Requerimientos de seguridad de un CRD electrónico
Si necesitas un software de CRD electrónico, puedes contactarnos en info@klindat.com
La seguridad de los sistemas de información ha adquirido un protagonismo enorme en los últimos años.
La creciente importancia de la protección de datos ha colocado a la ciberseguridad en el centro de la escena en todos los sectores a nivel global.
Sin ninguna duda, la seguridad de la información también juega un papel central en el ámbito de la investigación clínica ya que en esta industria se manejan datos críticos como son los datos de salud —y genéticos— de los pacientes.
Ante el aumento de los riesgos relacionados con los ciberataques y la gravedad de las pérdidas de información, los proveedores de software para investigación clínica deben garantizar medidas de seguridad verdaderamente sólidas.
Más concretamente, este es el caso de los cuadernos de recogida de datos electrónicos (CRDe), que son aplicaciones de software basadas en web utilizadas para recopilar, depurar y transferir datos en ensayos clínicos.
¿Qué medidas de seguridad deben tener los CRDs electrónicos?
En este artículo explicaremos los requerimientos esenciales de seguridad que todo CRDe debe tener.
Usuario y contraseña personal, única e intransferible
En primer lugar, un requisito esencial de seguridad en el uso de los CRDs electrónicos es que cada persona que utilice el sistema debe tener un usuario y una contraseña personal, única e intransferible.
El sistema de CRDe debe hacer llegar al usuario que ha sido autorizado para usar la plataforma sus credenciales personales de un modo seguro.
Los usuarios, a su vez, no deben compartir sus nombres de usuario ni sus contraseñas con nadie más, pues estas credenciales son personales e intransferibles.
También es importante apuntar que no se deben utilizar nombres de usuario generales o impersonales —por ejemplo, el nombre de un departamento o institución— ya que cada usuario debe corresponder a una persona real con su verdadero nombre, apellidos y correo electrónico.
Acceso solo a usuarios autorizados
Los usuarios y claves que se crean en un CRD electrónico deben asignarse solamente a personas debidamente autorizadas.
Para garantizar que las personas que reciben credenciales sean usuarios autorizados se puede utilizar un formulario de petición de usuario firmado por una persona responsable del estudio clínico, como puede ser el investigador principal del hospital.
Normalmente cada centro clínico participante en un estudio suele tener unos dos o tres usuarios autorizados —por ejemplo investigador, coordinador de estudio, y data manager— ya que en ausencia de alguno de ellos, siempre hay alguien que puede encargarse de introducir los datos en el CRDe.
Es importante también que los usuarios autorizados tengan los accesos restringidos solo a las secciones o formularios del CRDe que son aplicables para ellos (por ejemplo, tendrán acceso solo de lectura a ciertos datos). Esto sirve para evitar que un usuario pueda modificar información sobre la cual tenga un interés particular.
Cambios periódicos de contraseñas
Otra medida de seguridad importante al usar un CRD electrónico es la renovación periódica de la contraseña.
No es recomendable que un usuario mantenga la misma contraseña por un periodo extendido de tiempo, ya que esto incrementa las posibilidades de que la contraseña sea descubierta y usada por personas no autorizadas.
Por este motivo, el propio sistema de CRDe debe exigir —automáticamente— cada cierto tiempo que el usuario cambie su contraseña, para minimizar los riesgos de robo y uso indebido de credenciales.
Encriptación de contraseñas
Un elemento adicional de seguridad en una aplicación de CRD electrónico es la encriptación de contraseñas.
Encriptar las contraseñas de los usuarios significa que cuando una contraseña es generada, nadie más —ni siquiera los administradores del CRDe— tiene la capacidad de verla.
Esta encriptación completa de contraseñas garantiza la confidencialidad absoluta de las credenciales personales y elimina el riesgo de divulgación ilícita de dichas claves.
Bloqueo de usuario tras intentos de acceso fallidos
Al igual que otras herramientas de software, los sistemas de CRDe deben tener un mecanismo de bloqueo de usuarios cuando alguien intenta acceder sin éxito a la plataforma en ocasiones repetidas.
La repetición de intentos fallidos de acceso —por usar nombres de usuario o contraseñas incorrectas— puede deberse a un intento de ingreso intruso no autorizado.
Normalmente, un CRD electrónico debería permitir unos tres o cuatro intentos de acceso errados como máximo y después de esto debería bloquear el nombre de usuario utilizado, el cual solo podrá desbloquearse mediante la intervención humana de un administrador del sistema.
Sistema de control de accesos
Un buen CRDe debe tener un sistema sólido de control de accesos.
Este sistema consiste en un módulo que registra todos los accesos y desconexiones de la plataforma.
El módulo de control de accesos debe registrar al menos la identificación del usuario, la fecha y hora de conexión y desconexión, y la dirección IP desde la cual ha accedido.
Esta información permite a los administradores del sistema monitorizar las entradas y salidas de la plataforma, con el fin de detectar cualquier actividad sospechosa.
Módulo de auditoría de datos
El módulo de auditoría de datos es otro elemento fundamental relacionado con la seguridad de un software de CRDe.
Básicamente, un módulo de auditoría de datos es un registro de cada una de las acciones o actividades realizadas sobre los diversos formularios y campos de un CRD electrónico.
Un buen sistema de auditoría de datos debe ser capaz de registrar quién ha accedido a un determinado formulario, y cuándo lo ha hecho, incluyendo los valores introducidos en cada campo (y las posibles modificaciones subsiguientes).
Dicho de otro modo, el módulo de auditoría asegura la trazabilidad, permitiendo la reconstrucción completa de cada una de las acciones realizadas sobre los formularios y campos del CRDe, y generando un historial de actividad que pueda ser auditado.
Desconexión automática tras un tiempo de inactividad
Un riesgo real que surge en la utilización de una aplicación de software es su uso indebido cuando el usuario abandona la pantalla manteniéndose esta activa y accesible.
No es infrecuente —en el entorno de un hospital— que las personas que usan los ordenadores tengan que realizar diversas tareas al mismo tiempo —en diferentes salas o departamentos— lo cual implica que en determinados momentos pueden abandonar físicamente sus ordenadores (con el posible riesgo de dejarlos accesibles a otras personas por descuido).
Ante este riesgo de acceso por parte de personas no autorizadas, los CRDs electrónicos deben tener un mecanismo automático de finalización de sesión tras un tiempo determinado de inactividad.
Comunicación encriptada entre cliente y servidor
Los CRDs electrónicos basados en web utilizan comunicaciones vía Internet entre clientes y servidores.
Esencialmente, el “cliente” se refiere al usuario que usa un ordenador para acceder al sistema de CRDe e introducir datos mediante un navegador de Internet.
Por otro lado, el “servidor” hace referencia al propio sistema de CRDe que está alojado en un servidor web.
Por tanto, siempre que usa el CRD electrónico, tiene lugar una comunicación entre cliente y servidor, la cual debe ser protegida contra posibles interceptaciones.
Los CRDs electrónicos basados en web usan el protocolo de encriptación Secure Sockets Layer (SSL), para preservar la seguridad en las comunicaciones cliente-servidor.
Anonimización de la información en la base de datos
Otro elemento relevante de seguridad relacionado con la utilización de los CRDs electrónicos es la anonimización de la información en la base de datos.
Esta medida evita que un dato pueda relacionarse para conocer la identidad de un paciente determinado.
La anonimización de los datos juega un papel importante en el momento de exportar la información, hacer análisis estadísticos y sacar las conclusiones del estudio.
Copias de seguridad
Finalmente, los CRDe deben tener un sistema robusto de copias de seguridad para recuperar con garantías los datos en el caso de una incidencia grave inesperada.
Son muchas las amenazas que rondan por Internet y el día menos pensado se puede producir un ataque o una pérdida de conectividad, que puede amenazar seriamente la continuidad de servicio del CRDe.
Por tanto, resulta vital que un CRDe tenga un procedimiento —documentado y probado— de copias de seguridad diarias, incluyendo la capacidad de reestablecer el sistema de una forma rápida en el caso de interrupción prolongada.
Conclusión
La seguridad de la información nunca tuvo tanta importancia como ahora.
La realización de estudios clínicos requiere del uso de CRDs electrónicos altamente seguros que integren las medidas de protección descritas en este artículo.
Antes de seleccionar un sistema de CRDe, los promotores de los estudios clínicos deben asegurarse de que el software elegido incluya los mecanismos de seguridad que garanticen la integridad de los datos y su rápida recuperación en caso de incidentes graves.
Si necesitas un software de CRD electrónico, puedes contactarnos en info@klindat.com
Share This Post
More To Explore
El ahorro en costes de los cuadernos de recogida de datos electrónicos (eCRF)
Si necesitas un eCRF para un estudio clínico, puedes ponerte en contacto con nosotros en info@klindat.com La investigación clínica evoluciona constantemente y un área que
El futuro de los CRDe en los ensayos clínicos
Si necesitas un sistema CRDe para tu ensayo clínico, contáctanos en info@klindat.com A medida que la industria de los ensayos clínicos continúe evolucionando, el futuro
