Acceso de proveedores sanitarios: ¿la revocación finaliza la sesión?

La decisión que le ayudará a tomar esta guía

Empiece por la tarea de mantenimiento concreta y los sistemas que requiere. Pruebe por separado la aprobación, el acceso a la pasarela, los permisos sobre los destinos y la finalización de la sesión. Compruebe que la revocación elimine el acceso correspondiente, incluidas las sesiones ya establecidas cuando estén dentro del alcance.

Empiece por la tarea de mantenimiento

Enumere las actividades de mantenimiento que realmente realiza el proveedor: aplicar una actualización de una aplicación, diagnosticar un fallo de interfaz o prestar soporte a un portal alojado. Para cada actividad, identifica a la persona o identidad de servicio, el punto de entrada, el sistema de destino y al responsable que aprueba el acceso. Un contrato que diga «asistencia técnica» no constituye un modelo de permisos suficiente. Dos proveedores que utilicen la misma pasarela pueden necesitar niveles de acceso muy distintos a las aplicaciones clínicas y a la infraestructura.

Diseñe la evaluación en torno a una cuenta de prueba dedicada y un escenario de mantenimiento acordado. Confirme si la pasarela, el dispositivo y el servicio de identidad pertenecen a la organización sanitaria o a otra parte. La autorización para las pruebas debe cubrir todos los componentes de la actividad propuesta.

Establecer el ciclo de vida previsto de la sesión

Describa cómo comienza el acceso, cuánto dura y qué debe ocurrir cuando vence la autorización. Incluya en el alcance acordado las sesiones existentes, las sesiones del navegador, las credenciales almacenadas en caché y los tokens de servicios posteriores. Deshabilitar una cuenta de inicio de sesión y terminar una sesión ya establecida son acciones distintas. Registre el comportamiento previsto antes de la prueba para comparar el resultado con un requisito real.

Prepare a una persona responsable que pueda aplicar y revertir el cambio de acceso durante la ventana acordada. Utilice un objeto sintético inocuo para observar si el acceso continúa; evite consultar historias clínicas reales solo para demostrar que una sesión sigue siendo utilizable. La prueba debe dejar un rastro de evidencias breve y comprensible.

Compruebe el alcance tras la pasarela

Una pasarela puede autenticar correctamente a un usuario y, aun así, permitir una ruta de acceso innecesariamente amplia detrás de ella. Compare el destino de soporte aprobado con un destino canario expresamente prohibido. Elija un método que demuestre el alcance sin modificar el sistema objetivo. Compruebe si el proveedor puede elegir otro destino, heredar un rol no previsto o usar una identidad compartida que impida atribuir la actividad. Cualquier actividad adicional requiere una autorización propia.

La guía sobre acceso remoto para mantenimiento hospitalario desarrolla este límite para entornos clínicos en los que ingeniería clínica e informática pueden controlar distintos tramos de la conexión. Los contactos operativos deben poder actuar de forma coordinada.

Observar la revocación junto con los equipos defensivos

Acuerde una secuencia breve: abra la sesión de prueba aprobada, registre su identificador, revoque el permiso pertinente e intente de nuevo la misma operación inocua. Registre el tiempo transcurrido y la respuesta del servicio sin asumir que todos los productos garantizan una terminación inmediata. Pida a los responsables de la pasarela y de la aplicación que localicen los eventos correspondientes. No poder correlacionarlos puede plantear un problema de rendición de cuentas, aunque la decisión de acceso sea correcta.

Si una sesión abarca varios sistemas, indique qué componente puso fin al acceso. La desconexión de una pasarela no demuestra que se haya revocado un token de aplicación emitido de forma independiente; ese token requiere su propia comprobación aprobada.

Convierta el resultado en un plan de tratamiento

Una recomendación debe identificar el límite de seguridad que ha fallado. Entre las posibles medidas se encuentran restringir los destinos permitidos, utilizar cuentas individuales, acortar la duración de las autorizaciones, revocar expresamente los permisos posteriores o mejorar la correlación entre sesiones y tickets. Especifique las repercusiones para las operaciones de soporte y quién será responsable de la implementación. No dé por hecho que un nuevo producto de seguridad resolverá a la vez un problema de identidad, red y procesos.

Desde otra perspectiva sobre el acceso por capas, nuestra guía sobre acceso privilegiado y segmentación en bancos distingue el acceso autenticado de la autoridad para alcanzar un servicio protegido y operar en él. El principio de control es aplicable; las limitaciones operativas clínicas son específicas del ámbito sanitario.

Dejar un paquete de evidencias reproducible

Conserve la referencia de aprobación, la identidad de prueba, el identificador de sesión, el objetivo permitido, la comparación prohibida, las marcas de tiempo y los resultados observados. Oculte los secretos y la información de pacientes. Registre la limpieza, incluida la eliminación de cuentas temporales y la confirmación de que no queda ninguna sesión de prueba activa. El paquete debe permitir al responsable del servicio repetir la comprobación tras un cambio en la pasarela sin tener que reconstruir todo el encargo.

Utilice la lista de preparación para pruebas de penetración en el sector sanitario para identificar a las personas responsables de autorizar las pruebas y preparar los datos de prueba. Si alguna parte del ciclo de vida no puede probarse de forma segura, documéntela como una limitación concreta de cobertura, con una persona responsable y un siguiente paso propuesto.