1. Naturaleza y Propósito
Este documento establece el reconocimiento de mecanismos electrónicos de identificación, autenticación y firma en REMUV. Los usuarios acceden mediante credenciales personales (usuario y contraseña) y pueden usar PIN personalizado para acciones críticas. Toda actividad es registrada en auditoría con timestamp (fecha y hora), dirección IP y user-agent del navegador/dispositivo.
2. Mecanismos de Identificación
El usuario es identificado mediante:
- Credenciales individuales: Usuario (correo electrónico) y contraseña personal, no compartida
- Contraseña: Almacenada con hash criptográfico (bcrypt), no en texto plano
- PIN personal (opcional): Código numérico adicional para acciones sensibles
- Sesión electrónica: Cookie HTTP-only con token de sesión válido por período limitado
- Firma electrónica implícita: Acción realizada bajo credenciales verificadas constituye firma
3. Registro de Auditoría
Toda acción es registrada incluyendo:
- Identificación del usuario (ID y nombre)
- Tipo de acción realizada (crear, modificar, firmar, eliminar, etc.)
- Entidad afectada (paciente, nota clínica, orden, etc.)
- Timestamp preciso (fecha, hora, zona horaria)
- Dirección IP del cliente
- User-agent (navegador, sistema operativo, dispositivo)
- Datos antes y después (when-changed tracking)
- Motivo o descripción de la acción (si aplica)
El registro de auditoría es inmutable una vez creado. No puede ser modificado, eliminado o alterado retroactivamente.
4. Bloqueo de Notas Firmadas
Una nota clínica, orden médica o documento firmado no puede ser editado o eliminado silenciosamente. Si requiere corrección:
- Se crea una enmienda (ammendment/acta de corrección) enlazada a la nota original
- La nota original permanece intacta como registro histórico
- La enmienda es firmada por el usuario responsable
- Ambas notas y la enmienda aparecen en auditoría
5. Atribución de Autoría
Toda acción dentro del sistema es atribuida únicamente al usuario cuyas credenciales están activas:
- Si un médico realiza una acción bajo su sesión, esa acción es responsabilidad del médico
- Si un médico presta su credencial a otro, el médico propietario es responsable
- No hay anonimidad: todas las acciones pueden ser trazadas a una persona específica
- Las discrepancias entre usuario autenticado y usuario responsable deben ser investigadas
6. Valor Operativo y Probatorio
Este documento reconoce que los registros electrónicos, firma electrónica bajo credenciales verificadas, timestamp de auditoría, y registros de acceso tienen validez operativa y probatoria entre las partes, de conformidad con el marco legal aplicable, estándares técnicos de seguridad, políticas institucionales y revisión legal correspondiente.
Las autoridades judiciales o administrativas pueden requerir verificación técnica de autenticidad e integridad de los registros, la cual es posible mediante análisis de bases de datos, logs criptográficos y auditoría.
7. No Reemplazo Absoluto de Firma Física
La firma electrónica en REMUV es válida dentro del contexto operativo del sistema y entre las partes que aceptan este documento. No es reemplazo absoluto de firma manuscrita en todos los contextos legales. Ciertos documentos pueden requerir firma física adicional, notarización o autenticación por autoridades externas, dependiendo de:
- Regulaciones locales y nacionales aplicables
- Requisitos de autoridades de salud
- Natureza del documento (testamento, poder notarial, contrato de terceros)
- Políticas específicas de la institución
8. Prohibición de Compartir Credenciales
Cada usuario DEBE usar sus propias credenciales personales. Está expresamente prohibido:
- Compartir usuario y contraseña con otros
- Permitir que otra persona use la propia sesión o credenciales
- Usar credenciales de otro usuario (incluso con consentimiento)
- Crear "cuentas compartidas" o de secretaria
- Prestar dispositivo con sesión activa a usuario no autorizado
Incumplimiento de esta prohibición resulta en:
- Suspensión de cuenta inmediata
- Investigación de auditoría de acciones bajo esa cuenta
- Posible responsabilidad legal del usuario propietario
- Reasignación de responsabilidad de acciones ambiguas
9. Obligación de Reporte
El usuario está obligado a reportar inmediatamente a administración si:
- Sospecha que sus credenciales fueron comprometidas
- Alguien más conoce su contraseña o PIN
- Deja su sesión activa sin supervisión
- Observa acciones en su nombre que él no realizó
- Recibe intentos de phishing o ingeniería social
- Su dispositivo fue perdido o robado con acceso pendiente
La falta de reporte oportuno puede resultar en responsabilidad compartida por acciones no autorizadas posteriores bajo esa cuenta.