OP.ACC.1 Identificación

Controles de identificación para categoría MEDIA

Como sistema de categoría MEDIA según el ENS, implementamos controles de identificación proporcionales a nuestro rol de PROVEEDOR de servicios de apoyo sanitario:

• Identificación única: Obligatoria para todos los usuarios
• Gestión del ciclo de vida: Procedimientos formales pero no críticos
• Auditoría: Registro completo pero con retención ajustada a categoría MEDIA
• Sin requisitos de habilitación nacional: No manejamos información clasificada

Objetivo

Establecer los procedimientos y controles para la identificación única y gestión de identidades de todos los usuarios y procesos que acceden al sistema Legit Health Plus, garantizando la trazabilidad completa de las acciones realizadas y el cumplimiento con los requisitos del ENS para categoría MEDIA, MDR y normativas de ciberseguridad para dispositivos médicos.

Alcance

Este procedimiento aplica a:

• Todos los usuarios del sistema Legit Health Plus (profesionales sanitarios, administradores IT, personal de soporte)
• Procesos y servicios automatizados que acceden al sistema
• Integraciones con sistemas externos (EHR, PACS, LIS)
• APIs y servicios web que requieren autenticación
• Entornos de producción, preproducción y desarrollo

Guía de implantación

Se debe asignar un identificador singular para cada entidad (usuario o proceso) que accede al sistema y para cada rol de cada entidad frente al sistema (administrador, usuario, etc.).

De esta manera:

• se puede saber quién recibe qué derechos de acceso,
• se puede saber quién ha hecho qué, y qué ha hecho para corregir o para perseguir.

La identificación de usuarios suele ir asociada a una "cuenta de usuario". A menudo se habla de "derechos de una cuenta" para referirse a los derechos del titular de la cuenta. Se dice que los derechos de un usuario son los de su cuenta en el sistema.

Se deben gestionar las cuentas de usuario:

• Las cuentas deben ser inhabilitadas cuando:
  • el usuario deja la organización o
  • cesa en la función para la cual se requería la cuenta de usuario o
  • la persona que lo autorizó da orden en contra.
• Las cuentas inhabilitadas deben ser retenidas durante el período necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a una cuenta (período de retención).
• No deben existir 2 cuentas con el mismo identificador, de forma que no se puedan confundir dos usuarios ni se puedan imputar actividades a usuarios diferentes.

Implementación en Legit Health Plus

Sistema de Identificación de Usuarios

Estructura del Identificador Único (UUID)

Legit Health Plus implementa un sistema de identificación basado en UUID v4 (RFC 4122) para garantizar la unicidad global:

Formato: LH-[TIPO]-[UUID]
Ejemplo: LH-HCP-550e8400-e29b-41d4-a716-446655440000

Donde:
- LH: Prefijo del sistema Legit Health
- TIPO: HCP (Healthcare Professional), ITP (IT Professional), SVC (Service), API (API Client)
- UUID: Identificador único universal de 128 bits

Tipos de Identidades Gestionadas

Tipo de Identidad	Código	Descripción	Método de Autenticación
Profesional Sanitario	HCP	Médicos, dermatólogos, enfermeros	OAuth 2.0 + MFA
Profesional IT	ITP	Administradores, soporte técnico	OAuth 2.0 + MFA + Certificado
Servicio	SVC	Procesos automatizados internos	Certificado mTLS
Cliente API	API	Integraciones externas	API Key + JWT
Paciente	PAT	Acceso limitado a resultados	OAuth 2.0

Gestión del Ciclo de Vida de Identidades

Creación de Identidad

Proceso de Alta:

1. Solicitud mediante formulario R-TF-110-001 (Solicitud de Alta de Usuario)
2. Validación por responsable del área
3. Aprobación por Responsable de Seguridad
4. Generación automática de UUID único
5. Asignación de roles según matriz RBAC
6. Configuración obligatoria de MFA
7. Registro en log de auditoría

Mantenimiento de Identidad

Revisiones Periódicas:

• Trimestral: Usuarios con privilegios elevados (ITP)
• Semestral: Profesionales sanitarios (HCP)
• Anual: Servicios y APIs
• Continua: Monitorización de anomalías mediante SIEM

Actualización de Atributos:

• Cambios de rol/departamento: Requiere aprobación
• Actualización de datos de contacto: Auto-servicio con verificación
• Renovación de certificados: 30 días antes de expiración

3. Inhabilitación y Baja

Triggers de Inhabilitación Automática:

• Inactividad > 90 días
• 5 intentos fallidos de autenticación
• Detección de compromiso de credenciales
• Expiración de contrato/vinculación

Proceso de Baja:

1. Inhabilitación inmediata de acceso
2. Revocación de tokens activos
3. Transferencia de responsabilidades
4. Retención de logs según política (mínimo 2 años)
5. Eliminación de datos personales tras período de retención

Integración con Proveedores de Identidad

Legit Health Plus soporta federación de identidades mediante:

• Azure Active Directory: Para organizaciones sanitarias con Microsoft 365
• Google Workspace: Para clínicas con infraestructura Google
• SAML 2.0: Para sistemas hospitalarios con IdP propio
• OpenID Connect: Para integraciones modernas

Base de Datos de Identidades

Esquema de Almacenamiento

CREATE TABLE identities (
    uuid VARCHAR(50) PRIMARY KEY,
    identity_type ENUM('HCP', 'ITP', 'SVC', 'API', 'PAT'),
    created_at TIMESTAMP,
    created_by VARCHAR(50),
    last_modified TIMESTAMP,
    status ENUM('ACTIVE', 'SUSPENDED', 'DISABLED', 'DELETED'),
    attributes JSON,
    audit_metadata JSON
);

CREATE TABLE identity_history (
    id BIGINT AUTO_INCREMENT PRIMARY KEY,
    uuid VARCHAR(50),
    action ENUM('CREATE', 'UPDATE', 'DISABLE', 'DELETE'),
    timestamp TIMESTAMP,
    performed_by VARCHAR(50),
    changes JSON,
    FOREIGN KEY (uuid) REFERENCES identities(uuid)
);

Procedimientos

PRO-AAC-001: Alta de Nueva Identidad

1. Iniciación

   • El solicitante completa formulario R-TF-110-001
   • Adjunta documentación requerida (DNI, contrato, certificación profesional)

2. Validación

   • Verificación de identidad mediante documento oficial
   • Comprobación de no duplicidad en el sistema
   • Validación de necesidad de acceso

3. Aprobación

   • Responsable del área valida requisitos funcionales
   • Responsable de Seguridad aprueba desde perspectiva de seguridad
   • Para accesos privilegiados: aprobación adicional de Dirección

4. Provisioning

   • Sistema genera UUID único
   • Creación de cuenta en IdP
   • Asignación de roles según matriz aprobada
   • Configuración de MFA obligatoria

5. Activación

   • Envío de credenciales por canal seguro
   • Primera conexión con cambio obligatorio de contraseña
   • Aceptación de términos de uso
   • Verificación de MFA

PRO-AAC-002: Revisión Periódica de Identidades

1. Generación de Informe

   • Listado de identidades activas por tipo
   • Último acceso registrado
   • Roles y permisos asignados

2. Revisión por Responsables

   • Cada responsable valida usuarios de su área
   • Identificación de cuentas obsoletas
   • Actualización de roles si necesario

3. Acciones Correctivas

   • Desactivación de cuentas no justificadas
   • Ajuste de permisos excesivos
   • Actualización de información de contacto

4. Documentación

   • Registro de revisión en R-TF-110-002
   • Justificación de decisiones tomadas
   • Firma de responsables

PRO-AAC-003: Gestión de Identidades de Servicio

1. Registro de Servicio

   • Identificación del servicio/proceso
   • Justificación técnica de necesidad
   • Definición de permisos mínimos necesarios

2. Generación de Credenciales

   • Creación de certificado X.509
   • Generación de par de claves
   • Almacenamiento seguro en AWS Secrets Manager

3. Rotación de Credenciales

   • Rotación automática cada 90 días
   • Proceso de renovación sin interrupción
   • Notificación a responsables técnicos

Responsabilidades

Responsable de Seguridad (CISO)

• Aprobar altas de usuarios con privilegios
• Supervisar revisiones periódicas de identidades
• Definir políticas de identificación
• Auditar cumplimiento del procedimiento

Responsables de Área

• Solicitar altas/bajas de su personal
• Validar necesidades de acceso
• Participar en revisiones periódicas
• Mantener actualizada la matriz de roles

Administradores del Sistema

• Ejecutar procesos de provisioning
• Gestionar técnicamente las identidades
• Monitorizar anomalías en uso de identidades
• Generar informes de auditoría

Usuarios

• Proteger sus credenciales
• Reportar incidentes de seguridad
• Mantener actualizada información de contacto
• Cumplir políticas de uso aceptable

Registros y Evidencias

Registros Obligatorios

Registro	Descripción	Retención	Ubicación
R-TF-110-001	Solicitud de alta de usuario	5 años	SharePoint
R-TF-110-002	Revisión periódica de identidades	3 años	SharePoint
R-TF-110-003	Log de auditoría de identidades	2 años	AWS CloudWatch
R-TF-110-004	Incidentes de identidad	5 años	JIRA

Logs de Auditoría

Todos los eventos relacionados con identidades se registran en AWS CloudWatch:

{
  "timestamp": "2024-01-15T10:30:00Z",
  "event_type": "IDENTITY_CREATED",
  "uuid": "LH-HCP-550e8400-e29b-41d4-a716-446655440000",
  "performed_by": "LH-ITP-admin-uuid",
  "details": {
    "identity_type": "HCP",
    "organization": "Hospital General",
    "roles": ["CLINICAL_USER", "REPORT_VIEWER"]
  },
  "ip_address": "192.168.1.100",
  "user_agent": "Mozilla/5.0..."
}

Métricas y KPIs

Indicadores de Gestión de Identidades

Métrica	Objetivo	Frecuencia	Responsable
Tiempo medio de provisioning	< 24 horas	Mensual	IT Operations
% cuentas inactivas > 90 días	< 5%	Mensual	CISO
% usuarios con MFA activo	100%	Semanal	Security Team
Intentos de acceso no autorizados	< 10/mes	Diario	SOC
Tiempo medio de desactivación tras baja	< 1 hora	Mensual	HR + IT
% cumplimiento revisiones periódicas	100%	Trimestral	Compliance

Dashboard de Monitorización

El sistema mantiene un dashboard en tiempo real con:

• Total de identidades activas por tipo
• Últimos accesos exitosos/fallidos
• Identidades creadas/desactivadas últimos 30 días
• Alertas de seguridad relacionadas con identidades
• Estado de certificados y expiración

Referencias Cruzadas

Documentos Relacionados del QMS

• T-024-006: Threat Model - Define amenazas contra el sistema de identidades
• T-024-007: Cybersecurity Post-Market Surveillance Plan - Monitorización continua
• T-024-009: Security Architecture - Arquitectura técnica de autenticación
• GP-013: Gestión de la Ciberseguridad - Marco general de ciberseguridad
• R-TF-013-002: Risk Management File - Riesgos asociados a gestión de identidades

Cumplimiento Normativo

• ENS: Categoría ALTA - Identificación [op.acc.1]
• MDR: Anexo I, Requisito 17.2 - Medidas de seguridad IT
• NIS2: Artículo 21 - Medidas de gestión de riesgos de ciberseguridad
• GDPR: Artículo 32 - Seguridad del tratamiento
• FDA Cybersecurity: Autenticación y control de acceso

Documentos de referencia

• ISO/IEC 27000  - ISO/IEC 27002:2013: - 9.2.1 - Registro y baja de usuario
• NIST SP 800-53 rev. 4
  • [AC-2] Account Management
  • [AC-14] Permitted Actions without Identification or Authentication
  • [IA-2] Identification and Authentication (Organizational Users)
  • [IA-3] Device Identification and Authentication
  • [IA-4] Identifier Management
  • [IA-5] Authenticator Management
  • [IA-8] Identification and Authentication (Non-Organizational Users)

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

• Author: Team members involved
• Reviewer: JD-003, JD-004
• Approver: JD-001