Revisión periódica de permisos en la clínica: por qué, cada cuánto y qué se comprueba

1. Por qué los permisos se degradan con el tiempo

Los permisos no se configuran una vez y se olvidan. Cada cambio organizativo —una incorporación, un cambio de puesto, una baja, un centro nuevo— puede dejar los permisos desajustados.

1.1. Las personas cambian de función, los permisos no

Una enfermera que pasa a coordinación debería perder el acceso a las notas clínicas y ganar el acceso a las herramientas de coordinación. En la práctica, lo que suele pasar es que se le añaden los permisos de coordinación sin retirar los de enfermería. Después de tres cambios de función, la cuenta tiene permisos de tres roles y la persona solo necesita los del último. Sin revisión periódica, esas cuentas se acumulan en silencio.

1.2. Las cuentas de ex-empleados no siempre se cierran a tiempo

Cuando un profesional deja la clínica, su cuenta debería desactivarse el mismo día. Pero si el proceso de gestión de altas y bajas no está automatizado o no está bien coordinado con recursos humanos, pueden pasar días o semanas con la cuenta activa. La revisión periódica detecta cuentas que deberían haberse cerrado y que siguen abiertas.

1.3. Los roles del catálogo evolucionan, las asignaciones no

Si el catálogo de roles se actualiza —se añade un permiso nuevo a un rol, se retira otro—, las asignaciones existentes se actualizan automáticamente. Pero si la clínica tiene roles personalizados o ha hecho ajustes manuales, esos ajustes pueden quedar desalineados con el catálogo actualizado. La revisión periódica verifica que los ajustes manuales siguen siendo necesarios y correctos.

2. Qué se comprueba en cada revisión

La revisión no es un recuento mecánico: es una verificación de que cada persona tiene lo que necesita y nada más.

2.1. Cada usuario tiene un rol asignado

El primer paso es verificar que no hay usuarios sin rol. Una cuenta sin rol puede ser un error de configuración, un usuario nuevo al que no se le asignó rol al darlo de alta, o una cuenta de prueba que se olvidó. En cualquier caso, un usuario sin rol es una cuenta que debería resolverse: o se le asigna el rol correcto o se desactiva.

2.2. El rol asignado corresponde a la función actual

Para cada usuario activo, verificar que el rol que tiene corresponde a la función que desempeña. Si una persona tiene rol de médico pero trabaja como coordinador, los permisos no reflejan su función real. Esta verificación requiere cruzar la lista de usuarios del sistema con la lista de personal activo y sus funciones, que normalmente tiene recursos humanos.

2.3. Las vinculaciones a centros están actualizadas

En clínicas con varios centros, verificar que cada profesional está vinculado a los centros donde trabaja actualmente y solo a esos. Un profesional que dejó de ir a un centro hace tres meses y sigue vinculado tiene acceso a datos que ya no le corresponden. La vinculación multicentro es una de las cosas que más rápido se desactualiza.

3. Con qué frecuencia revisar los permisos

La frecuencia depende del tamaño de la clínica y de la rotación de personal, pero hay mínimos que aplican siempre.

3.1. Revisión trimestral como mínimo

Una revisión trimestral cubre la mayoría de los cambios organizativos habituales: incorporaciones, bajas, cambios de puesto y ajustes de centros. Dejar más de tres meses entre revisiones aumenta el riesgo de que los desajustes se acumulen hasta el punto de que la revisión se convierta en una auditoría completa en lugar de un repaso rápido.

3.2. Revisión inmediata ante cambios significativos

La apertura de un centro nuevo, la reestructuración de un departamento o una fusión entre centros requieren una revisión inmediata de los permisos, independientemente de cuándo se hizo la última revisión periódica. Estos cambios afectan a múltiples usuarios a la vez y pueden crear desajustes masivos si no se abordan en el momento.

3.3. La revisión como parte de la auditoría RGPD

La revisión de permisos debería formar parte de la auditoría periódica de cumplimiento RGPD. No es un ejercicio separado: es una de las comprobaciones que el DPO incluye en su revisión general del tratamiento de datos. Integrarla en la auditoría evita duplicar trabajo y garantiza que se hace con la misma periodicidad que el resto de las verificaciones.

4. Quién realiza la revisión

La revisión de permisos necesita a alguien que conozca la organización y a alguien que conozca el sistema. No siempre es la misma persona.

4.1. El administrador del sistema: la parte técnica

El administrador puede extraer la lista de usuarios, sus roles y sus vinculaciones a centros. También puede verificar que no hay cuentas huérfanas, roles sin asignar o configuraciones incoherentes. Pero no puede saber si el doctor García sigue yendo al centro B los miércoles: eso es información organizativa, no técnica.

4.2. El responsable de recursos humanos: la parte organizativa

Recursos humanos sabe quién trabaja en la clínica, en qué función y desde cuándo. Puede verificar que los usuarios activos en el sistema corresponden a personal activo en la clínica y que las funciones registradas son correctas. Cruzar la lista del sistema con la de recursos humanos es la verificación más efectiva y la que más desajustes detecta.

La revisión no solo busca permisos de más: también encuentra permisos que faltan y profesionales que llevan meses con un acceso provisional que nadie formalizó.

4.3. El DPO: la validación

El DPO valida que el resultado de la revisión es coherente con la normativa: que los permisos reflejan el principio de mínimo privilegio, que las vinculaciones a centros son proporcionales y que las anomalías detectadas se han resuelto. No ejecuta la revisión técnica, pero es quien firma que el resultado es conforme.

5. El problema de la acumulación de permisos

La acumulación de permisos —permission creep— es el problema más común que detecta la revisión periódica. Ocurre cuando se añaden permisos sin retirar los anteriores.

5.1. Cada cambio de función suma, pero nadie resta

Cuando alguien cambia de función, lo urgente es que pueda hacer su nuevo trabajo. Se le dan los permisos nuevos. Lo que no es urgente —retirar los permisos del puesto anterior— se pospone y se olvida. Después de varios cambios, la persona tiene permisos acumulados de funciones que ya no desempeña. La revisión periódica es el mecanismo que cierra ese ciclo: cada trimestre se verifica que nadie tiene más permisos de los que necesita para su función actual.

5.2. Los permisos temporales que se quedan

Un acceso temporal que se concedió para una situación puntual y que no se revocó cuando la situación terminó es un permiso acumulado más. La revisión periódica debería incluir una búsqueda de accesos temporales que hayan superado su fecha de expiración y que sigan activos.

5.3. El coste de la acumulación: la superficie de exposición

Cada permiso acumulado es un punto de acceso que no debería existir. Cinco personas con permisos acumulados de tres funciones cada una representan quince puntos de acceso innecesarios. La revisión periódica no solo corrige los desajustes: reduce la superficie de exposición del sistema a lo estrictamente necesario. Es la diferencia entre un sistema donde cada persona ve lo que necesita y uno donde cada persona ve lo que necesitó alguna vez.

6. Permisos y centros: la revisión multicentro

En clínicas con varios centros, la revisión incluye las vinculaciones a centros además de los roles.

6.1. Profesionales que ya no van a un centro

Un profesional que dejó de trabajar en un centro hace meses y sigue vinculado tiene acceso a datos de pacientes que ya no atiende. La revisión trimestral debería cruzar la lista de vinculaciones con la distribución real de profesionales por centro. Si un médico que trabaja en dos centros deja de ir a uno, la desvinculación es tan importante como la revocación de un rol.

6.2. Centros nuevos y centros que cierran

La apertura de un centro nuevo genera vinculaciones nuevas. El cierre de un centro debería eliminar todas las vinculaciones a ese centro. Si el centro cerrado no se desactiva en el sistema, las vinculaciones quedan como datos fantasma que confunden la auditoría.

7. Documentar la revisión como evidencia

La revisión que no se documenta no se hizo. La documentación es la evidencia que demuestra ante una inspección que la clínica revisa sus permisos periódicamente.

7.1. Qué debe contener el acta de revisión

Fecha de la revisión, quién la realizó, el alcance —usuarios revisados, centros verificados—, los desajustes encontrados, las acciones correctivas aplicadas y quién las validó. No tiene que ser un documento extenso: una página con esos datos es suficiente. Lo importante es que exista y que sea trazable.

7.2. Conservar el histórico de revisiones

Conservar las actas de revisión de los últimos años permite demostrar una práctica sostenida, no un ejercicio puntual. Si la AEPD pregunta cuándo fue la última revisión de permisos, poder responder «el 15 de agosto, y antes el 15 de mayo, y antes el 15 de febrero» es mejor que «la hicimos una vez, pero no recuerdo cuándo».

7.3. Los desajustes encontrados son evidencia positiva

Encontrar desajustes en una revisión periódica no es una mala señal: es una buena señal. Significa que la revisión funciona y que los desajustes se detectan antes de que causen problemas. Una revisión que nunca encuentra nada debería hacer sospechar que la revisión no es suficientemente rigurosa, no que los permisos están perfectos.

8. Qué se puede automatizar y qué no

Parte de la revisión se puede automatizar para reducir el trabajo manual. Otra parte requiere juicio humano.

8.1. Automatizable: la detección de cuentas inactivas

El sistema puede generar automáticamente un listado de cuentas que no han iniciado sesión en los últimos noventa días. Esas cuentas pueden ser de personal de baja, ex-empleados o cuentas de prueba. El listado se genera solo; la decisión de desactivarlas la toma una persona.

8.2. Automatizable: la detección de permisos acumulados

Si el sistema registra cuándo se asignó cada permiso, puede detectar usuarios que tienen permisos de más de un rol. Esa detección es automática; la evaluación de si la acumulación está justificada —por ejemplo, un coordinador que también pasa consulta— requiere conocer la organización.

8.3. No automatizable: la validación organizativa

Verificar que el rol asignado corresponde a la función actual requiere cruzar con información de recursos humanos que el sistema no tiene. El informe de accesos puede detectar que un usuario accede a datos que no corresponden a su rol, pero no puede saber si es porque el rol está mal asignado o porque la función del usuario ha cambiado. Esa interpretación la hace la persona que revisa.

9. Qué aporta obeliOmed

obeliOmed facilita la revisión periódica con herramientas que reducen el trabajo manual sin sustituir el juicio del revisor.

9.1. Panel de usuarios con rol, centro y última actividad

El administrador puede ver en una sola pantalla todos los usuarios activos, su rol, los centros a los que están vinculados y la fecha de su último acceso. Esa vista es el punto de partida de la revisión: los usuarios sin actividad reciente se investigan, los que tienen vinculaciones sospechosas se verifican y los que acumulan permisos se ajustan.

9.2. Alertas de cuentas inactivas y permisos acumulados

El sistema genera alertas cuando detecta cuentas sin actividad durante más de noventa días o usuarios con permisos de más de un rol. Esas alertas no bloquean nada —la cuenta sigue activa—, pero avisan al administrador de que hay algo que revisar. El administrador decide si desactiva la cuenta, ajusta los permisos o confirma que la situación es correcta.