Sala 1 · continuidad de la planta y de la clínica

El modelo de zonas y conductos declara qué zonas existen y por dónde, y con qué servicio, pueden hablar entre sí. Un sensor pasivo no pregunta: solo ve lo que ocurre. Cada flujo observado se compara con los conductos autorizados, y el que no tiene un conducto con su mismo origen, destino y servicio es un camino sin documentar. Que tenga pocas conexiones no lo hace menos importante en una planta.

El acceso remoto de un proveedor a una planta se concede con cuatro condiciones: que pase por el servidor de salto, que use segundo factor, que la sesión quede grabada y que ocurra dentro de la ventana aprobada, en su fecha y en su horario. Basta con que falle una para que la sesión sea irregular, aunque las otras tres estén bien.

Cada segmento clínico declara cuántos minutos de caída tolera. Una medida de seguridad, por buena que sea, que ocasiona una caída mayor que esa tolerancia no se aplica en horario clínico: se rediseña, se divide o se reserva para una ventana acordada con el área médica. Una caída igual a la tolerancia no la supera.

Un equipo médico que no se puede parchear se acepta con un aislamiento compensatorio, y esa aceptación es revisable: lleva un vencimiento y un dueño. Pasada la fecha, la aceptación deja de proteger al equipo y vuelve a ser un riesgo sin decisión de nadie. La fecha de la revisión es la del encargo.

El acceso de emergencia se concede sin esperar aprobación, porque negarlo puede costar una vida; a cambio, alguien lo revisa dentro del plazo de la política. Un acceso ya revisado cumple si pasó ese plazo o menos entre su fecha y la revisión; uno pendiente incumple si desde su fecha ya pasó más tiempo que el plazo, contado hasta la fecha de la revisión del encargo.