Seguridad de la Información

1. Objetivo y alcance

KARDIOMOVE adopta un enfoque de seguridad basado en riesgo para proteger la confidencialidad, integridad y disponibilidad de la información.

Este documento describe compromisos generales. No publica configuraciones, secretos, arquitectura sensible ni detalles que puedan aumentar el riesgo de ataque.

2. Principios

Acceso según necesidad y función.
Minimización de datos y privilegios.
Separación entre información personal, clínica, corporativa y operativa.
Trazabilidad de acciones relevantes.
Defensa por capas y actualización continua.
Privacidad y seguridad desde el diseño.
Revisión humana en procesos clínicos sensibles.

3. Identidad y acceso

KARDIOMOVE utiliza mecanismos de autenticación, sesiones protegidas, permisos por rol y controles de acceso para limitar quién puede consultar o modificar información.

Los accesos administrativos y clínicos deben ser autorizados, personales y auditables. Los permisos se revisan y pueden revocarse cuando cambia la función o termina la relación.

4. Protección de datos e infraestructura

Cifrado de comunicaciones mediante protocolos seguros.
Protección de almacenamiento y secretos conforme a capacidades de la infraestructura.
Copias de respaldo y procedimientos de recuperación según criticidad.
Separación de entornos y restricciones de acceso.
Registro y revisión de eventos relevantes.
Actualizaciones, pruebas y gestión de vulnerabilidades.

5. Desarrollo y cambios

Los cambios de software se revisan mediante controles de código, validaciones de tipo, pruebas de construcción y comprobaciones antes de su promoción entre entornos.

Las funciones clínicas y de datos requieren especial cuidado para evitar exposición, mezcla de pacientes, pérdida de trazabilidad o aprobación automática de información incorrecta.

6. Proveedores y terceros

KARDIOMOVE evalúa la función y el acceso de proveedores de nube, autenticación, comunicaciones, pagos y procesamiento documental.

El acceso de soporte debe ser limitado, temporal, justificado y revocable cuando la naturaleza del servicio lo permita.

7. Seguridad de MySaluDocs

Almacenamiento privado, autenticación y aislamiento lógico por usuario y repositorio.
El paciente decide cuándo comparte un documento y puede retirar ese acceso cuando quiera.
Trazabilidad de acciones relevantes, permisos de compartición y cambios de metadata.
Separación entre el documento original y la metadata sugerida por Metadata Indexing.
KARDIOMOVE gestiona los mecanismos técnicos de autenticación, permisos y seguridad que protegen el acceso a la plataforma y al repositorio. Guardar un documento no lo habilita automáticamente para revisión por KARDIOMOVE.

8. Gestión de incidentes

KARDIOMOVE mantiene un proceso para identificar, evaluar, contener, investigar y corregir incidentes de seguridad.

La respuesta considera la naturaleza de los datos, el alcance, la posibilidad de daño, las obligaciones de notificación y las acciones necesarias para reducir recurrencia.

9. Continuidad y disponibilidad

Se utilizan respaldos, monitoreo y procedimientos de recuperación de acuerdo con la criticidad. Sin embargo, ningún servicio tecnológico puede garantizar disponibilidad absoluta.

Mantenimientos, fallas de proveedores, eventos de fuerza mayor o incidentes pueden afectar temporalmente algunas funciones.

10. Responsabilidades de los usuarios

No compartir credenciales o códigos de acceso.
Utilizar dispositivos y navegadores actualizados.
Cerrar sesión en equipos compartidos.
Verificar destinatarios antes de compartir documentos.
Reportar accesos sospechosos, errores de identidad o exposición de información.

11. Reporte responsable

Las personas que identifiquen una posible vulnerabilidad deben comunicarla de forma responsable mediante el canal institucional, evitando explotar, divulgar o acceder a datos que no les pertenecen.

KARDIOMOVE evaluará los reportes de buena fe y podrá solicitar información técnica adicional.

12. Revisión continua

Las medidas evolucionan con el producto, los riesgos, la infraestructura y las obligaciones legales. Este resumen puede actualizarse sin revelar controles sensibles.