Disponibilidad primero, cómo cambia el triaje

En un SOC corporativo el triaje pesa confidencialidad, integridad y disponibilidad con un sesgo hacia contener rápido. En un prestador de salud, la disponibilidad de ciertos sistemas es parte de la atención: una orden que no llega o una historia que no abre es un riesgo para una persona, no solo una molestia.

Eso no quita urgencia al incidente; cambia quién decide y cómo se contiene. Aislar un sistema clínico es una decisión que se toma con quien responde por la atención en ese turno, con una alternativa de trabajo preparada. El analista aporta la evidencia y el riesgo técnico; el área clínica aporta el riesgo para el paciente.

La clínica de ejemplo mantiene una tabla de sistemas con tres datos de decisión: la tolerancia (los minutos que la atención soporta sin el sistema, según el área clínica), si se puede aislar y quién lo autoriza. Algunos sistemas administrativos se aíslan sin consultar a nadie; otros exigen autorización clínica; y hay alguno cuya desconexión no se hace por orden de TI ni del SOC.

Abre la consola. Ejecuta SELECT * FROM sistemas para ver la tabla completa y luego SELECT * FROM sistemas WHERE aislar = 'no'.

La tolerancia es un plazo: desde que el servicio se pierde, el personal clínico puede trabajar con una alternativa (papel, teléfono, un equipo local) solo durante un tiempo razonable. Pasado ese plazo, la atención empieza a degradarse. El analista usa la tolerancia para ordenar: lo que menos aguanta se mira primero y se avisa antes.

Ejecuta SELECT * FROM alertas. La segunda alerta toca el sistema de la historia clínica en la hora que indica la tabla. Supón que el servicio se pierde en ese instante.

Tienes dos alertas en dos sistemas de tipo distinto. La primera toca el servidor de citas, que TI puede aislar sin consultar a nadie; la segunda, el de la historia clínica, con autorización clínica. Hay una relación entre ellas: la cuenta de servicio de agenda aparece iniciando sesión en el servidor de la historia.

La regla práctica es contener lo que sí se puede contener ya, preservar la evidencia y llevar la decisión sobre lo demás a quien corresponde, con la información que necesita para decidir: qué se sabe, qué no y qué cuesta cada opción.