Espanhol (pdf)
Artigo em XML
Referências do artigo
Tradução automática
Enviar este artigo por email
Citado por SciELO 
Similares em
SciELO 
Permalink
Introducción
En el sector de salud los datos médicos o los datos de pacientes son generados en grandes cantidades y son utilizados por diferentes actores de un sistema, por lo cual aquellos datos deben ser confidenciales y no deben ser compartidos a través de una red pública; sin embargo, el intercambio de datos de pacientes es necesario debido a que los médicos al encontrarse en diferentes ubicaciones físicas necesitan tomar decisiones con ayuda de la opinión de otros expertos, sin embargo, la privacidad de los datos es la principal preocupación, por lo cual dicho intercambio debe tener lugar en un proceso seguro y autenticado (1). Por lo tanto, la seguridad de datos médicos debe enfocarse principalmente en proporcionar un equilibrio entre los riesgos de confidencialidad, integridad y disponibilidad (2). Seguidamente, cabe mencionar primero que la confidencialidad se asegura de que ningún usuario no autorizado acceda a datos o recursos, segundo que la integridad se asegura de que los datos o recursos estén en su forma original y no sean modificados de forma intencional o accidental y por último la disponibilidad de recursos se asegura de que los datos o recursos estén accesibles y listos para su uso (3). Para ello, es necesaria la implementación de controles de acceso (CA), ya que logran evitar el acceso ilegal a la información (2).
Un control de acceso está conformado por las fases de identificación, autorización y autenticación. En la fase de identificación, el usuario puede usar credenciales y autenticarse, después de proporcionar las credenciales correctas, el usuario queda autorizado para acceder solo a los recursos otorgados por un administrador a través de permisos o reglas de control de acceso; en conclusión, un control de acceso busca preservar la seguridad de los datos médicos, controlando el acceso a través de permisos a datos y recursos confidenciales. Además, cuando nos referimos a controles de acceso surge el concepto de modelos de control de acceso los cuales son representaciones formales de políticas de seguridad y mediante los cuales dichas políticas son implementadas y diseñadas de acuerdo a los escenarios y necesidades de la industria. (3)
Aquellos modelos también están relacionados con los privilegios que tiene una entidad al manejar objetos de datos particulares. Estos están basados en modelos de CA de identidad de usuario, como el control de acceso basado en roles (RBAC), control de acceso obligatorio (MAC) y control de acceso discrecional (DAC). Además de estos enfoques estáticos, se ha desarrollado el paradigma de control de acceso basado en atributos (ABAC), que es de naturaleza dinámica y flexible (4).
A los modelos de CA también se les conoce bajo la denominación de esquemas de control de acceso, de los cuales se han presentado muchos que adoptan el cifrado basado en atributos (ABE) para el CA detallado. Los usuarios con atributos que cumplan con la política de acceso pueden desencriptar los datos de registros médicos. Los esquemas de control de acceso basados en roles (RBAC) también permiten un CA detallado. Definen una política basada en roles para una organización jerárquica con cifrado de transmisión basado en identidad (HIBBE). Si bien las propuestas anteriores logran la confidencialidad de los datos médicos, la preservación de la privacidad de los pacientes sigue siendo un problema sin resolver. Sin embargo, al existir una falta de consideración con respecto a la privacidad de la identidad de los propietarios de registros médicos electrónicos, se pueden utilizar técnicas de anonimización para garantizar la privacidad de la identidad de los usuarios. Existen algunos esquemas ABE anónimos que abordan no solo la privacidad de los datos sino también la privacidad de la identidad; por ende, aquellos esquemas proporcionan un análisis de confidencialidad, anonimato y flexibilidad (76).
Metodología
Se llevó a cabo una revisión sistemática sobre toda la literatura científica encontrada, con el fin de rescatar la información más importante respecto al tema sobre modelos de control de acceso, con base en la adaptación de la metodología denominada PRISMA. La pregunta planteada para la investigación que fue desarrollada bajo el proceso metodológico elegido fue: ¿Cuáles son los modelos de control de acceso más utilizados en la seguridad de datos médicos entre los años 2017 y 2022?
Fundamentación de la metodología
Las revisiones sistemáticas se basan en resúmenes presentados de forma clara y bien estructurada acerca de un tema de investigación específico, orientada a dar respuesta a una interrogante planteada a partir de un problema o tema de investigación. Además representan el más alto grado de evidencia debido a que están respaldadas por una variedad de fuentes de información con contenido verídico y confiable.
Proceso de recolección de información
Para la presente investigación se utilizó como base de datos a SCOPUS. El rango de años de búsqueda permitido incluyó publicaciones de los últimos cinco años, desde el 2017 hasta el 2022. Para el proceso de búsqueda de información, se partió de la pregunta de investigación planteada y se emplearon los siguientes términos: “Access control”, “Medical data”, “Medical record”, “Security”. Para lograr mayor efectividad en los resultados de la búsqueda, se realizaron muchas combinaciones entre los términos establecidos; además, se hizo uso de los operadores booleanos tal como se aprecia a continuación:
SCOPUS
( TITLE ( “access control” ) AND ( TITLE-ABS-KEY ( “medical data” ) OR TITLE-ABS-KEY ( “medical record” ) OR TITLE-ABS-KEY ( health ) ) ) AND PUBYEAR > 2016 AND ( LIMIT-TO ( OA , “all” ) ) AND ( LIMIT-TO ( PUBSTAGE , “final” ) ) AND ( LIMIT-TO ( DOCTYPE , “ar” ) ) AND ( LIMIT-TO ( LANGUAGE , “English” ) OR LIMIT-TO ( LANGUAGE , “Portuguese” ) OR LIMIT-TO ( LANGUAGE , “Spanish” ) )
Resultados
La red bibliométrica incluye las palabras claves más frecuentes encontrados en los artículos incluidos en la investigación. La red de palabras claves se originó de un total de 82 artículos de revisión, encontrados en la base de datos “Scopus”.
Figura 3 Tendencia de los modelos de control de acceso tradicionales a Cifrado basado en atributos b Control de acceso basado en roles c Control de acceso al medio d Control de acceso basado en atributos y e Control de acceso basado en blockcha
Cuadro 1 Problemas encontrados en los modelos de control de acceso tradicionales
| Modelos de control de acceso | Problemas detallados en los estudios | N° referencia |
| Cifrado basado en atributos (ABE) | •Problema de escalabilidad una vez que aumenta el tamaño de los datos. | (33), (49) |
| •Ausencia de mecanismo efectivo para llevar a cabo la revocación del derecho de acceso después de una emergencia. | (33), (41) | |
| •Requiere muchos recursos de almacenamiento. | (39) | |
| •Costos computacionales elevados en dispositivos móviles. | (39) | |
| •Filtraciones de la privacidad del propietario del PHR. | (44, 49) | |
| •Dificultad para identificar al usuario malicioso que intencionalmente reveló su clave privada (parcial o modificada). | (49) | |
| •No puede llevar el control del acceso a los flujos de datos de forma independiente. | (57) | |
| •Las políticas de acceso están en formato de texto no cifrado y revelan información confidencial relacionada con la salud en los registros de salud codificados. | (71) | |
| •De forma general admite una serie de atributos pequeños, obteniendo una limitante indeseable en los despliegues prácticos debido a que el tamaño de sus parámetros públicos crece linealmente con el tamaño de la serie. | (71) | |
| •La custodia, la exposición y el abuso de las claves privadas aún dificultan su aplicación práctica en el sistema PHR. | (73) | |
| •Sobrecarga computacional y demora en la función de cifrado | (78) | |
| Control de acceso basado en atributos (ABAC) | •Carece de una semántica de relación detallada para el acceso a EHR con un mecanismo eficiente de preservación de la privacidad. | (56) |
| •Dificulta el tratamiento de primeros auxilios cuando la vida del paciente está en peligro porque el personal de primeros auxilios en el sitio no está autorizado a obtener los datos médicos históricos del paciente. | (58) | |
| •Requiere un gran número de reglas. | (59) | |
| Control de acceso basado en roles (RBAC) | •Proceso costoso para definir roles. | (59) |
Cuadro 2. Modelos de control de acceso mejorados derivados de la solución de los problemas presentes en los modelos mencionados en el cuadro 1.
| N° | Modelos de control de acceso mejoradas | Modelos tradicionales | ||
| Cifrado basado en atributos (ABE) | Control de acceso basado en atributos (ABAC) | Control de acceso basado en roles (RBAC) | ||
| 1 | Control de acceso a datos para equipos de cuidados agudos (AC-AC) | ✔ | ||
| 2 | Cifrado de búsqueda basado en atributos basado en contrato inteligente (SC-ABSE) | ✔ | ||
| 3 | Búsqueda segura de múltiples palabras clave y control de acceso ( SMKS-AC) | ✔ | ||
| 4 | Cifrado basado en atributos de política de texto cifrado(CP-ABE) eficiente con capacidad de revocación de atributos (AC-FEH) | ✔ | ||
| 5 | Cifrado basado en atributos de políticas de texto cifrado (CP-ABE) de ocultamiento de políticas ligero para el s-health orientada a IoT | ✔ | ||
| 6 | Control de acceso rastreable y de ocultación de políticas detallado para Sistemas móviles de salud (HTAC) | ✔ | ||
| 7 | Control de acceso basado en la semántica de relaciones con conciencia de privacidad (PRSX-AC) | ✔ | ||
| 8 | ShareHealth control de acceso criptográficamente reforzado | ✔ | ||
| 9 | Control de accesos de deduplicación | ✔ | ||
| 10 | Control de acceso de múltiples capas (MLAC) | ✔ | ✔ | |
| 11 | Control de acceso de grano fino. | ✔ | ||
| 12 | Control de acceso a prueba de roturas | ✔ | ||
| 13 | CP-ABE con políticas de acceso parcialmente ocultas (PASH) | ✔ | ||
| 14 | Control de acceso basado en atributos de política de texto cifrado coordinado con responsabilidad de usuario (CCP-ABAC-UA) | ✔ | ||
| 15 | Cifrado basado en atributos de política de texto cifrado CP-ABE basado en grupos modificado (G-CP-ABE) | ✔ | ||
Cuadro 3. Modelos de control de acceso recientes implementados una sola vez.
| N° | Modelos recientes utilizados solo una vez | N° referencia | Año |
| 1 | Marco de privacidad FAIR | (11) | 2022 |
| 2 | Control de acceso basado en token distribuido (DTAC) | (13) | 2022 |
| 3 | Control de acceso seguro y establecimiento de claves para un sistema de salud inteligente sostenible a largo plazo (ACM-SH) | (15) | 2022 |
| 4 | Control de acceso basado en reconocimiento facial | (16) | 2022 |
| 5 | Control de acceso de conclusión de clave (uso de múltiples claves generadas) | (18) | 2022 |
| 6 | Control de acceso dinámico | (19) | 2022 |
| 7 | Control de acceso y función física no clonable (PUF) | (22) | 2022 |
| 8 | Marco de control de acceso e intercambio de EHR | (23) | 2022 |
| 9 | Control de acceso adaptable al riesgo basado en la entropía | (24) | 2022 |
| 10 | Control de acceso de cifrado de signos heterogéneo | (28) | 2022 |
| 11 | Control de acceso de distribución de contenidos eficiente y segura (ES_CD) | (29) | 2021 |
| 12 | Distribución de contenidos eficiente y segura (ES_CD) | (31) | 2021 |
| 13 | Protocolo de límite de distancia (ACIMD) | (42) | 2021 |
| 14 | Niveles de acceso | (48) | 2020 |
| 15 | SoTRAACE (Control de acceso adaptable al riesgo sociotécnico) | (53) | 2020 |
| 16 | Marco de monitoreo remoto seguro y eficiente (SRM) | (55) | 2019 |
| 17 | Control de acceso sensible y enérgico (SE-AC) | (60) | 2019 |
| 18 | Control de acceso de autorización distribuída | (61) | 2019 |
| 19 | Control de Acceso de Emergencia (EACMS) | (62) | 2019 |
| 20 | Control de acceso ligero para dispositivos portátiles | (64) | 2019 |
| 21 | Control de acceso a sensores basado en aprendizaje por refuerzo | (65) | 2019 |
| 22 | Control de acceso que aplica un Analizador de similitud jerárquica (HSA) | (76) | 2017 |
| 23 | Control de acceso GeoXACML | (79) | 2017 |
Los modelos tradicionales en conjunto representan un 52% de todos los estudios encontrados, mientras que los modelos derivados de mejoras un 19% y los nuevos modelos un 29%.
Discusión
Luego de mostrar los resultados, continuamos discutiendo dicha información, se encontró 5 modelos de control de acceso tradicionales, estas son: el modelo de control de acceso basado en atributos (ABAC), basado en roles (RBAC), basado en blockchain (BBAC) y el cifrado basado en atributos (ABE), sin embargo la más utilizada es la última mencionada encontrada en 12 artículos, también se pudo obtener las tendencias de cada modelo de control de acceso entre los años 2017 y 2022 que se visualiza en la figura 3, interpretando que los modelos más antiguos son las de ABE y RBAC que vienen siendo implementados mucho antes del año 2017 mientras que las más actuales como ABAC y BBAC surgieron a partir del 2018, por último podemos observar que actualmente el modelo ABE es implementada en mayor cantidad para la seguridad de datos médicos mientras que BBAC es la menos utilizada.
Dentro de los artículos revisados también se pudo identificar problemas en los modelos tradicionales, mostrando e implementando las soluciones y realizando la comparación para destacar la superioridad frente a los modelos de referencia, dichos problemas los podemos observar en el cuadro 1, dando como resultado que el modelo con mayor cantidad de problemas es la de ABE, sin embargo eso no le impide seguir siendo la más implementada hasta el momento según los resultados que se muestra en la figura 4 obteniendo el mayor porcentaje con un valor de 15%, sin embargo dicho modelo presenta una cantidad de 12 versiones como resultado de mejoras tal como se muestra en el cuadro 2.
También se encontró otra serie de nuevos modelos que se encontraron una única vez, en el cuadro 3 se menciona a cada una de ellas, obteniendo un total de 23 modelos con una tendencia ascendente, siendo el año 2022 el periodo con más modelos nuevos implementados.
Conclusiones
Para realizar la presente investigación se tomó como punto de inicio el problema sobre el acceso no autorizado a los datos sensibles que se registra en las organizaciones dedicadas al servicio de salud, lo cual dio pie al desarrollo sobre el tema de los modelos de control de acceso que se vienen utilizando en ese tipo de organizaciones.
Partiendo de toda la información hallada, pudimos conocer los modelos tradicionales de mayor uso siendo un total de 5 las cuales son: ABE, ABAC, RBAC, BBAC y MAC; además, se identificó 15 modelos que surgieron de mejorar los tradicionales y por último se identificó 23 modelos nuevos que se implementaron una sola vez; por lo tanto, se obtuvo un total de 42 variaciones de modelos de control de acceso.
También se logró identificar los problemas que padecen algunos de los esquema tradicionales de control de acceso, por lo cual el esquema de ABE resultó ser el menos efectivo por los diversos inconvenientes presentes, sin embargo, los resultados mostraron que fue el más utilizado, además no se encontró un único esquema que abarque la solución completa de todos esos problemas, por lo cual es necesario recurrir a una combinación que cubra al menos gran parte de los problemas presentes.
La investigación realizada puede contribuir al conocimiento de las organizaciones sobre qué modelos o esquemas existentes se pueden implementar, para preservar la seguridad de los datos médicos o investigar más a fondo sobre alguno de su interés.
