OP.CONT.1 Análisis de impacto

☑️Aplicación de la medida

De acuerdo al ANEXO II, 2 Selección de medidas de seguridad, la medida de seguridad OP.CONT.1 Análisis de impacto sí aplica dada la categoría de seguridad del sistema.

Documentos de referencia

• ISO/IEC 27000:
  • 27031:2011 - Guidelines for information and communication technology readiness for business continuity
  • 27002:2013:
    • 17.1.1 - Planning information security continuity
    • 17.1.2 - Implementing information security continuity
• NIST SP 800-53 rev4:
  • [CP-2] Contingency Plan
  • [CP-4] Contingency Plan Testing
  • [RA-3] Risk Assessment
• Otras referencias:
  • ISO 22301:2019 - Security and resilience — Business continuity management systems
  • NIST SP 800-34 Rev.1 - Contingency Planning Guide for Federal Information Systems
  • FDA Cybersecurity in Medical Devices: Quality System Considerations

Guía de implantación

184. Se realizará un análisis de impacto en la continuidad de negocio (BIA) que identifique los procesos de negocio, funciones y servicios críticos, y evalúe las dependencias e interrelaciones entre diferentes procesos de negocio y entre éstos y los servicios de soporte.

Ejemplo de los aspectos que deberá cubrir:

• Impacto operativo: interrupciones potenciales en las actividades del negocio
• Impacto económico: coste de las pérdidas de información, disponibilidad, tiempo de servicio o productividad
• Marco legal: incumplimientos normativos, multas, sanciones, pérdida de licencias o acceso
• Consideraciones humanitarias: efectos sobre personas

Implementación en Legit Health Plus

Sistema categorizado como MEDIA según ENS

Como sistema de categoría MEDIA según el Real Decreto 311/2022, Legit Health actúa como PROVEEDOR de servicios de apoyo sanitario, no como prestador directo del servicio público. Esta categorización implica:

• RTO objetivo: 4 horas (no crítico para el servicio público)
• RPO objetivo: 1 hora (datos en tránsito, no almacenamiento permanente)
• Impacto de indisponibilidad: PERJUDICIAL pero no GRAVE
• El servicio sanitario puede continuar sin nuestras herramientas

1. Alcance del análisis de impacto

El análisis de impacto para el dispositivo médico Legit Health Plus Clase IIa, considerando su categorización MEDIA como proveedor, evalúa específicamente:

1.1 Servicios clínicos críticos

• Diagnóstico dermatológico automatizado: Análisis de imágenes mediante IA
• Scoring de severidad: Cálculo de índices ALEGI, DLQI
• Seguimiento longitudinal: Monitorización de evolución clínica
• Interfaz clínica: Visualización de resultados diagnósticos
• Integración EMR/HIS: Intercambio con sistemas hospitalarios

1.2 Procesos de soporte esenciales

• Autenticación y autorización: Control de acceso médico
• Auditoría clínica: Trazabilidad de diagnósticos
• Backup de datos clínicos: Preservación de información médica
• Vigilancia post-comercialización: Reporte de incidentes médicos

2. Metodología de análisis de impacto

2.1 Identificación de activos críticos

Servicio_Clinico:
  Nombre: "Diagnóstico Dermatológico IA"
  Codigo: "SRV-DIAG-001"
  Categoria_ENS: "MEDIA - Proveedor de apoyo"
  RTO_Objetivo: "4 horas" # Acorde a categoría MEDIA
  RPO_Objetivo: "1 hora" # Datos en tránsito
  Criticidad: "Media - Apoyo diagnóstico, no determinante"

Dependencias:
  - Modelo_IA: "LHP-AI-DERM-v2.3"
  - Base_Datos: "Imágenes clínicas PostgreSQL"
  - Infraestructura: "AWS EC2 c5.xlarge"
  - Red: "VPC privada con NAT Gateway"

2.2 Matriz de impacto temporal

Servicio	0-30 min	31-60 min	1-4 horas	4-24 horas	>24 horas	Justificación MEDIA
Diagnóstico IA	Mínimo	Bajo	Medio	Alto	Crítico	Servicio de apoyo, no crítico
Scoring Severidad	Mínimo	Mínimo	Bajo	Medio	Alto	Herramienta complementaria
Seguimiento Clínico	Mínimo	Mínimo	Mínimo	Bajo	Medio	No afecta atención inmediata
Integración EMR	Mínimo	Mínimo	Bajo	Medio	Alto	Hospital mantiene operativa

2.3 Análisis de impacto clínico

Impacto operativo clínico

• 0-30 minutos:

  • Sin impacto significativo en diagnóstico
  • Profesionales sanitarios pueden usar métodos alternativos
  • No afecta urgencias dermatológicas inmediatas

• 31-60 minutos:

  • Demora en consultas ambulatorias
  • Posible acumulación de casos pendientes
  • Necesidad de reorganización temporal de consultas

• 1-4 horas:

  • Impacto significativo en flujo de trabajo clínico
  • Retraso en diagnósticos de rutina
  • Necesidad de activar protocolos manuales alternativos

• 4-24 horas:

  • Impacto crítico en servicio dermatológico
  • Riesgo de retraso en diagnósticos importantes
  • Necesidad de derivación a otros centros

• >24 horas:

  • Inaceptable para dispositivo médico
  • Compromete continuidad asistencial
  • Potencial riesgo para seguridad del paciente

3. Evaluación de dependencias críticas

3.1 Dependencias internas

3.2 Dependencias externas críticas

• Proveedores cloud (AWS/Azure):

  • SLA: 99.99% disponibilidad
  • Impacto fallo: Crítico - Sistema inaccesible
  • Tiempo recuperación: 15-30 minutos

• Conectividad de red:

  • Proveedores: Doble línea (Movistar/Vodafone)
  • Impacto fallo: Alto - Sin acceso remoto
  • Backup: Conexión 4G/5G automática

• Servicios de autenticación externa:

  • Provider: Azure AD / Google Workspace
  • Impacto fallo: Crítico - Sin acceso usuarios
  • Alternativa: Autenticación local temporal

4. Análisis económico del impacto

4.1 Costes directos por hora de interrupción

• Pérdida productividad médica: €850/hora

  • 10 dermatólogos × €85/hora promedio
  • Factor eficiencia perdida: 60%

• Coste reorganización consultas: €300/hora

  • Personal administrativo adicional
  • Reagendamiento de citas

• Uso recursos alternativos: €200/hora

  • Teledermatología externa
  • Consultas presenciales adicionales

Total coste directo: €1.350/hora

4.2 Costes indirectos y reputacionales

• Penalizaciones SLA contractuales: €500-2.000/incidente
• Pérdida confianza clínica: Cuantificación difícil, impacto a largo plazo
• Coste regulatorio: Posible reporte a autoridades sanitarias

5. Marco temporal de recuperación

5.1 Objetivos de recuperación (RTO/RPO)

Función Crítica	RTO	RPO	Justificación Clínica
Diagnóstico Principal	30 min	5 min	Continuidad asistencial
Base Datos Clínica	15 min	2 min	Integridad datos paciente
Autenticación	10 min	1 min	Acceso profesionales sanitarios
Auditoría	60 min	15 min	Cumplimiento regulatorio
Reporting	4 horas	30 min	Vigilancia post-mercado

5.2 Clasificación de criticidad temporal

• Nivel 1 - Crítico: RTO ≤ 30 min

  • Funciones diagnósticas principales
  • Acceso a datos clínicos existentes
  • Sistema de autenticación

• Nivel 2 - Importante: RTO ≤ 2 horas

  • Funcionalidades administrativas
  • Reportes regulatorios
  • Integración con sistemas externos

• Nivel 3 - Estándar: RTO ≤ 8 horas

  • Funciones de configuración
  • Análisis estadísticos
  • Herramientas de mantenimiento

6. Consideraciones regulatorias específicas

6.1 Requisitos MDR (Medical Device Regulation)

• Artículo 10.9: Mantenimiento disponibilidad del dispositivo
• Artículo 87: Reporte de incidentes graves dentro de 24h
• Anexo I, Requisito 17: Minimizar riesgos por fallos del sistema

6.2 Requisitos FDA

• FDA Cybersecurity Guidance: Plan de respuesta a incidentes
• QSR 21 CFR 820: Mantenimiento de registros de calidad
• 510(k) Submissions: Documentación de cambios significativos

6.3 Cumplimiento NIS2

• Artículo 21: Medidas de ciberseguridad incluyendo continuidad
• Artículo 23: Notificación de incidentes significativos
• Artículo 20: Análisis de riesgos de continuidad de negocio

7. Responsabilidades del análisis de impacto

Chief Medical Officer (CMO)

• Validación del impacto clínico identificado
• Aprobación de RTO/RPO para funciones médicas
• Autorización de protocolos alternativos de diagnóstico

Chief Technology Officer (CTO)

• Supervisión del análisis técnico de dependencias
• Validación de objetivos de recuperación técnica
• Coordinación con proveedores críticos

Information Security Officer (ISO)

• Análisis de riesgos de ciberseguridad en continuidad
• Validación de controles de seguridad en procedimientos de recuperación
• Coordinación con CERT-Salud para notificación de incidentes

Quality Assurance Manager

• Verificación de cumplimiento regulatorio del análisis
• Documentación en DHF del análisis de impacto
• Coordinación con organismos notificados si aplica

8. Procedimiento de revisión y actualización

8.1 Revisión periódica

• Frecuencia: Semestral o tras cambios significativos
• Triggers de revisión:
  • Nuevas funcionalidades médicas
  • Cambios en infraestructura crítica
  • Incidentes de continuidad previos
  • Cambios regulatorios relevantes
  • Feedback de profesionales sanitarios

8.2 Metodología de actualización

1. Recopilación de datos: Métricas de disponibilidad histórica
2. Análisis de gaps: Comparación objetivos vs. realidad
3. Validación clínica: Revisión con usuarios médicos
4. Aprobación: Sign-off del comité de continuidad
5. Comunicación: Distribución a stakeholders relevantes

9. Integración con gestión de riesgos

9.1 Mapeo con R-TF-013-002 (Registro de riesgos)

Riesgo_Continuidad: R-C01
  Descripcion: "Interrupción prolongada del servicio diagnóstico"
  Categoria: ["Product", "Regulatory"]
  SeveridadInicial: 4
  LikelihoodInicial: 2
  RPN_Inicial: 8

  Controles:
    - Tipo: "A - Inherent Safety"
      Descripcion: "Arquitectura redundante multi-AZ"
    - Tipo: "B - Protective Measures"
      Descripcion: "Sistemas de backup automático"
    - Tipo: "C - Information"
      Descripcion: "Procedimientos de respuesta a incidentes"

9.2 Vinculación con amenazas de ciberseguridad

• Threat Model TM-001: DDoS contra infraestructura médica
• Threat Model TM-003: Ransomware dirigido a datos clínicos
• Threat Model TM-007: Comprometido de credenciales privilegiadas

10. Herramientas de análisis

10.1 Dashboard de monitorización de impacto

# Métricas en tiempo real de impacto
class ImpactMonitoring:
    def __init__(self):
        self.clinical_impact_threshold = 30  # minutos
        self.economic_impact_rate = 1350     # euros/hora

    def calculate_current_impact(self):
        downtime_minutes = self.get_downtime_duration()
        affected_users = self.get_affected_clinical_users()

        economic_impact = (downtime_minutes / 60) * self.economic_impact_rate
        clinical_severity = self.assess_clinical_severity(downtime_minutes)

        return {
            'duration': downtime_minutes,
            'affected_users': affected_users,
            'economic_impact': economic_impact,
            'clinical_severity': clinical_severity,
            'regulatory_notification_required': downtime_minutes > 240
        }

10.2 Simulador de escenarios de impacto

• Herramienta: Custom Python + Grafana
• Escenarios predefinidos:
  • Fallo completo AWS región principal
  • Ataque DDoS sostenido
  • Comprometido base datos clínica
  • Fallo en modelo IA diagnóstico

11. Reportes y documentación

11.1 Formato de reporte de análisis

## Reporte BIA - Legit Health Plus

**Fecha**: [YYYY-MM-DD]
**Versión**: [X.Y]
**Responsable**: [CMO + CTO]

### Resumen ejecutivo

- Servicios críticos identificados: [N]
- RTO objetivo promedio: [X] minutos
- Impacto económico máximo aceptable: €[X]/hora
- Nivel cumplimiento regulatorio: [Completo/Parcial]

### Findings principales

1. [Vulnerabilidad o mejora identificada]
2. [Recommendation específica]
3. [Acción requerida con timeline]

### Próximas revisiones

- Fecha programada: [YYYY-MM-DD]
- Scope de revisión: [Descripción]

12. Referencias cruzadas

• T-024-003: Procedimiento de gestión de continuidad
• T-024-004: Plan de respuesta a incidentes
• R-TF-013-002: Registro de gestión de riesgos
• GP-013: Gestión de la ciberseguridad
• OP.CONT.2: Plan de continuidad del negocio

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

• Author: Team members involved
• Reviewer: JD-003, JD-004
• Approver: JD-001