El sello temporal de los datos no es lo primero que nos viene a la mente cuando hablamos del ámbito hospitalario. Rara vez pensamos en un hospital como lo que realmente es: un enorme sistema de información: desde la historia clínica informatizada del paciente hasta la resonancia magnética, pasando por todos los equipos presentes en las habitaciones asistenciales, un hospital está compuesto por cientos de equipos que producen e intercambian datos con sello temporal constantemente.
Una hora fiable y segura permite garantizar el valor de la historia clínica del paciente, la coherencia de la imagen médica, la seguridad informática del establecimiento y su cumplimiento reglamentario.
La historia clínica del paciente es un documento con valor probatorio
En un hospital, todo es importante, hasta vital: La hora de administración de un medicamento. El momento exacto en que se midió una constante vital. Quién ha realizado cada actuación asistencial y en qué momento. Esta información forma parte integrante de una historia clínica que servirá al equipo médico para tomar decisiones. A posteriori, la información horaria puede convertirse en un dato crítico puesto a disposición de un juez o de una compañía de seguros como elemento de prueba. Esta información procede de fuentes y equipos que registran sus acciones con sello temporal utilizando su propio reloj. Para que la historia clínica tenga valor probatorio, todos los relojes tienen que estar sincronizados.
Aunque se observe un dispositivo de forma aislada, su hora interna basta. La necesidad de sincronización surge en el momento que se cruzan varias fuentes para reconstruir una secuencia de eventos. Este es el objetivo de los análisis a posteriori, después de un evento adverso o en caso de controversia. Si los equipos no comparten la misma referencia horaria, la cronología reconstruida será falsa, y la historia clínica perderá su valor probatorio.
¿Qué precisión temporal se necesita?
Para entender el nivel de precisión necesario en el contexto de los establecimientos sanitarios, tomaremos como ejemplo una imagen médica. Las imágenes de un TAC o una resonancia magnética se almacenan en formato DICOM, que asigna un sello temporal a cada adquisición de imagen.
Para que estos sellos temporales sigan siendo coherentes, DICOM se apoya en NTP, a través del perfil Consistent Time de IHE.
Para ir un paso más allá, un atributo específico indica si el sello temporal de una imagen está realmente alineado con una referencia temporal externa. De este modo, es posible saber si a una imagen médica se le ha asignado un sello temporal de forma fiable.
Con un sello temporal externo, la información horaria es fiable. y permite comparar los sellos temporales de las exploraciones realizadas en distintas máquinas para reconstruir con precisión la cronología de la atención prestada a un paciente.
Sin embargo, hay un punto que diferencia al sector sanitario de otros sectores, como el financiero, por ejemplo.
En finanzas, la normativa MiFID II impone umbrales de precisión específicos, de hasta 100 microsegundos. En sanidad, no existe ningún umbral reglamentario de precisión.
Es contraintuitivo. Pero lo que cuenta para un equipo médico es la estabilidad local y la coherencia a escala de un establecimiento sanitario. Una alineación fina con una referencia internacional es menos crítica. Por tanto, la precisión de milisegundo de NTP basta con creces. El reto para todos consiste en compartir la misma hora de referencia, de forma fiable y continua, para tomar las decisiones adecuadas y poder demostrar su cronología si es necesario.
El SIH ante las exigencias de la DGOS
La DGOS (Dirección General de la Oferta Asistencial) dirige la estrategia digital de los establecimientos sanitarios desde 2012. La trazabilidad de las acciones en el sistema de información hospitalario (SIH) forma parte de esta estrategia, y el atlas de los SIH publicado por la DGOS y la ATIH (Agencia Técnica de Información sobre Hospitalización) indica que el 97 % de los establecimientos dispone de un registro de las acciones de los usuarios.
Este registro permite a los hospitales cumplir la instrucción DGOS/MSIOS/2013/62, que exige saber quién ha consultado o modificado qué dato médico, y cuándo.
Para responder a ese «cuándo», el registro de trazabilidad debe incluir un sello temporal correcto para cada evento. Un desfase de unos minutos entre servidores puede generar un error de orden o de atribución entre dos eventos relacionados. Por tanto, sincronizar todo el SIH con una única fuente NTP es la solución para que la trazabilidad sea admisible en caso de auditoría.
La necesidad de ciberseguridad en los SIH
Hay una problemática que los hospitales comparten con todos los actores industriales: la ciberseguridad.
Los establecimientos sanitarios son con frecuencia objetivo de ataques de ransomware. En efecto, se trata de objetivos fáciles, con numerosos profesionales siempre «con prisas» e infraestructuras que no siempre están actualizadas.
La ANSSI contabilizó 30 establecimientos sanitarios públicos afectados solo durante el periodo 2022-2023, lo que representa el 10 % de los incidentes que le fueron notificados.
En 2023, en su Internet Crime Report, el FBI indica que, de los 1193 casos de ransomware tratados por sus servicios ese año, 249 correspondían al sector sanitario.
Tras un ataque, es el registro de las acciones realizadas en el SIH lo que permite entender por dónde entró el intruso y a qué afectó. En concreto, se cruzan los logs de decenas de máquinas: cortafuegos, servidores, puestos, control de acceso y videovigilancia. Solo una sincronización fina y precisa permitirá conocer la secuencia de eventos pasados. Sin sincronización, resulta imposible saber qué ocurrió.
Por eso, la ANSSI recomienda implantar un servidor de tiempo NTP interno en el establecimiento.
Sin embargo, persiste un problema: en su versión actual, NTP no autentica sus fuentes. Un atacante que consiga inyectar paquetes falsos puede desfasar la hora de un equipo y falsear, de paso, los logs de las máquinas. El protocolo NTS (Network Time Security), definido en la RFC 8915, corrige este problema añadiendo autenticación y cifrado a NTP.
Para ir un paso más allá, se recomienda implantar un servidor de tiempo que utilice el protocolo NTS.
Mantener una sincronización robusta
Por lo general, un servidor de tiempo interno recibe una fuente horaria GNSS (GPS, Galileo, etc.). ¿Qué ocurre si esta señal desaparece debido a interferencias, un fallo de antena u obras? Todo depende deloscilador interno del servidor. Un oscilador OCXO o de rubidio conserva en modo holdover la hora de referencia con una deriva mínima durante un periodo que puede alcanzar varios meses, hasta que se restablezca la fuente. En un hospital, este holdover evita que la pérdida de una señal satelital vaya desincronizando poco a poco todo el establecimiento.
Conformidad
Más allá del sistema de información, la trazabilidad reglamentaria abarca los actos médicos, la administración de medicamentos, los productos sanguíneos y los dispositivos implantables. Sin sello temporal, se pierde la trazabilidad de estos elementos. La certificación HAS y los indicadores SUN-ES (Ségur Usage Numérique en Établissements de Santé) impulsados por la DGOS, integran estos retos de seguridad y verificabilidad. Una infraestructura de sincronización fiable no es un criterio exigido explícitamente por estos organismos, pero sí una consecuencia inherente a sus requisitos.
