Mariana cerró su portátil sintiendo la satisfacción del deber cumplido al pensar que esa eficiencia era lo realmente importante e indispensable, sin embargo, tres días después, en la reunión semanal de dirección, el ambiente era inusualmente tenso. El director general proyectó en la pantalla una carta formal de reclamo acompañada de una citación de la autoridad de protección de datos personales. Un medio local de noticias de entretenimiento había publicado un artículo sobre la repentina intervención quirúrgica de una figura pública de la ciudad. El artículo no solo confirmaba la cirugía, sino que incluía unas captura de pantalla del reporte de patología con los datos y el diagnóstico exacto de la paciente.
La mirada de Mariana se congeló al notar que la información filtrada era de la paciente que había sido solicitada días atrás por la doctora Ramos. Durante la auditoría interna relámpago que siguió esa misma tarde, la primera hipótesis del equipo de TI fue un ciberataque al sistema de la clínica. Sin embargo, los registros de acceso al servidor no mostraban ninguna intrusión externa ni descargas masivas de información sensible. El giro ocurrió cuando el equipo de seguridad digital analizó el teléfono corporativo de la doctora Ramos.
Ella no había filtrado la foto ni vendido la información. El problema había surgido pocas horas después de recibir el archivo: mientras usaba la red Wi-Fi abierta de un café cerca de la clínica, su teléfono (que sincronizaba automáticamente las descargas de WhatsApp en la galería de fotos y en una copia de seguridad en la nube no cifrada) sufrió la interceptación de su cuenta a través de un duplicado de sesión no autorizado. Alguien en la misma red abierta había logrado acceder al historial reciente de archivos multimedia del dispositivo.
Qué nos deja esta historia
- El conflicto y el sesgo de agilidad: En el ámbito de la salud, la prisa por solucionar un inconveniente técnico suele llevar a los colaboradores a crear «sistemas paralelos» de trabajo (uso de aplicaciones de mensajería instantánea personal, correos privados o almacenamiento no corporativo). Aunque la intención sea beneficiar al paciente o facilitar la labor médica, la información sale del perímetro seguro de la organización.
- El giro y el riesgo real: El riesgo no siempre radica en que el receptor del mensaje actúe de mala fe, sino en las vulnerabilidades del entorno por el que viaja la información. Aplicaciones como WhatsApp, aunque cuentan con cifrado de extremo a extremo en el tránsito, no controlan la seguridad del dispositivo de destino si este no tiene contraseñas fuertes, si realiza copias de seguridad automáticas en nubes personales desprotegidas o si se conecta a redes no seguras.
-
Tratamiento de datos sensibles: Bajo normativas como el RGPD en Europa o la Ley General de Protección de Datos en diversos países de América Latina, los datos de salud son considerados datos sensibles. Su tratamiento exige un nivel de diligencia reforzado y el uso estricto de canales autorizados.
-
Canales oficiales vs. canales personales: La comodidad de una aplicación de mensajería no reemplaza las medidas de seguridad técnicas (cifrado en reposo, autenticación de doble factor y trazabilidad de accesos) que ofrecen los sistemas institucionales.
-
Gestión del riesgo humano: Las políticas de seguridad de la información no deben verse como obstáculos burocráticos, sino como barreras de protección tanto para el usuario o paciente como para los propios empleados y la institución. Si un canal oficial es lento o ineficiente, la solución es reportar y optimizar la herramienta, nunca evadir los controles.
Evalúe si los procesos operativos de su organización exponen la información más sensible de sus usuarios. Conozca las soluciones de Data Protected para fortalecer sus políticas de custodia de datos, garantizar el cumplimiento normativo y capacitar a su equipo en la gestión segura de la información
Descubre más desde Blog de Cumplimiento, Privacidad y Seguridad
Suscríbete y recibe las últimas entradas en tu correo electrónico.
