Elaboración de una EIPD
Definición alcance
Una clínica dental situada en España utiliza un determinado software de
gestión de pacientes instalado en modo local. La empresa SW System S. L. es la
proveedora del software y la encargada de efectuar su mantenimiento.
El propietario de la clínica ha decidido cambiar dicho software por el de la
empresa No problem S. L. que, además, se entrega en modo software como
servicio (SaaS). Es decir, proporciona ella misma el alojamiento cloud para los
datos y la sede física del alojamiento de estos es un CPD que se encuentra en
España. La denominación social No problem S. L. está registrada también en
España
Criterios de Impacto
Daño reputacional
Pérdida económica.
Derechos del titular de los datos y Libertades
Derecho de portabilidad
Identificación de Riesgo
Se identificaron los siguientes riesgos en la clínica dental con el nuevo
proveedor y se les coloco un código a cada riesgo para la fácil identificación:
Riesgo1, No problem S. L no tienen una política de contraseñas o han
capacitado a sus usuarios sobre cambio de claves frecuentes, visualización de
claves y bloqueo de equipo.
Riesgo2, el 80% de los equipos no tienen las actualizaciones requeridas para
mantener la seguridad por lo que los mantenimientos de los equipos no se han
implementado.
Riesgo4, hay pacientes que tienen acceso a la información de otros pacientes
debido a que el sistema esta con fácil acceso sin protección de una credencial.
Riesgo5, el diagnóstico del paciente es divulgado con frecuencia por la
secretaria ya el módulo del doctor no se han configurado los permisos a los
usuarios del sistema.
Riesgo6, todos los usuarios con acceso a la información de la empresa no se
capacitaron sobre custodia y protección de datos.
Riesgo7, los datos de los pacientes no han sido catalogados correctamente
por lo que la información no es completa o real.
Riesgo8, no problem S. L coloco en su página la información relevante de la
clínica dental como datos del propietario y dirección de la clínica.
Riesgo9, no instalo un control de acceso al área para evitar el ingreso a
personas ajenas al personal.
Riesgo10, no instalo un sistema de acceso al área para evitar el ingreso a
personas ajenas al personal para evitar pérdidas de equipos con información
confidencial.
Análisis de riesgos
Nuestra evaluación de riesgo se basa en tres niveles bajo, medio y alto, por lo que
los resultados fueron:
Riesgo1 - Alto
Riesgo2 - Medio
Riesgo3 - Alto
Riesgo4 - Alto
Riesgo5 - Alto
Riesgo6 - Alto
Riesgo7 – Medio
Riesgo8 - Alto
Riesgo9 – Alto
Riesgo10 - Alto
Recomendaciones y tratamiento de riesgos
Los usuarios que incumplan la política de seguridad de la información o las
normas y procedimientos complementarios podrán ser sancionados de acuerdo con
lo establecido en los contratos que amparen su relación con la clínica y con la
legislación vigente y aplicable.
Toda información en formato electrónico o impreso de la clínica debe estar
debidamente identificada mediante rótulos o etiquetas, lo que permitirá su
identificación y clasificación.
Los usuarios serán capacitados para renovar periódicamente su clave de
acceso al sistema, esto deben solicitarlo a la oficina de sistemas de información.
No problem S. L procederá con el acceso al código fuente ya que es
restringido, y de esa manera evitar que sea vulnerable a ataques si no se protege
adecuadamente.
No problem S. L implementara con procedimientos seguros de inicio de
sesión para verificar la identidad del usuario.
Los empleados tendrán el nivel de acceso adecuado para ejecutar su trabajo
con eficacia.
No problem S. L generara cronograma de mantenimiento a todos los
equipos.
no problem S. L implementara un sistema de ingreso con huella para el
acceso a las áreas de la clínica.
No problem S. L retirara la información personal del dueño de la clinica.
Conclusiones
Se van a mitigar los riesgos encontrados para mejorar la seguridad de la
información, a si mismo al realizar estas acciones se evitaran los criterios de
impacto mencionados para la clínica dental.
