Capítulo 7 — OSAKIDETZA #2

—Y eso es lo que me interesa —dijo—. La notificación dice que el hospital detectó la brecha a las 6:20 de la mañana del lunes, el día del ataque, y que la presentó a las diez de esta mañana.

—Miró a Patxi—. Pero hay una cosa que no cuadra.

La notificación la ha presentado el hospital de Basurto, el de agudos, el que está en las noticias.

Y dice que la brecha afectó a datos de pacientes oncológicos.

Patxi la miró un momento, con las gafas bajadas.

—¿Y eso qué tiene de raro?

—Que el hospital de agudos no tiene la mayoría de los historiales oncológicos —dijo Irati—.

Los historiales oncológicos están en los centros de especialidades, en los hospitales de día, en los centros de salud de zona.

El hospital de agudos tiene las urgencias, los ingresos, los quirófanos.

—Hizo una pausa—. Si la brecha afectó a datos de pacientes oncológicos, la notificación tendría que haberla presentado el centro que tiene esos datos. No el hospital de agudos.

Patxi se quitó las gafas y las dejó sobre la mesa, con la notificación delante.

—¿Y quién la presentó de verdad?

—Eso es lo que he estado mirando —dijo Irati—.

He llamado a la Agencia Vasca de Protección de Datos, a la AVPD, y les he pedido la lista de notificaciones por incidente de la red de Osakidetza.

—Abrió la libreta—. Hay tres notificaciones.

La del hospital de Basurto, la que está en las noticias, la que todo el mundo va a ver.

Y otras dos que nadie va a ver, porque no han salido en ninguna parte: una de un centro de salud del interior, de un municipio del valle, y otra de una empresa de servicios informáticos, de Vitoria.

Patxi se quedó un momento en silencio.

—¿Y qué notifican esas dos?

—La del centro de salud del interior —dijo Irati, leyendo la libreta— notifica una brecha de datos de pacientes oncológicos, detectada el mismo lunes por la mañana, dentro del plazo de las setenta y dos horas.

La de la empresa informática notifica un acceso no autorizado a los sistemas de gestión de citas, detectado el mismo lunes.

—Cerró la libreta—. Las dos notificaciones son anteriores a la del hospital de Basurto.

Las dos se presentaron el martes por la mañana, antes de que nadie de la policía supiera nada.

Y las dos van antes que la del hospital de agudos, que es la que todo el mundo va a ver.

Patxi se recostó en la silla, con las gafas en la mano y la notificación delante.

—El que notifica primero —dijo— es el que sabe que va a tener que notificar.

El que está preparado. El que esperaba el incidente.

—Miró a Irati—. La organización se delata por la prisa.

Notifican antes de que la policía sepa nada, porque sabían que el incidente iba a ocurrir y tenían preparado el cauce.

Irati asintió.

—El centro de salud del interior —dijo— notificó una brecha de datos oncológicos el martes por la mañana.

—Hizo una pausa—. El mismo día en que Ane fue borrada de la red, hace tres semanas, el patrón de accesos anómalos era el de historiales oncológicos.

El mismo patrón que Ane detectó años atrás, y que nadie detuvo.

—Miró a Patxi—. La brecha de los oncológicos no empezó el lunes, Patxi.

Empezó hace años, a las tres de la madrugada, con una cuenta que nadie veía.

Y el centro que notificó el martes no estaba avisando de un incidente nuevo: estaba avisando de un incidente que llevaba años ocurriendo, y que alguien, por fin, había decidido notificar antes de que lo encontrara la policía.

Patxi se quedó un momento en silencio, con la notificación delante y la lluvia golpeando la ventana.

—¿Y quién decidió notificar? —preguntó.

—Eso es lo que quiero averiguar —dijo Irati—.

El centro de salud del interior, el del municipio del valle, es un centro pequeño, de zona.

Tiene un director médico, una gerente, un responsable de protección de datos.

—Hizo una pausa—. Y me gustaría saber quién de ellos notificó, y a quién le dijo que notificara.

Porque el que notificó, Patxi, sabía que el incidente llevaba años ocurriendo.

Y el que lo sabía, o es un responsable que ha decidido hablar, o es un cómplice que se ha asustado.

Patxi se recostó en la silla, con las gafas en la mano.

—¿Y qué vas a hacer?

—Voy a ir al centro de salud —dijo Irati—.

A hablar con la gente que notificó. —Se levantó—.

Y voy a mirar si la notificación de la brecha oncológica, la que nadie ve, tiene la misma firma que la manipulación de la bomba de infusión de Basurto.

—Hizo una pausa—. Porque si la tiene, Patxi, ya no estamos buscando a un hacker: estamos buscando a alguien que conoce el sistema por dentro, que sabe dónde están los datos oncológicos, que sabe cómo notificar una brecha sin que se note, y que sabe entrar en una bomba de infusión y cambiar una dosis sin que nadie lo vea.

Patxi la miró un momento, con los ojos cansados y la lluvia a sus espaldas.

—Cuida ese hilo, Irati —dijo—. Es el primero que nos lleva dentro de la organización.

—Lo sé —dijo Irati—. Por eso lo voy a seguir.

Salió del despacho con la libreta bajo el brazo, con las tres notificaciones en la cabeza y la certeza de que la letra pequeña, la del RGPD, la de los formularios y los plazos y las horas, acababa de hablar.

Y lo que había dicho, por fin, tenía nombre de persona.

Un responsable.

Un cómplice.

O un asustado.

En el valle.

En un centro de salud que nadie miraba.

A las cuatro de la tarde, Irati estaba en el centro de salud del valle, en la mesa del despacho de la gerente, con las tres notificaciones de la brecha sobre la mesa y la lluvia golpeando las ventanas del pueblo.

La gerente era una mujer de unos cincuenta años, con el pelo gris recogido y la bata del centro, que la había recibido con la desconfianza de las que saben que una inspectora de Homicidios no visita un centro de salud para hablar del tiempo.

A su lado, en la mesa, había un hombre más joven, con la corbata mal puesta y los papeles delante, que se presentó como el responsable de protección de datos del centro.

—La notificación —dijo Irati, señalando el documento que la gerente había confirmado como suyo—.

Dice que detectaron una brecha de datos de pacientes oncológicos el lunes por la mañana, y que la notificaron a la AVPD el martes por la mañana.

—Miró a los dos—. Quiero saber quién la detectó, y quién decidió notificarla.

La gerente y el responsable de protección de datos se miraron un momento, con esa mirada de los que no se han puesto de acuerdo sobre qué contar.

—La detectó el sistema de auditoría del centro —dijo el responsable, con una voz que sonaba como la de quien lleva semanas pensando en lo mismo—.

El lunes por la mañana, cuando todo el mundo estaba pendiente del cifrado, el sistema de auditoría del centro registró una alerta: una cuenta de administración que consultaba historiales oncológicos con una regularidad que no era humana.

—Hizo una pausa—. La alerta llevaba ahí tiempo, en el sistema, esperando a que alguien la mirara. Y nadie la había mirado.

Irati sintió el frío subirle por la nuca.

—¿Cuánto tiempo? —preguntó.

El responsable la miró un momento, con los papeles delante y la lluvia golpeando las ventanas.

—He tirado del hilo de la alerta —dijo—.

Se generó por primera vez hace años. Se generaba cada vez que la cuenta consultaba un historial de oncología a las tres de la madrugada.

Y se quedaba ahí, en el sistema de auditoría, sin que nadie la mirara, sin que nadie la leyera, sin que nadie la notificara.

—Hizo una pausa—. El sistema avisaba, inspectora.

Avisaba desde hace años. Y nadie escuchaba.

Irati se quedó un momento en silencio, con la frase girándole en la cabeza y la imagen de Ane Arrieta, escribiendo su informe, subiéndolo al sistema de auditoría, esperando que alguien lo leyera.

—El sistema avisaba —dijo, con una voz baja—. Y nadie escuchaba. —Miró al responsable—. ¿Y qué pasó el lunes? ¿Por qué la alerta se notificó entonces?

—Porque la miramos —dijo la gerente, con una voz que sonaba como la de quien ha tomado una decisión difícil—.

El lunes por la mañana, con el cifrado, revisamos el sistema de auditoría para comprobar el alcance del ataque.

Y encontramos la alerta. La que llevaba años ahí.

—Hizo una pausa—. No fue el sistema el que la notificó, inspectora.

Fue una persona. Fui yo. Y decidí notificarla porque ya estaba harta de que las alertas no se miraran.

Porque en este centro, como en todos, llevamos años viendo avisos en el sistema que nadie mira, y llega un momento en que uno se pregunta para qué sirven los avisos si nadie los lee.

Irati se quedó un momento en silencio, con la lluvia golpeando las ventanas y la confesión de la gerente flotando en el aire del despacho.

—¿Y quién más sabía de esa alerta? —preguntó—. ¿Alguien la había visto antes, en el centro?

La gerente negó con la cabeza.

—No la había visto nadie —dijo—. Las alertas del sistema de auditoría no se revisan, inspectora.

Se generan, se archivan, y se olvidan. Ese es el problema.

El sistema avisaba, pero el sistema avisaba a nadie: nadie estaba mirando las alertas del centro de salud del valle.

Nadie miraba los historiales oncológicos que se abrían a las tres de la madrugada.

Nadie miraba, porque en los centros pequeños, la gente mira lo que tiene delante, no lo que está en los agujeros del sistema.

—Hizo una pausa—. Y los que querían que nadie mirara lo sabían.

Irati se quedó un momento en silencio, con la frase girándole en la cabeza y la certeza, la que le subía desde el pecho, de que la gerente acababa de decir, sin saberlo, la misma frase que le había dicho el viejo de la taberna del puerto.

El que preguntaba, desaparecía.

El que miraba los agujeros, nadie lo veía.