EirsundControles concretos, para evaluar uno por uno.
Esta página describe cómo está construido Eirsund y qué controles implementa hoy. Preferimos ser precisos antes que prometer de más.
Arquitectura y despliegue
Un servidor, una base, un origen.
La API y la aplicación web se publican juntas desde el mismo origen. Eirsund se instala en la infraestructura de la institución.
Stack
API en ASP.NET Core 8 y aplicación web en React, servidas por el mismo proceso. Base de datos SQL Server.
On-premise
Se instala en un servidor Windows de la institución. Las migraciones de base se aplican de forma controlada en cada actualización.
HTTPS y HSTS
TLS en el propio servidor o detrás de un proxy (IIS, nginx), con redirección, HSTS, cabeceras de seguridad y aviso de vencimiento del certificado.
Configuración en la base
Políticas de sesión, segundo factor, seguridad y auditoría se ajustan desde el panel, sin reiniciar, dentro de límites que no se pueden traspasar.
Identidad
Contraseña, segundo factor y bloqueo por intentos.
- Verificación en dos pasos (TOTP)Con cualquier aplicación de autenticación, y diez códigos de recuperación de un solo uso.
- Obligatorio para administradoresY la institución puede exigirlo a todos los usuarios.
- Bloqueo temporal tras intentos fallidosDe contraseña o de código; los umbrales se configuran.
- Dispositivos recordados con vencimientoPara administradores no aplica.
- Contraseñas de al menos 8 caracteres, con mayúsculas, minúsculas, números y símbolos
Sesiones
Una sesión se puede cerrar de verdad.
Cada token apunta a una sesión registrada en el servidor, que se valida en cada pedido. Por eso cerrar sesión, desactivar una cuenta o cambiar un rol tiene efecto inmediato.
- Vencimiento por inactividad y límite absoluto
- Rotación del token de renovación con detección de reutilización
- Cambiar la contraseña cierra las demás sesiones
- Cada usuario ve y cierra sus sesiones activas
Roles y permisos
Separación entre lo clínico y lo administrativo.
Los permisos se definen por operación y se asignan a roles. El panel muestra qué operaciones toca cada rol y cuáles alcanzan datos de pacientes.
- Administrativos y administradores del sistema no abren el contenido clínico
- La decisión de restringir una historia es un permiso separado, que no da acceso a la ficha
- Un cambio de rol cierra las sesiones de esa cuenta
Confidencialidad de pacientes
Tres niveles, y una salida de emergencia que deja rastro.
Cada paciente tiene un nivel: normal, restringido o muy restringido. Una historia restringida no aparece en las consultas de quien no puede verla; el filtro se aplica en el acceso a datos, no en cada pantalla.
No aparece
Quien no tiene acceso no ve al paciente en listas ni búsquedas. Si busca su documento exacto, ve una ficha bloqueada, para no crear un duplicado.
Acceso de emergencia
Un médico puede romper el vidrio: categoría, motivo de al menos 20 caracteres y su contraseña. Dura 12 horas, sólo para ese paciente.
Aviso y revisión
Se notifica en el momento a los administradores y al tratante. Cada acceso entra en una cola de revisión que se firma fila por fila.
El arranque del servidor verifica que cada endpoint que toca un paciente pase por el control de confidencialidad; si encuentra uno sin cubrir, no inicia.
Auditoría
Tres registros, cada uno para una pregunta.
Sin contenido clínico en los registros: dicen quién, cuándo, qué, desde dónde y con qué sesión.
Cambios
Altas, bajas y modificaciones de los datos del sistema, con el usuario responsable.
Acceso clínico
Aperturas de fichas, lecturas, búsquedas de pacientes, exportaciones, envíos por correo, inicios de sesión y accesos denegados.
Historias restringidas
Cada lectura e intento sobre un paciente restringido, para revisar y dar por revisado.
Documentos verificables
Un papel falso no pasa por uno real.
Cada PDF que sale del sistema —historia clínica, consulta, estudio, receta— queda registrado con un código y la huella digital (SHA-256) del archivo.
- Código y QR al pie del documento
- Página pública de verificación, sin cuentaEl PDF se procesa en el navegador; sólo viaja su huella.
- La respuesta no revela datos del paciente ni del profesional
La verificación confirma origen e integridad; no reemplaza a una firma digital.
Secretos
Contraseñas de servicio, cifradas.
La contraseña del servidor de correo y otros secretos se guardan cifrados con el anillo de claves de la instalación. La pantalla nunca los devuelve: sólo informa si existen.
- El arranque se niega a usar claves de firma de ejemplo o débiles
- Procedimientos escritos de rotación de claves y recuperación de acceso
- Escaneo de secretos en el repositorio de código
Transparencia
Lo que depende de la infraestructura.
Algunas protecciones no las puede dar una aplicación sola. Las decimos para que la evaluación sea completa.
Acceso directo al servidor o a la base
Los controles de confidencialidad son de la aplicación. Quien administra el servidor o consulta la base directamente queda fuera de su alcance; eso se resuelve con la gestión de accesos de la infraestructura.
Red, respaldo y cifrado en reposo
Firewall, segmentación, copias de seguridad y cifrado del disco o de la base dependen de la infraestructura donde se instala Eirsund y conviene definirlos junto con la instalación.
Revisemos los controles juntos.
Coordinamos una sesión técnica para recorrer la arquitectura, la configuración y la auditoría.