Registro de accesos y su revisión

La Regla de Seguridad tiene dos piezas que se confunden. Los controles de auditoría (45 CFR 164.312(b)) piden mecanismos que registren y permitan examinar la actividad en los sistemas con información de salud. La revisión de la actividad del sistema (164.308(a)(1)(ii)(D), requerida) pide que la entidad revise con regularidad esos registros: informes de auditoría, de acceso y de incidentes.

Un registro intacto que nadie revisa cumple la primera obligación y falla la segunda. Y revisar no es leer todo: es mirar patrones que la política define de antemano, como accesos sin relación asistencial o fuera de turno.

La relación asistencial se comprueba con la tabla asignaciones: quién atiende a quién. Un acceso a una historia de un paciente que no te fue asignado puede ser legítimo en una urgencia; la política exige entonces un motivo escrito y aviso a la jefatura. Sin motivo, es un acceso a explicar. En registro_de_accesos, «—» en motivo significa que quedó vacío. Mira solo la acción «Abrir historia».

La tabla turnos dice a qué hora trabaja cada usuario. Un acceso fuera de ese horario no es una prueba de nada: puede ser una guardia remota o una credencial usada por otra persona. Pero es un patrón que la política manda mirar y que alguien debe poder explicar. Compara la hora de cada evento con el turno de su usuario.

La política manda mirar con atención especial a los pacientes marcados: empleados de la red y familiares de empleados, que son los que más expone la curiosidad de los compañeros. La tabla pacientes_marcados los lista. Para dimensionar el riesgo se cuentan los eventos del registro, de cualquier acción, en los que el usuario no tenía asignado a ese paciente.

Una revisión que encuentra algo abre un proceso, no una conversación a solas. El revisor documenta lo hallado en el acta, conserva el registro tal como está y lo entrega a la oficial de privacidad, que decide si es un incidente, evalúa si hay una brecha de información y, según el resultado, aplica la política de sanciones (requerida por la Regla de Seguridad). El plazo máximo de aviso de una brecha corre desde el descubrimiento.