1. Propósito
Este documento describe el procedimiento que REMUV EMR aplica ante un incidente de seguridad que afecte o pueda afectar datos personales tratados por cuenta de las clínicas usuarias del sistema. Se alinea con la cláusula 11 del DPA Clínica y la Política de Privacidad.
2. Alcance
Aplica a cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de los datos almacenados en REMUV, incluyendo:
- Acceso no autorizado a datos clínicos o credenciales.
- Filtración o exposición pública de información (leak).
- Pérdida de datos (corrupción, eliminación accidental, fallo de respaldo).
- Indisponibilidad prolongada del servicio que afecte la atención clínica.
- Ataque externo confirmado (ransomware, exfiltración, intrusión).
- Compromiso de subprocesadores (proveedores de infraestructura).
3. Roles y Responsabilidades
- Coordinador de Incidente (REMUV): REMUV · [email protected]
- Punto de contacto técnico: equipo de infraestructura/desarrollo de REMUV.
- Punto de contacto legal: [email protected]
- Responsable en la Clínica: DPO o representante designado en el contrato comercial.
4. Clasificación por Severidad
- Crítica (P1): brecha confirmada con exfiltración de datos clínicos o credenciales. Notificación inmediata.
- Alta (P2): acceso no autorizado sospechado o intento confirmado sin exfiltración. Notificación en 24 h.
- Media (P3): exposición limitada por error operativo, sin pérdida de datos. Notificación en 72 h.
- Baja (P4): incidente operativo o disponibilidad puntual. Comunicación rutinaria.
5. Procedimiento
Fase 1 — Detección y registro.
- El incidente puede ser detectado por monitoreo automático, reporte de usuario, auditoría o terceros.
- Se registra inmediatamente en el sistema interno (endpoint
/api/admin/incidents) con: severidad, categoría, descripción, fecha y hora de detección. - Se asigna un identificador único de incidente.
Fase 2 — Contención.
- Identificar y limitar el alcance (revocar sesiones comprometidas, aislar componente afectado).
- Preservar evidencia (logs, snapshots, capturas) sin alterar el estado original.
- Aplicar medidas correctivas iniciales para detener la propagación.
Fase 3 — Notificación.
- A la Clínica (Responsable del Tratamiento): en un plazo máximo de 72 horas desde la detección, conforme a la cláusula 11 del DPA. La notificación incluye naturaleza, categorías y volumen aproximado de titulares, contacto del coordinador y medidas adoptadas.
- Al titular (paciente): la Clínica decide y ejecuta la comunicación al titular conforme a su obligación legal. REMUV asiste técnicamente con la información necesaria.
- A la autoridad competente: cuando legalmente corresponda, la Clínica realiza la notificación formal. REMUV proporciona el reporte técnico.
Fase 4 — Investigación y causa raíz.
- Análisis técnico para determinar vector de entrada, alcance temporal, registros afectados.
- Identificación de la causa raíz (vulnerabilidad, error humano, fallo de control).
- Documentación interna con cronología detallada.
Fase 5 — Remediación y cierre.
- Aplicar medidas correctivas técnicas y organizativas.
- Verificar efectividad mediante prueba o monitoreo.
- Generar reporte final firmado por el Coordinador de Incidente.
- Marcar el incidente como cerrado en el registro interno.
6. Comunicación al Titular (Template)
Cuando la Clínica deba notificar al paciente, REMUV facilita el siguiente texto base, que la Clínica adapta a su identidad y contexto:
Estimado(a) [Nombre del Paciente]: le informamos que el día [fecha] detectamos un incidente que pudo afectar sus datos en nuestro sistema clínico. La información posiblemente expuesta incluye [categorías]. Hemos contenido el incidente, aplicado medidas correctivas y reforzado los controles de seguridad. Para más información, consultar dudas o ejercer sus derechos (acceso, rectificación, eliminación), contacte a [contacto de la clínica] o escriba a [email protected]. Lamentamos esta situación y agradecemos su comprensión.
7. Conservación de Evidencia
Toda la información relativa a un incidente (logs, comunicaciones, decisiones, medidas correctivas) se conserva por 5 años desde el cierre, conforme a la Política de Retención.
8. Revisión del Plan
Este plan se revisa al menos una vez al año o tras cada incidente material. La versión vigente está publicada en esta URL.
9. Reporte de un Incidente
Si usted detecta o sospecha un incidente que afecta a REMUV:
- Email prioritario: [email protected]
- Asunto sugerido: INCIDENTE DE SEGURIDAD REMUV
- Incluya: fecha/hora aproximada, descripción, sistemas afectados, evidencia disponible.