Pensionados y personas fuera de planilla de la CCSS tienen acceso a datos de EDUS, revela CGR

Pensionados y personas fuera de planilla de la Caja Costarricense de Seguro Social (CCSS) tienen acceso a datos del Expediente Digital Único en Salud (EDUS), según reveló un informe de Auditoría de carácter especial sobre la seguridad de la información que tiene dicha aplicación realizado por la Contraloría General de la República (CGR).

Los resultados indican que la Caja tiene una débil gestión de personas a usuarios para acceder al sistema, esto se determinó tras la revisión realizada entre enero del 2018 y febrero del 2022.

Durante ese lapso se detectaron 8.966 accesos irregulares a la información confidencial de los asegurados:

• 1.002 personas con accesos habilitados al EDUS que ya no laboran para la institución. Se trata de 877 pensionados y 125 fallecidos que aún tienen el ingreso habilitado al EDUS.
• 1.345 funcionarios que tienen habilitado el acceso a módulos del EDUS con perfiles para la atención de pacientes a pesar de que su puesto no corresponde a este tipo de perfil. Se trata de personal del área financiero contable, servicios de apoyo, servicios generales, recursos humanos, tecnologías de información y otros puestos no relacionados.
• 6.619 personas con permisos de acceso a módulos de EDUS que no aparecen registrados en planillas en los meses de septiembre y octubre 2021.

Lea: Asegurados con correos desactualizados deben asistir a Ebais para conseguir acceso al app de EDUS

De acuerdo con el informe de la CGR cada una de estas personas tiene accesos asignados con diversos alcances, los cual les permite a algunos incluir nuevos datos o registros al EDUS, o bien actualizar, modificar y consultar los datos confidenciales que existes en la aplicación. Además, se corre el riesgo de que, ante los accesos indebidos, se pueda perder información, modificarla de manera irregular y degradar los servicios que ofrece la CCSS.

"Además, se identificaron riesgos de seguridad lógica, la cual resulta relevante para proteger al sistema contra ataques cibernéticos, incidentes en sistemas, bases de datos o infraestructura que pueden reducir la continuidad del servicio y comprometer la integridad, disponibilidad y confidencialidad del Expediente Digital Único en Salud, sobre los cuales no se han definido medidas específicas para su gestión.

"Por último, se identificó que a la fecha de emisión de este informe, la CCSS se encontraba actualizando la documentación para continuar con la inscripción de la base de datos del Expediente Digital Único en Salud ante la Agencia de Protección de Datos de los Habitantes (Prodhab), proceso que inició desde el año 2017", indica el informe de la Contraloría.

Todo lo señalado provoca que no exista garantía de que "los datos contenidos en el EDUS se traten bajo las medidas técnicas y de organización necesarias".

Tras el informe, la Contraloría emitió una lista de disposiciones que deben cumplir las autoridades de la Caja, entre ellas, se exige la revisión de todos los perfiles con acceso al EDUS, dar seguimiento a su pertinencia y corregir las inconsistencias de los perfiles otorgados.

También se pide implementar un mecanismo de control automático que "permitan alertar y deshabilitar la cuenta de usuario de funcionarios que mantienen perfiles en los sistemas de información del EDUS una vez que se jubilen, fallezcan o finalicen su relación laboral". Por otro lado se pide acelerar y concluir la inscripción de la base de datos del EDUS ante el Pordhab.