La distinción entre portal interno y extranet en un CHU no se reduce a una cuestión de perímetro de red. Implica decisiones de arquitectura que determinan la superficie de ataque, la granularidad de las habilitaciones y la capacidad para rastrear usos anormales. Observamos que la mayoría de los establecimientos aún tratan esta cuestión como un simple arbitraje técnico, cuando en realidad se trata primero de la gestión del riesgo aplicada a los datos de salud.
Segmentación de accesos agente CHU por nivel de riesgo
Un portal interno (intranet) y un extranet no protegen los mismos recursos con la misma intensidad. El verdadero criterio de elección no es la ubicación geográfica del agente, sino la sensibilidad del recurso al que accede.
En una intranet clásica, el agente conectado a la red cableada o al Wi-Fi profesional del CHU se beneficia de un primer nivel de confianza relacionado con la infraestructura física. Las aplicaciones críticas (historia clínica, prescripción, vigilancia de identidad) permanecen restringidas a este perímetro. El extranet abre un segundo canal, destinado a conexiones fuera del sitio, pero este canal exige controles compensatorios que muchos establecimientos subdimensionan.
Recomendamos mapear cada aplicación del SIH según tres niveles: acceso restringido a la red interna únicamente, acceso remoto con autenticación reforzada, acceso abierto en portal web estándar. Esta cartografía condiciona la elección de la arquitectura mucho más que el presupuesto o la marca de la solución seleccionada. Un artículo detallado sobre el acceso agente CHU en Tranquilidad Salud describe precisamente las diferencias funcionales entre estos dos modos.
Autenticación multifactor y SSO federado: lo que cambia para el extranet hospitalario
La autenticación multifactor es un requisito previo, no una opción. En un portal interno, la red misma constituye un factor implícito de confianza. En un extranet, este factor desaparece. El agente que se conecta desde su hogar, un puesto de guardia remoto o un terminal móvil debe probar su identidad por al menos dos medios independientes.
La trampa frecuente se refiere al enrolamiento MFA. En varios CHU, la asociación entre la cuenta del agente y la aplicación de autenticación (tipo Microsoft Authenticator) debe hacerse imperativamente desde la red interna. Intentar la operación desde una red externa bloquea el procedimiento sin un mensaje de error explícito. Este punto técnico, raramente documentado en las guías de usuario, genera un volumen significativo de tickets al soporte informático.
La arquitectura SSO federada simplifica la experiencia del agente unificando la autenticación en todas las aplicaciones (correo, portal de recursos humanos, gestión del tiempo de trabajo, intranet documental). Sin embargo, multiplica las puertas de entrada. Cada camino de conexión debe estar cubierto por la misma política de seguridad, ya sea el portal web, la aplicación móvil o el cliente pesado VPN.
VPN o reverse proxy: dos filosofías de acceso remoto
El VPN crea un túnel cifrado que conecta virtualmente el terminal remoto a la red interna. El reverse proxy expone únicamente las aplicaciones publicadas, sin extender el perímetro de red. La elección depende del perfil de uso:
- El VPN es adecuado para los agentes que utilizan aplicaciones pesadas que requieren una conexión de red completa (imágenes, bases de datos locales).
- El reverse proxy es suficiente para los usos web (correo, consulta de planificación, portal de recursos humanos) y reduce la superficie de ataque al publicar solo los servicios estrictamente necesarios.
- Un modelo híbrido, donde el VPN está reservado para perfiles técnicos y el reverse proxy para agentes funcionales, constituye el compromiso más frecuente en los CHU de tamaño intermedio.
Habilitaciones de los intervinientes externos: el eslabón débil del SIH
Las guías de acceso agente CHU se concentran en el personal titular. Sin embargo, los intervinientes externos (médicos liberales, contratistas, proveedores de mantenimiento biomédico, socios de investigación) representan un riesgo específico que ni el portal interno ni el extranet estándar tratan correctamente sin una configuración dedicada.
Una cuenta genérica compartida entre varios intervinientes externos es una falta de seguridad. Las recomendaciones actuales exigen cuentas individuales, una revocación rápida de las habilitaciones al final de la misión y la aplicación estricta del principio de necesidad de conocimiento. Un contratista que interviene tres días al mes en cardiología no tiene ninguna razón para acceder al módulo de prescripción de psiquiatría.
El extranet ofrece aquí una ventaja estructural sobre el portal interno: permite crear perímetros de acceso compartimentados, con duraciones de validez configurables y una trazabilidad completa de las conexiones. El portal interno, diseñado para agentes permanentes, gestiona más difícilmente estos perfiles de geometría variable.
Registro y detección de usos anormales en el portal agente
Un control de acceso inicial, por robusto que sea, no protege contra una compromisión de cuenta. La diferencia entre un portal bien dimensionado y un portal vulnerable radica en lo que sucede después de la autenticación.
El portal debe registrar cada conexión y detectar comportamientos atípicos: volúmenes de extracción inusuales, conexiones en horarios incoherentes con la planificación del agente, accesos simultáneos desde dos ubicaciones geográficas distintas. Estas señales débiles son los primeros indicadores de una cuenta comprometida.
En una intranet, el registro a menudo se basa en los logs del controlador de dominio y de los servidores de aplicaciones. En un extranet, debe ser centralizado a nivel del portal mismo, ya que las conexiones transitan por caminos heterogéneos. Observamos que los establecimientos que han sufrido incidentes de seguridad generalmente tenían un registro parcial, cubriendo la autenticación pero no las acciones posteriores a la conexión.
- Verificar que el portal registre los accesos a los expedientes de pacientes individuales, no solo las conexiones a aplicaciones.
- Configurar alertas automáticas sobre extracciones masivas de datos (exportaciones CSV, impresiones en serie).
- Realizar una revisión trimestral de las cuentas activas para desactivar las habilitaciones obsoletas, en particular para los intervinientes externos.
La elección entre portal interno y extranet no se reduce a una arquitectura de red. Implica la capacidad del CHU para aplicar políticas de seguridad diferenciadas según el perfil, el lugar de conexión y la sensibilidad de los datos consultados. Un extranet bien configurado protege mejor que una intranet mal supervisada. La cuestión pertinente no es qué portal desplegar, sino qué nivel de control está dispuesto a mantener el establecimiento a largo plazo.
