Saltar al contenido principal
Este contenido se refiere a versión del dispositivo: 1.1.0.0

Requisitos y recomendaciones de seguridad

Esta sección explica los requisitos mínimos de seguridad informática y las recomendaciones para integrar nuestro dispositivo médico, con un enfoque específico en la protección de datos médicos sensibles y la garantía de comunicaciones seguras con la API.

El dispositivo procesa imágenes y devuelve análisis clínicos a través de endpoints seguros de API REST. Para garantizar un funcionamiento seguro, su organización de atención médica debe cumplir con requisitos específicos de seguridad que protejan los datos de los pacientes y mantengan la integridad del sistema.

El modelo de seguridad del dispositivo incluye:

  • Autenticación basada en JWT con tokens de acceso de tiempo limitado
  • Comunicaciones cifradas HTTPS para todos los endpoints de API
  • Transmisión de imágenes codificadas en Base64 con procesamiento seguro
  • Salida compatible con FHIR siguiendo estándares de datos de atención médica

Aunque estos requisitos son fundamentales para los sistemas de TI en atención médica, revisar este documento asegura que su infraestructura esté configurada adecuadamente para una integración segura del dispositivo médico. Cumplir con estas especificaciones previene accesos no autorizados, brechas de datos y otras amenazas cibernéticas mientras se mantiene la confidencialidad e integridad de la información de salud sensible.

Los requisitos y recomendaciones aquí descritos están alineados con los últimos estándares y directrices del Grupo de Coordinación de Dispositivos Médicos (MDCG) y el Reglamento de Dispositivos Médicos (MDR), abordando específicamente las necesidades de ciberseguridad del software de dispositivos médicos de Clase IIb.

Requisitos básicos de seguridad​

Seguridad de red y comunicación con la API​

Cifrado HTTPS/TLS​

  • Todas las comunicaciones con el dispositivo deben usar HTTPS con TLS 1.2 o superior
  • Verifique la validez del certificado TLS e implemente fijación de certificados cuando sea posible
  • Asegúrese de que sus sistemas rechacen conexiones HTTP no cifradas a los endpoints del dispositivo
  • Configure su firewall para permitir tráfico HTTPS saliente a dominios *.legit.health

Seguridad de la API​

  • Almacene las credenciales de la API de forma segura utilizando sistemas de gestión de credenciales cifrados
  • Nunca incruste credenciales en el código de la aplicación o archivos de configuración
  • Implemente políticas seguras de rotación de credenciales alineadas con los estándares de seguridad de su organización
  • Use variables de entorno o bóvedas seguras para el almacenamiento de credenciales

Autenticación y control de acceso​

Gestión de tokens JWT​

  • Implemente almacenamiento seguro para tokens de acceso JWT (evite el almacenamiento local del navegador para tokens sensibles)
  • Maneje la expiración de tokens de manera adecuada con mecanismos de renovación automática
  • Registre fallos de autenticación y monitoree intentos de inicio de sesión sospechosos
  • Configure tiempos de sesión apropiados según sus políticas de seguridad

Control de acceso​

  • Limite el acceso a la API solo al personal de salud autorizado
  • Implemente control de acceso basado en roles alineado con las responsabilidades clínicas
  • Audite regularmente los permisos de acceso de los usuarios y elimine cuentas no utilizadas
  • Use credenciales fuertes y únicas para cada punto de integración

Protección de datos médicos​

Seguridad de los datos de imagen​

  • Cifre las imágenes médicas tanto en tránsito (a través de HTTPS) como en reposo en sus sistemas
  • Implemente mecanismos seguros de carga de imágenes con la validación adecuada
  • Asegúrese de que las imágenes codificadas en Base64 se manejen de manera segura sin registrar contenido sensible
  • Establezca políticas de retención para imágenes médicas en cumplimiento con las regulaciones locales de atención médica

Manejo de datos FHIR​

  • Procesamiento y almacenamiento seguros de las respuestas de DiagnosticReport de FHIR
  • Implementar una clasificación de datos adecuada para los resultados del análisis clínico
  • Asegúrese de que los informes diagnósticos sean accesibles solo para el personal de salud autorizado
  • Mantenga registros de auditoría para todo el acceso y modificaciones de datos médicos

Requisitos de infraestructura del sistema​

Seguridad del sistema operativo​

Selección y configuración del SO​

  • Elija sistemas operativos con soporte activo de seguridad y actualizaciones regulares
  • Prefiera sistemas comúnmente utilizados en entornos de atención médica con marcos de seguridad establecidos
  • Configure los sistemas de acuerdo con los estándares de seguridad de la industria de atención médica (por ejemplo, Marco de Ciberseguridad NIST)
  • Desactive los servicios innecesarios y cierre los puertos de red no utilizados

Endurecimiento y actualizaciones​

  • Aplique las directrices de endurecimiento de seguridad específicas para su sistema operativo
  • Siga los puntos de referencia del Centro para la Seguridad en Internet (CIS) donde sea aplicable
  • Implemente gestión de parches automatizada con capacidades de parcheo de emergencia
  • Pruebe las actualizaciones de seguridad en entornos no productivos antes de su implementación

Gestión y monitoreo de acceso​

Principio de menor privilegio​

  • Conceda a los usuarios y sistemas solo el acceso mínimo requerido para sus funciones específicas
  • Implemente cuentas de servicio separadas para la integración del dispositivo con permisos limitados y específicos
  • Revise y ajuste regularmente los permisos de acceso según los cambios de rol
  • Establezca procedimientos claros para la provisión y eliminación de acceso

Protección del sistema​

  • Despliegue y configure firewalls para controlar el acceso a la red de los sistemas de integración
  • Habilite las características de seguridad integradas, incluidos los mecanismos de control de acceso
  • Utilice soluciones de protección de endpoints en los sistemas que acceden al dispositivo médico
  • Implemente segmentación de red para aislar las comunicaciones del dispositivo médico
  • Utilice entornos mejorados en seguridad (SELinux, AppArmor, Windows Defender) para una protección adicional

Monitoreo y auditoría​

  • Configure el registro y monitoreo del sistema para detectar y responder a incidentes de seguridad o violaciones de políticas. Asegúrese de que los registros se conserven de acuerdo con la política de retención de datos de la organización y estén protegidos contra manipulaciones.
  • Utilice sistemas de detección de intrusiones (IDS) o sistemas de gestión de eventos e información de seguridad (SIEM) para analizar registros y alertar a los administradores sobre actividades sospechosas.

Gestión de cuentas de usuario​

  • Haga cumplir políticas de contraseñas fuertes y considere el uso de herramientas de gestión de contraseñas para ayudar a los usuarios a mantener contraseñas seguras.
  • Implemente políticas de expiración de cuentas, bloqueo y revisión regular del uso de cuentas para garantizar que las credenciales no sean abusadas.

Conclusión​

Como puede ver, estas recomendaciones no son específicas del dispositivo, sino aplicables a cualquier computadora, especialmente si ya se está utilizando para interactuar con registros de salud. Puede parecer que proporcionar estas pautas puede ser una intromisión en nuestro papel como proveedor de un dispositivo médico porque todas se aplican a cómo debe configurar su propio sistema.

Nuestro objetivo es ayudarle a garantizar que su infraestructura de TI esté adecuadamente preparada para soportar el uso seguro y efectivo del dispositivo para mejorar la seguridad y también facilitar un rendimiento y confiabilidad óptimos.