que hay detrás del hospital público va al ritmo de la función pública; los cambios se agrupan por la noche, las aprobaciones pasan por comisiones y un cambio de puesto puede tardar una semana en llegar. El Workday de la clínica privada va casi en tiempo real. La misma plataforma de IGA lee los dos, y un único flujo rígido no sirve para ambos.

Si diseñas el JML pensando en la fuente lenta, la clínica privada sufre una fricción innecesaria el primer día; si lo diseñas pensando en la rápida, tus automatismos esperan eventos que el sistema público no enviará en días. La respuesta de Sara es tratar la latencia como un atributo de la fuente. Las altas del lado público se preparan con mucha antelación, porque el evento autoritativo llega tarde, así que la identidad se construye antes que la fuente lenta y se activa cuando se confirma. Las altas del lado privado siguen directamente el evento en tiempo real, con poca preparación. Y las bajas urgentes del lado público no pueden esperar al lote nocturno, así que tienen una vía manual en tiempo real.

Encima están las normas propias del sector público: las garantías de la función pública, los convenios sindicales que limitan qué cambios de acceso pueden acompañar a un cambio de puesto y las obligaciones de transparencia, que tiran en una dirección distinta del mandato de privacidad de HIPAA. Ninguna cambia la forma del JML; alta, cambio de puesto y baja siguen aplicando. Pero cambian sus tiempos y aprobaciones, y esa es la verdadera lección de una organización con dos sectores: el ciclo de vida tiene que absorber dos ritmos, o una mitad de la casa se pasará los días peleándose con un flujo pensado para la otra.

Lo que mide Sara

La Red de Salud Metro usa las métricas del JML del artículo del ciclo de vida, pero las inclina hacia los controles que mantienen seguros a los pacientes y contentos a los auditores. En un hospital regulado, las métricas no son burocracia de informes; son las pruebas. Sara vigila si un profesional nuevo tiene acceso que funcione antes de su primer turno y no durante su primera semana; si el acceso se suspende justo al caducar la licencia, con recordatorios semanas antes; si se revisa cada vez que se rompe el cristal, la mayoría en pocos días; si la tasa de huérfanas entre equipos y cuentas de servicio va hacia cero gracias a la reconciliación con la CMDB, y si el acceso de las rotaciones caduca según el calendario sin que nadie tenga que dar de baja a mano a los residentes.

Dos de ellas son donde los hospitales suelen suspender las auditorías. El porcentaje de revisiones de emergencia completadas es la prueba honesta de si el acceso de emergencia es una excepción controlada o una puerta trasera silenciosa. Si los eventos se acumulan sin revisar, el control solo existe sobre el papel, y una cifra desbocada significa que el modelo de acceso es tan estrecho que los profesionales rompen el cristal por rutina para poder trabajar, lo que ya es un hallazgo en sí. El momento en que se suspenden las licencias demuestra que el condicionamiento a la licencia funciona de verdad. Un auditor elegirá a un médico cuya licencia caducó y pedirá la hora exacta en que se cortó el acceso, y “suspendemos automáticamente al caducar, aquí está el registro” es una conversación muy distinta de “alguien revisa una hoja de cálculo cada mes”.

La sanidad simplemente hace medible lo que todo sector debería medir de todos modos. Un tiempo hasta retirar el acceso que puedas defender, una tasa de huérfanas camino de cero y un rastro de auditoría completo son las señales universales de un programa que funciona; el hospital solo responde ante un regulador que de verdad pedirá verlas.

La telemedicina estira el perímetro

La presión más reciente sobre el ciclo de vida de la Red de Salud Metro es la telemedicina. Profesionales a distancia, unos empleados y otros especialistas afiliados que pasan consulta en varias regiones, llegan ahora a las historias desde fuera del hospital y con dispositivos que el hospital quizá no posee. Eso estira todos los controles anteriores. La identidad tiene que verificarse con más garantías, porque no hay ningún lector de tarjetas que confirme que la persona está físicamente allí, y la decisión de acceso tiene que tener en cuenta el dispositivo y la red, no solo las credenciales.

Aquí los profesionales se apoyan en estándares de verificación de identidad, la NIST SP 800-63 define niveles de garantía justo para el problema de “no puedo verte en persona”, y en un acceso condicional que trata un portátil doméstico sin gestionar de forma distinta a un puesto del hospital. El ciclo de vida no cambia, un especialista de telemedicina sigue siendo un alta, un cambio de puesto o una baja, pero el alta incluye ahora una verificación de identidad más fuerte y el inicio de sesión se apoya en el contexto, igual que el acceso justo a tiempo de la startup y las comprobaciones de dispositivo de la consultora. La telemedicina anticipa un tema al que el programa vuelve una y otra vez: a medida que el perímetro se disuelve, la identidad y el contexto pasan a ser el plano de control, y el ciclo operativo tiene que aprovisionar y gobernar a personas que nunca conocerá en persona.

Lo que enseña el hospital

La Red de Salud Metro deja lecciones que valen mucho más allá de la sanidad. Una persona puede tener muchas relaciones, así que el acceso se gobierna por relación y no por persona, como mostró la doctora Ruiz. La licencia manda sobre el empleo, así que la fuente autoritativa se elige por atributo y no por persona. Las promociones llegan y se van en oleadas, así que se ponen fechas de caducidad a grupos enteros en lugar de dar de baja a la gente una a una. Negar un acceso puede ser peligroso, así que a veces se cambia prevención por detección, como en urgencias a las tres de la madrugada, pero nunca por auditoría. Y las historias sobreviven a las personas, así que las cuentas se desactivan y se conservan, y el borrado es el último paso, no el primero.

La lección más profunda es la estructura de dos sectores. Cuando una organización abarca dos regímenes laborales, la identidad es compartida pero las relaciones no, y un programa de IAM que las fusiona pierde la capacidad de aprovisionar, retirar y auditar cada una por separado. Mantén a la persona en singular y las relaciones en plural.

Tres preguntas para ponerte a prueba

1. Termina el contrato de una médica con la clínica privada, pero ella conserva sus privilegios en el hospital público. Describe exactamente qué debería retirarse, qué debería quedarse y cómo demuestra la diferencia el rastro de auditoría.
2. Tu cola de revisiones de emergencia tiene 400 eventos este mes y el equipo de privacidad puede revisar 50. ¿Qué te dice esa cifra sobre tu modelo de acceso y qué cambiarías para que romper el cristal sea algo raro y no rutinario?
3. Un residente pasa a ser adjunto. Enumera los permisos que retirarías y los que concederías, y explica por qué saltarse la retirada es más peligroso en un hospital que en la mayoría de las organizaciones.