Datos clínicos y su valor

Un número de tarjeta robado deja de servir en cuanto el banco lo bloquea. Un diagnóstico, una lista de medicamentos o un resultado de laboratorio siguen siendo verdad años después, y no hay forma de «cambiarlos». Por eso los datos clínicos sirven para varias cosas a la vez: suplantar a un paciente ante una aseguradora, presionar a la institución amenazando con publicarlos, o escribir directamente al paciente para extorsionarlo con su propia información.

Para inteligencia esto tiene una consecuencia práctica: el daño de una filtración clínica no termina cuando se cierra el incidente. Una publicación de hoy puede reaparecer en otro foro dentro de un año, y el paciente sigue expuesto. La vigilancia de menciones y la clasificación de los datos propios no son tareas de un día.

Abre la consola y ejecuta SELECT * FROM conjuntos_de_datos y SELECT * FROM politica_clasificacion. La política de la casa marca como reservado clínico todo conjunto que identifica a una persona y trae cualquier dato de su salud. Esa marca decide quién accede, qué se vigila con más cuidado y qué aviso se prepara si algo sale.

La trampa es leer solo el nombre del conjunto. Un sistema que no parece clínico puede llevar un campo clínico escondido, y la política dice «cualquier dato de su salud», sea de un paciente o de un empleado. Lee los campos, no el título.

Ejecuta SELECT * FROM menciones_vigiladas. Una mención en un foro es una afirmación del vendedor, no un hecho. Lo que la vuelve relevante es que coincida con algo que la casa tiene de verdad: los mismos campos, un número de registros parecido, una región que encaja. Un anuncio que no nombra a la casa puede coincidir mejor que uno que la nombra.

Compara los campos ofrecidos con los campos de cada conjunto propio, uno a uno.

Los vendedores ponen nombres conocidos en sus anuncios porque venden más. Una mención que nombra a la Red de Salud Nunchía llama la atención, pero si ofrece un campo que la casa no guarda en ese conjunto, o bien los datos vienen de otro lado, o bien se cruzaron con otra fuente. En los dos casos, la afirmación del vendedor no se sostiene tal cual. Fíjate también en las entidades de nombre parecido.

La mención que coincide no nombra a la casa y nadie ha visto una muestra. No está confirmada, pero tampoco se puede descartar: una coincidencia de campos y de volumen es un indicio serio. La verificación se hace con lo que la casa sí puede mirar sin salir de sus límites: la fuente que reportó la mención y los registros propios del sistema que guarda ese conjunto. Y como se trata de datos sensibles, quien decide avisos tiene que saber desde ya que hay algo en verificación.

Comprar los datos o bajar la muestra para «confirmar» no es una opción: financia el delito y trae a la casa datos de pacientes que nadie autorizó tratar.