Con una sola contraseña, quien la consiga entra en la agenda, en las historias clínicas y en las facturas de la clínica. Y las contraseñas se pierden de muchas formas: un correo falso que imita al programa, una contraseña que se usa también en otra web que sufre un robo, un pósit en recepción.
La doble verificación añade un segundo paso al entrar. Aquí te contamos qué es, qué métodos hay, cuál conviene en una clínica y cómo exigirla al equipo sin que nadie se quede fuera.
Qué es la doble verificación
Para entrar hacen falta dos cosas distintas: algo que sabes, la contraseña, y algo que tienes, normalmente el móvil. Después de la contraseña, el programa pide un código de seis cifras que cambia cada pocos segundos o que llega en ese momento. Quien solo tenga la contraseña no puede entrar.
También se llama verificación en dos pasos o autenticación de doble factor. Es lo mismo que ya te pide tu banco.
Por qué importa en una clínica
Los datos de salud son una categoría especial de datos en el RGPD. Una filtración no es solo un problema técnico: hay que comunicarla a la Agencia de Protección de Datos y, a veces, a cada persona afectada.
El RGPD no nombra la doble verificación. Lo que pide, en su artículo 32, son medidas de seguridad adecuadas al riesgo, y con historias clínicas el riesgo es alto. Por eso es de las primeras medidas que se revisan. Lo tienes con más detalle en RGPD en clínicas.
Además, una clínica tiene cosas que la hacen más vulnerable que otras empresas:
- Equipos que rotan. Sustituciones, personal en prácticas, profesionales que alquilan una sala.
- Ordenadores compartidos en recepción y en las consultas.
- Acceso desde fuera, para revisar la agenda o escribir un informe desde casa.
Los métodos: cuál conviene
| Método | Seguridad | Comodidad |
|---|---|---|
| App de autenticación | Alta. El código se genera en el móvil y no viaja por ninguna red | Alta. Funciona sin cobertura |
| Código por correo | Media. Depende de que el correo esté bien protegido | Alta. No hace falta instalar nada |
| Código por SMS | Media-baja. Expuesto al duplicado de la tarjeta SIM | Alta |
| Llave física | Muy alta | Baja. Hay que comprarla y llevarla encima |
Para una clínica, la app de autenticación es el equilibrio: gratis, segura y rápida. Las más usadas son Google Authenticator y Microsoft Authenticator. El código por correo es una buena alternativa para quien no quiera instalar nada.
Exigirla a todo el equipo sin que nadie se quede fuera
Activarla para uno mismo es fácil. Lo difícil es que la active todo el mundo. Funciona mejor así:
- Empezar por los administradores, que tienen acceso a todo.
- Dar unos días de margen y avisar antes de exigirla.
- Recordar los dispositivos de confianza, para no pedir el código cada vez en el ordenador de siempre.
- Tener un plan para el móvil perdido: códigos de recuperación guardados y alguien que pueda restablecer el acceso dejando constancia.
Cómo funciona en byclinics
La doble verificación está en todos los planes de byclinics. Cada usuario la activa desde el menú de su nombre, en Seguridad de acceso, con la app de autenticación o con un código por correo. Al activarla con la app recibe diez códigos de recuperación de un solo uso.
El administrador decide, en Usuarios y permisos, pestaña Seguridad:
- A quién se le exige: a nadie, solo a los administradores o a todos.
- Cuánto margen hay para activarla: sin margen, 3, 7, 14 o 30 días. Mientras dura, quien no la tenga puede entrar avisado de los días que le quedan.
- Cuánto se recuerda un dispositivo de confianza: no recordarlo, 7 o 30 días. Cada usuario ve sus dispositivos y puede olvidarlos todos y cerrar sus sesiones.
Si alguien pierde el móvil, puede pedir el código por correo o usar un código de recuperación. Si no tiene ninguno, el administrador le quita la doble verificación o se la pasa a correo, con un motivo obligatorio que queda en la ficha del usuario. El administrador nunca ve los códigos de nadie.
Tras cinco códigos fallidos, el inicio de sesión espera antes de dejar probar otra vez, y la espera se alarga con cada fallo. El usuario recibe un correo cuando activa o quita la doble verificación, cuando entra con un código de recuperación y cuando el administrador se la cambia. En la lista de usuarios se ve quién la tiene y su último acceso.
Es una de las medidas de una plataforma cerrada, en la que los datos de la clínica no salen a programas de terceros. Y si estás comparando programas, la incluimos en las preguntas técnicas que hacer a un software de clínica.
Preguntas frecuentes
Ninguna norma la nombra para las clínicas privadas. El RGPD pide medidas de seguridad adecuadas al riesgo y, con datos de salud, la doble verificación es de las primeras que se esperan.
Cualquiera de las habituales, como Google Authenticator o Microsoft Authenticator. Son gratis y funcionan sin cobertura.
No. Si marcas el dispositivo como de confianza, no se vuelve a pedir en ese ordenador durante el tiempo que haya fijado la clínica.
Puedes entrar con un código de recuperación o pedir el código por correo. Si no tienes ninguno, el administrador de la clínica te la quita o te la pasa a correo, y queda registrado.
No. Se usan la app de autenticación, que es más segura, o el código por correo.
¿Quieres ver cómo se activa?
Te enseñamos la seguridad de acceso de byclinics con tu equipo y tus perfiles de usuario.
Hablar con el equipo