La proliferación de aplicaciones móviles en los últimos años también ha llegado al ámbito de la salud y la telemedicina poniendo a disposición, tanto de pacientes como de profesionales sanitarios, numerosas herramientas digitales. Encontrándonos en la actualidad multitud de ellas destinadas al autocontrol de enfermedades crónicas, recordatorios para las pautas de administración de medicación, de planificación de la consulta médica, de potenciación hábitos saludables, etc.
Este tipo de aplicaciones de salud móvil, también conocidas como mHealth no sólo han crecido exponencialmente en cantidad sino también en su capacidad de monitorización, recopilación y archivo de datos. Por lo tanto, a la hora de desarrollar aplicaciones que gestionan datos de usuarios en el ámbito de la salud, además de permitir canales de comunicación de vídeo en tiempo real (videoconferencia), gestionar citas y codificar fotos, vídeo y audio. Por lo tanto hay que tener en cuenta la accesibilidad e inclusividad, pero también la privacidad y seguridad del intercambio de informacion en la propia app, en el dispositivo y en los servidores.
Sobre temas de accesibilidad y usabilidad recomendamos trabajar con expertos como Torres Burriel Estudio, que además escribieron un muy buen post en su blog sobre estas aplicaciones. En lo que respecta a temas de seguridad, en ARANOVA podemos ser de utilidad, ya que además de tenerlo siempre presente en nuestros desarrollos, estamos en fase de certificación ENS para algunas de nuestras soluciones y servicios.
Tratamiento y protección de datos
Este tipo de aplicaciones brindan una asistencia medica y por eso manejan datos confidenciales de nivel alto y hay que tener en cuenta 3 capas en el análisis seguridad:
- Dentro de la aplicación.
- Dentro del dispositivo donde se ejecuta.
- Dentro de la infraestructura necesaria (servidores y datacenters)
Se requiere que la información sea encriptada teniendo que cifrar 3 tipos de canales:
- Flujos de audio y vídeo en tiempo real.
- Comunicación de datos entre servidores y dispositivos: mensajes entre paciente y médico, transferencia de datos...
- Documentos y datos almacenados: Historial, consultas, resultados diagnósticos, pruebas, imágenes, etc.
Legalmente hay que contar con el consentimiento del usuario de forma clara y explícita conforme a la legislación vigente en materia de protección de datos. Además es una buena práctica que los usuarios conozcan qué datos se utilizan, cómo se recopilan, almacenan, procesan (qué usos hacen de ella), cómo se protege su privacidad y cómo pueden ejercer sus derechos sobre los mismos. No olvidemos que estas aplicaciones pueden realizar una monitorizacion de pacientes, tanto de forma activa como pasiva y no puede permitirse que esos datos caigan en malas manos.
Con cada vez más ciberataques:
- Hay que evitar que los atacantes puedan hacerse con la información sensible de los pacientes
- Hay que evitar el uso no autorizado de datos por terceras personas y empresas (autentificación y cesión de datos) y
- Hay que asegurar la continuidad del negocio frente ataques tipo “ransomware”.
Tarea 1: Evitar el robo de datos. Cifrado y encriptación
Lo ideal y nuestra recomendación es cifrar toda la información y los canales de comunicación, por ejemplo, usando huellas biométricas en los móviles y evitando el uso de conexiones no seguras, usando contraseñas de cifrado de datos y archivos no sólo de acceso, etc. Pero al delegar esa responsabilidad en el usuario se corre el riesgo de que “olvide” la contraseña de cifrado y no pueda acceder a la información.
En ARANOVA, como expertos en gestión de audio y vídeo y contenidos audiovisuales, conocemos las particularidades que conlleva el acceso a flujos cifrados de audio y vídeo y sabemos que “no todo sirve”. Sistemas de videoconferencia cuyos términos de uso y acceso no están claros y servidores fuera del ámbito territorial de las aplicaciones que dificultan el cumplimiento de términos RGPD con 2 casos muy comunes.
Un nivel menos paranoico en términos de seguridad, sería el uso de certificados público / privados que aseguren la identidad del dispositivo y del usuario de la aplicación. De esta forma, es responsabilidad de los administradores de la infraestructura el asegurar que dichos certificados no puedan caer en malas manos y que existen copias necesarias de los mismos para extraer la información en caso de pérdida.
Ningún dato sensible debería usar una tecnologia de almacenamiento sin cifrar, incluso el acceso a la base de datos debería estar restringido únicamente a conexiones “locales” y ofrecerse el acceso únicamente a través de servicios correctamente asegurados y auditados. Tampoco debería haber canales audiovisuales que permitan esta telemedicina interactiva (videoconferencias) sin cifrar extremo a extremo.
Con estos consejos, aunque un atacante pudiera hacerse con datos de un usuario, tendría una dificultad adicional al tener que descifrar esa información.
Tarea 2: Evitar el acceso no autorizado y la cesión de datos
Muchas veces se piensa que con definir un acceso por usuario y roles a los datos se cumple con esta tarea. No obstante, hay 2 cosas muy importantes que se olvidan:
- Es preciso que el acceso a la información sea registrado y sea auditable. Conviene registrar accesos fallidos y establecer políticas que retrasen posibles ataques de fuerza bruta, accesos satisfactorios, con registro de navegadores, dispositivos, dirección IP… y acceso y procesado de documentos (¿se ha descargado?) y datos más si se realiza por parte de terceras personas.
- Es preciso autentificar al usuario. No basta con autorizar el acceso con un usuario y contraseña, hay que asegurarse que esas credenciales pertenecen a la persona que corresponden. Quí entran sistemas como la autentificación de doble factor, tarjetas de seguridad, identificación biométrica, por poner algunos ejemplos.
Respecto a la cesión de datos, sobre todo en el servicio de telemedicina, una buena práctica es solicitar permiso para el acceso unitario a los mismos y que la concesión sea pública (no los datos), auditable y revocable por el usuario. Por ejemplo, ¿“Ana, dejas que el doctor especialista Juan acceda a la radiografía que te realizaste el día 13 de abril del 2021”? o con otro enfoque que no requiere tanta intervención del usuario: “El doctor especialista Juan solicita acceso a la radiografía de Ana del día 13 de abril de 2021”.
Daniel nos cuenta
Nos hemos enfrentado a este caso de protección de acceso de diversas formas. Desde bases de datos diferentes para cada cliente, para estar 100% seguros que no se comparten datos o un usuario de un cliente pueda acceder a datos de otro, como hemos hecho recientemente en AraCast 4.0 o sistemas más básicos basados en roles, doble factor de autentificación y sistemas de auditoría de acceso, suficientes para cumplir el nivel medio del Esquema Nacional de Seguridad.
Tarea 3: Asegurar la continuidad del negocio
Tener una buena política de backups y una capacidad de despliegue de la solución multi-plataforma minimiza el tiempo que necesitaría una compañía para restaurar su servicio y los datos de sus pacientes.
También el uso de servicios cloud y CDN’s contribuyen a que muchas veces incluso no sea necesario ni restaurar los backups.
En ARANOVA usamos a diario servidores y datacenters y servicios cloud de varios proveedores. No limitarnos a un único proveedor permite que nuestra CDN sea flexible y podamos redirigir tráfico por múltiples caminos de ser necesario. Esto comunmente se conoce como multi-CDN.
Certificaciones que ayudan en el cumplimiento de estos principios
La «Estrategia de Calidad y Seguridad en Aplicaciones Móviles de Salud» de la Junta de Andalucía inició en España el camino de realizar recomendaciones generales sobre el uso de las Apps de salud, un proyecto que comenzó en el año 2013 y que estableció un sistema de certificación que identifica aquellas apps de mayor calidad y más seguras para realizar un seguimiento de la salud.
Posteriormente han surgido otras iniciativas españolas como la llevada a cabo por la Fundación iSYS (Internet, salud y sociedad) entidad que elabora el ranking iSYS de Apps móviles de salud que está basado en un método de evaluación a partir de variables objetivas, para dar a los usuarios orientación sobre popularidad, confianza y utilidad. Con esta clasificación se pretende que los usuarios dispongan de criterios de evaluación suficientes para seleccionar las apps más adecuadas a sus necesidades.
La Comisión Europea está trabajando desde abril de 2014 en su «Libro Verde de la salud móvil» (Green Paper on mHealth), paso previo a la legislación en esta materia y que supone una consulta a la ciudadanía, profesionales sanitarios, autoridades públicas, fabricantes de dispositivos móviles y otros interesados sobre la forma de utilizar la tecnología móvil con el objetivo de mejorar los servicios de salud.
Para empresas desarrolladoras de este tipo de aplicaciones, el cumplimiento y la certificación del nivel medio del Esquema Nacional de Seguridad, también ayuda a que no sólo se diseñe bien la aplicación, sino a que se realice correctamente la gestión de la seguridad del producto (accesos de empleados, desarrolladores, procedimiento de solicitud de permisos, etc.)
Conclusiones finales
Si bien este analisis se ha centrado en sistemas de telemedicina y aplicaciones de salud, sirve para cualquier aplicación o servicio que trate datos de alto nivel del RGPD. Incluso es recomendable platearse estas tareas en entornos en que sin tratar datos de usuario de alto nivel, puedan almacenar información valiosa para atacantes: Emails, preferencias de perfil, etc.
Hay también soluciones "out of the box", más innovadoras, que permiten por ejemplo, realizar una personalización de servicios a usuarios sin solicitar ningún dato personal, ni siquiera un email y obviamente no estoy hablando de cookies o como Google las quiera llamar, sino que el usuario aporte sus datos de forma voluntaria, pero tenga el control absoluto de los mismos.
Los sistemas descentralizados y la criptografía, que se conocen casi exclusivamente por las criptomonedas, conformarán el Internet 4.0, una red en la que esperemos los usuarios recuperemos el controlsobre nuestros datos.