Plataformas de WiFi para hospitales: comparativa de incorporación de pacientes, filtrado de contenidos e aislamiento de VLAN

Las plataformas de WiFi para invitados del sector sanitario más sólidas ubican a los pacientes, a los visitantes y al personal contratado en VLAN independientes asignadas mediante RADIUS, y mantienen el IoT clínico totalmente fuera de la red de invitados. Aplican un filtrado DNS que bloquea las listas de la IWF y la CTIRU. Asimismo, registran a los pacientes de larga estancia una sola vez a pie de cama, mediante una clave personal que dura toda su admisión.

¿Qué enfoque de plataforma de WiFi para invitados del sector sanitario debería elegir?

El WiFi hospitalario presta servicio a cuatro poblaciones con perfiles de riesgo distintos: pacientes, visitantes, personal contratado y dispositivos clínicos. Una plataforma que los trate como un único grupo de «invitados» genera tres problemas. Aumenta la exposición en materia de protección de datos y salvaguardia, los sistemas clínicos quedan al alcance de terceros y el mostrador de planta se acaba convirtiendo en un servicio de soporte técnico de WiFi.

Para la mayoría de los recintos, la respuesta adecuada consiste en combinar modelos de acceso en lugar de elegir solo uno:

• Pacientes ingresados: obtienen acceso basado en la identidad con una clave personal, emitida una sola vez a pie de cama, que vuelve a conectar cada dispositivo durante toda la duración de la estancia.
• Visitantes y pacientes ambulatorios: utilizan un portal cautivo registrado (la página web que muestra un dispositivo antes de acceder a internet) con verificación por correo electrónico o SMS.
• Personal contratado: obtiene un acceso patrocinado y limitado en el tiempo que expira en la fecha de finalización del contrato.
• IoT clínico: no toca nunca la plataforma de invitados. Permanece en una red clínica independiente, autenticada con IEEE 802.1X o iPSK y segmentada tras un cortafuegos.

Purple ofrece las tres primeras opciones sobre los puntos de acceso que ya utiliza, como una superposición en la nube. Esta solución superpuesta funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Purple gestiona redes de invitados desde 2012 y se encuentra activa en más de 80 000 establecimientos de 90 países. La plataforma gestiona 500 millones de usuarios e inicios de sesión al año. Cuenta con las certificaciones ISO 27001, Cyber Essentials y B Corp, y cumple con GDPR y CCPA.

Si desea resolver primero la cuestión del hardware, lea Por qué su próxima actualización de WiFi no necesita hardware nuevo.

¿En qué se diferencian realmente las plataformas de WiFi para pacientes de hospitales?

Todas las plataformas afirman ofrecer un acceso de invitados seguro y filtrado. Las diferencias reales se observan en tres ejes. El primero es cómo se vuelve a conectar un paciente al quinto día. El segundo es cómo se separa el tráfico. El tercero es a qué identidad se vincula un evento de filtrado.

Modelo de acceso	Cómo se conecta un paciente o visitante	Reconexión durante una estancia de 7 días	Separación del tráfico	Eventos de filtrado atribuidos a	Uso idóneo
SSID abierta, portal cautivo con clic de aceptación	Acepta los términos en una página de bienvenida	Se le solicita de nuevo con cada expiración de sesión	Una VLAN compartida para invitados con aislamiento de clientes	Solo a la dirección MAC del dispositivo	Zonas de espera de pacientes ambulatorios, visitas breves
Captive Portal registrado (verificación por email o SMS)	Verifica un dato de contacto una sola vez	Se solicita cuando vence la sesión o el registro MAC	VLAN de invitados compartida con aislamiento de clientes	Email o número de teléfono móvil verificado	Visitantes, pacientes ambulatorios, espera de urgencias
Basado en identidad (iPSK o burbuja de red privada)	Escanea un código QR en la cabecera de la cama y recibe una clave personal	Sin solicitudes si la duración de la clave coincide con el ingreso	VLAN por identidad o burbuja privada asignada por RADIUS	Clave nominativa por paciente o cama	Pacientes ingresados, maternidad, plantas de larga estancia y rehabilitación
Passpoint o OpenRoaming	Se conecta automáticamente con un perfil aprovisionado	Sin solicitudes mientras el perfil sea válido	Directiva aplicada por el dominio del proveedor de identidad	Cuenta del proveedor de identidad	Personal y visitantes que ya disponen de un perfil

Algunas definiciones resultan útiles en este punto. iPSK (clave precompartida basada en identidad) proporciona a cada persona o dispositivo su propia contraseña de WiFi en un SSID compartido. RADIUS es el protocolo de autenticación que comprueba las credenciales y devuelve la directiva al punto de acceso. Passpoint (Hotspot 2.0) permite que un dispositivo se conecte automáticamente utilizando una credencial almacenada. OpenRoaming es la federación de la Wireless Broadband Alliance creada sobre Passpoint.

¿Cómo separan las plataformas de WiFi para invitados en hospitales el tráfico de pacientes, visitantes, contratistas e IoT clínico?

La separación se realiza en tres capas: el SSID, la VLAN y el cortafuegos. Una VLAN (LAN virtual, definida en IEEE 802.1Q) divide una red física en redes lógicas aisladas.

Asignación dinámica de VLAN. No necesita un SSID por cada colectivo. Cada SSID adicional consume tiempo de emisión de balizas (beacons), y fabricantes como Cisco y HPE Aruba recomiendan mantener un número bajo de ellos. En su lugar, RADIUS puede devolver una VLAN al iniciar sesión mediante los atributos de túnel estandarizados en RFC 3580. La clave de un paciente se asigna a la VLAN de pacientes y la credencial de un contratista a la VLAN de contratistas. Ambas conexiones se realizan a través del mismo SSID.

Aislamiento de clientes. Active el bloqueo punto a punto (peer-to-peer) en todas las VLAN de invitados. Esto impide que el portátil de un paciente acceda al teléfono de otro paciente. La burbuja de red privada de Purple va un paso más allá. Los dispositivos de un mismo paciente pueden comunicarse entre sí, permitiendo que una tablet envíe contenido a un teléfono, pero manteniendo un aislamiento total respecto a lo que esté fuera de esa burbuja.

Directiva de cortafuegos. Las VLAN de invitados solo deben tener acceso a internet y a ningún otro sitio. Deniegue todos los rangos de direcciones privadas RFC 1918 desde las VLAN de invitados y, a continuación, permita únicamente los servicios necesarios, como el entretenimiento para pacientes. Registre las reglas de denegación en los registros (logs). Esta es la prueba que solicitará un auditor en su evaluación del NHS Data Security and Protection Toolkit (DSPT).

Cifrado. Los SSID abiertos transmiten el tráfico sin cifrar por el aire. WPA3 Enhanced Open, basado en Opportunistic Wireless Encryption (RFC 8110), cifra cada sesión sin necesidad de contraseña. Los dispositivos de pacientes más antiguos no lo admiten, por lo que se recomienda ejecutarlo en modo de transición siempre que su hardware lo permita.

Colectivo	Red	Autenticación	Directiva de VLAN y cortafuegos	Duración de la credencial
Paciente ingresado	SSID para invitados	Burbuja de red privada o iPSK, emitida junto a la cama	VLAN para pacientes, solo internet, aislamiento de clientes	Duración del ingreso, revocada al dar el alta
Visitante o paciente ambulatorio	SSID para invitados	Portal cautivo registrado	VLAN para visitantes, solo internet, aislamiento de clientes	Un día de visita
Contratista	SSID para invitados	Solicitud patrocinada y aprobada por gestión de activos o TI	VLAN para contratistas, internet más endpoints de proveedores nombrados	Fecha de finalización del contrato
IoT clínico	SSID clínica, nunca para invitados	IEEE 802.1X con EAP-TLS, o iPSK para dispositivos sin interfaz gráfica	VLAN clínica tras cortafuegos, sin internet de forma predeterminada	Vida útil del activo, revocada al desmantelar
Empleados	SSID para empleados	IEEE 802.1X a través de Microsoft Entra ID, Okta o Google Workspace	VLAN para empleados según su rol	Relación laboral, revocada al dejar la empresa

IEEE 802.1X es el estándar de control de acceso basado en puertos utilizado para WiFi empresarial. EAP-TLS es el método basado en certificados dentro de él y es adecuado para dispositivos que pueden almacenar un certificado. Muchas bombas de infusión, monitores y unidades de llamada a enfermería no pueden hacerlo. iPSK proporciona a esos dispositivos sin interfaz gráfica una clave única, de modo que se puede revocar un solo dispositivo sin tener que volver a generar las claves de toda la planta.

Purple La WiFi para empleados aplica el modelo de incorporaciones, traslados y bajas al acceso del personal. Quienes causan baja y se deshabilitan en Microsoft Entra ID, Okta o Google Workspace pierden el acceso a la WiFi al mismo tiempo. Esto evita que la contraseña compartida del personal termine en el área de invitados de las instalaciones.

¿Qué políticas de filtrado DNS y protección se requieren en redes de invitados del NHS y de la sanidad privada?

No existe una norma única que enumere lo que debe bloquear una red de invitados del NHS. En la práctica, los trusts definen su política de filtrado a partir de cinco fuentes.

1. La lista de URL de la Internet Watch Foundation (IWF) sobre imágenes de abuso sexual infantil. Bloquéela en todas las VLAN para invitados, sin excepciones.
2. La lista CTIRU del Ministerio del Interior del Reino Unido sobre contenido terrorista ilegal. La definición de filtrado adecuado del UK Safer Internet Centre la toma como referencia.
3. El deber Prevent. Los trusts y foundation trusts del NHS son autoridades especificadas en virtud de la Ley de Antiterrorismo y Seguridad de 2015 del Reino Unido. La política de su WiFi para invitados debe demostrar cómo respalda dicho deber.
4. Friendly WiFi. Este esquema de acreditación del Reino Unido certifica que los filtros de la WiFi pública bloquean el contenido pornográfico y de abuso infantil. Muchos compradores del sector público lo exigen.
5. Su política de protección. Las plantas de pediatría, las unidades de salud mental y los servicios para adolescentes requieren un perfil más estricto que el atrio de pacientes ambulatorios adultos.

El filtrado DNS comprueba cada búsqueda de dominio con listas por categorías y bloquea la solicitud antes de que se abra una conexión. Es la capa práctica para redes de invitados porque no requiere ningún agente en los dispositivos de los pacientes. Una base sensata bloquea el contenido ilegal, el contenido para adultos, el malware y el phishing en todas las VLAN para invitados. A continuación, añada las categorías de juego, autolesión y fomento de trastornos alimentarios en las VLAN de pediatría y salud mental.

Dos puntos técnicos determinan si la política se mantiene:

• Forzar DNS. Redirija o bloquee el DNS saliente en el puerto 53 que no se dirija a su resolutor de filtrado.
• Gestione el DNS cifrado. El DNS sobre HTTPS (DoH, RFC 8484) puede eludir por completo un filtro. Bloquee los resolvedores públicos de DoH conocidos y el DNS sobre TLS en el puerto 853. Utilice el dominio canario que los navegadores comprueban antes de habilitar DoH de forma predeterminada.

En virtud del UK GDPR, los registros de filtrado son datos personales una vez que se vinculan a un paciente o visitante. Establezca un periodo de conservación corto, documéntelo en su Evaluación de Impacto de la Protección de Datos (EIPD) y restrinja quién puede consultarlo. El acceso basado en la identidad tiene una ventaja clara en este punto. Un responsable de protección de personas vulnerables puede vincular una alerta de solicitud bloqueada a una cama o clave, en lugar de a una dirección MAC aleatoria.

Los complementos de seguridad de Purple (SecurePass, Verify y Shield) se integran junto a la plataforma de WiFi para invitados. Especifique en su licitación las categorías de filtrado, las fuentes de listado y la conservación de registros que necesite. A continuación, pida a cada licitador que demuestre el funcionamiento de cada elemento, no solo que marque una casilla.

¿Cómo reducen las incidencias de soporte técnico en recepción los flujos de incorporación a la red a pie de cama para pacientes de larga estancia?

Las incidencias de WiFi en la recepción de las plantas de larga estancia suelen deberes a tres causas comunes.

• Caducidad de la sesión. Una sesión de acceso directo de 24 horas obliga a un paciente con una estancia de 10 días a pasar por el portal cautivo hasta 10 veces por dispositivo.
• Aleatorización MAC. iOS y Android utilizan una dirección MAC privada por red de forma predeterminada y algunas versiones la rotan. Una plataforma que reconoce los dispositivos habituales por la dirección MAC los olvida.
• Fallo del portal cautivo. Algunas aplicaciones y dispositivos más antiguos nunca muestran la página de bienvenida, por lo que el paciente ve "conectado, sin internet" y acude a una enfermera.

La incorporación a la red a pie de cama elimina los tres problemas. El paciente escanea un código QR en la tarjeta de la mesa de noche o en el folleto de bienvenida. Confirma las condiciones de uso aceptable una sola vez y recibe una clave o burbuja personal a la que se puede conectar cualquier dispositivo. La duración de la clave coincide con el ingreso y se revoca al dar el alta. No vuelve a aparecer ninguna página de bienvenida, por lo que la aleatorización de MAC y las aplicaciones incapaces de cargar portales dejan de ser un problema.

Detalles de diseño que reducen aún más las incidencias:

• Emisión por cama, no por nombre, si su delegado de protección de datos lo prefiere. Vuelva a emitir la clave al dar el alta mediante el flujo de trabajo de gestión de camas.
• Permitir un dispositivo familiar. Los cuidadores suelen configurar la tablet de un familiar mayor. Una clave que cubra cuatro o cinco dispositivos evita una segunda incidencia.
• Redactar la tarjeta para la planta. Utilice un lenguaje sencillo, traducciones a los idiomas principales de sus pacientes y un contraste que cumpla con WCAG 2.2 AA.
• Añadir una página de ayuda de autoservicio que se cargue en la VLAN para invitados sin autenticación, de modo que los pacientes puedan solucionar problemas comunes sin acudir a recepción.

¿Dónde encaja cada modelo de incorporación en la red dentro de un complejo hospitalario?

Los dos escenarios prácticos siguientes utilizan las hipótesis planteadas. Cada uno muestra los cálculos para que pueda volver a ejecutarlos con sus propios números de camas y duraciones de estancia.

Escenario práctico 1: un grupo hospitalario de agudos del NHS sustituye una red de acceso directo

Situación. Un consorcio hospitalario de agudos con 600 camas opera una red SSID de invitados abierta con una sesión mediante clic de 24 horas. Los pacientes, los visitantes, los contratistas y algunos dispositivos de planta antiguos comparten la misma red VLAN de invitados plana. Los supervisores de planta informan de que la WiFi supone una interrupción habitual en el control de enfermería.

Qué se hizo. El consorcio dividió la infraestructura en cuatro VLAN: pacientes, visitantes, contratistas y clínica. Los dispositivos clínicos se trasladaron a una SSID clínica independiente con iPSK y sin ruta a internet. Ahora, los pacientes ingresados se conectan desde la cama con una clave que dura todo el ingreso. Los visitantes utilizan un portal cautivo registrado durante un día de visita. El filtrado DNS bloquea las listas de la IWF y la CTIRU en todas las redes VLAN de invitados, con un perfil más estricto en las plantas de pediatría y salud mental.

Resultado medible. Tomemos como ejemplo una planta de 28 camas con una estancia media de seis días y dos dispositivos por paciente. La antigua sesión de 24 horas generaba hasta 12 avisos del portal por cama y estancia. Eso equivale a unos 336 avisos por planta y ciclo de estancia. Con la conexión a pie de cama, la cifra se reduce a dos: uno por dispositivo en el momento del ingreso. El consorcio mide este cambio mediante las incidencias del soporte técnico etiquetadas como "WiFi de paciente", comparadas trimestre a trimestre. También ha obtenido un registro de firewall que muestra cero tráfico de invitados a sistemas clínicos, lo que respalda su evidencia para la DSPT.

Escenario práctico 2: un hospital privado gestionado con estándares de hostelería

Situación. Un hospital privado de 120 camas plantea las estancias de forma similar a un hotel, con servicio de habitaciones, transmisión de contenidos de entretenimiento y recepción. Los pacientes esperan una WiFi que funcione igual que en una habitación de cuatro estrellas. Muchos teletrabajan durante la recuperación, cada uno con un portátil, un teléfono y una tableta.

Qué se hizo. El hospital utilizó la burbuja de red privada de Purple para que los dispositivos de cada paciente pudieran comunicarse entre sí, pero con nadie más. Un paciente puede enviar contenido a la pantalla de la habitación sin exponerla a la habitación adyacente. El registro solo recopila el nombre y el correo electrónico, con una opción de inclusión voluntaria explícita para recibir comunicaciones del hospital. Nunca recopila información de salud, la cual UK GDPR trata como datos de categoría especial. WiFi Analytics informa sobre los dispositivos conectados y el tiempo de permanencia por planta, no por individuo.

Resultado medible. Pensemos en un paciente que se queda cuatro noches con tres dispositivos en una sesión de 24 horas. Ese paciente tendría que responder a 12 avisos de reconexión. Con una clave válida para toda la estancia, solo responderá a tres. El hospital realiza el seguimiento de dos métricas: las solicitudes de WiFi en recepción por noche de cama ocupada y las puntuaciones de satisfacción del paciente respecto a la conectividad. También compara las tasas de inclusión voluntaria frente a su antiguo formulario de consentimiento en papel.

Esa misma lógica de hostelería se aplica en el trabajo de Purple con Hoteles. Muchos vestíbulos de hospitales incluyen ahora cafeterías y tiendas. Esa zona común funciona como el sector de Retail: el comprador necesita un acceso rápido y filtrado, y el portal cautivo registrado se adapta perfectamente.

¿Cuánto cuesta operar cada opción?

El precio de la licencia es solo una parte del coste. Los costes más elevados corresponden al tiempo del personal de planta, el esfuerzo de cambio de IT y los gastos generales de protección de datos.

Modelo de acceso	Cambio de hardware	Esfuerzo del personal de planta	Esfuerzo de TI	Carga de trabajo en protección de datos
Portal cautivo abierto de un solo clic	Ninguno en puntos de acceso compatibles	Alto: solicitudes repetidas en cada sesión	Bajo: una VLAN, una directiva	Pocos datos almacenados, pero vinculación débil de protección del usuario
Portal cautivo con registro	Ninguno en puntos de acceso compatibles	Medio: solicitudes al expirar y tras la rotación de MAC	Bajo: una o dos VLAN	Datos de contacto almacenados: EIPD, calendario de conservación, aviso de privacidad
Basado en identidad (iPSK o burbuja de red privada)	Ninguno donde los puntos de acceso admitan la asignación de iPSK o RADIUS VLAN	Bajo: una configuración por ingreso	Medio: VLAN por tipo de población y directiva de RADIUS	Clave vinculada a la cama o paciente: la EIPD cubre los registros de filtrado
Passpoint o OpenRoaming	Los puntos de acceso deben ser compatibles con Hotspot 2.0	Bajo una vez instalados los perfiles	Medio a alto: certificados, dominios (realms), distribución de perfiles	Identidad guardada por el proveedor: revisión de términos de intercambio de datos

Tres costes que resulta fácil pasar por alto:

• Dependencia del controlador. Si su portal cautivo y sus directivas se alojan en un controlador de red LAN inalámbrica local, cualquier cambio deberá esperar a una ventana de mantenimiento. Una solución superpuesta en la nube traslada esa directiva fuera del controlador. Consulte ¿Qué es un WLC (controlador de LAN inalámbrica) y sigue necesitando uno?.
• Caducidad de credenciales de contratistas. Las contraseñas compartidas de contratistas rara vez se cambian. El acceso patrocinado y limitado en el tiempo elimina el coste de buscar y revocarlas tras un incidente.
• Tickets por reconexión. Cada ticket cuesta unos minutos del tiempo del personal de enfermería que se restan a la atención al paciente. Multiplique las solicitudes calculadas en su modelo por su tasa de tickets para obtener una cifra concreta.

Purple ofrece una disponibilidad del 99,999 % para su plataforma (datos propios de Purple). Solicite a todos los licitadores su cifra de tiempo de actividad y el periodo que cubre, ya que el tiempo de inactividad en una planta se convierte en otro ticket más.

¿Cómo tomar una decisión para sus instalaciones?

Parta de sus tipos de usuarios y limitaciones, no de una lista de funciones.

Su situación	Enfoque recomendado
Centro de atención a agudos, estancias cortas y largas mixtas, red de invitados plana actualmente	iPSK en la cabecera del paciente para ingresados, portal cautivo registrado para visitantes, SSID clínica independiente
Servicios de salud mental, pediatría o adolescencia en las instalaciones	VLAN por planta con un perfil de filtrado DNS más estricto y alertas de protección de usuarios vinculadas a claves de cama
Hospital privado que ofrece una estancia con estándares hoteleros	Burbuja de red privada por paciente, confirmación expresa de opciones, sin datos de salud en el registro
Clínica ambulatoria u hospital comunitario, visitas de menos de cuatro horas	Portal cautivo registrado con una sesión de un día y filtrado básico
Gran volumen de contratistas durante un programa de reforma de instalaciones	VLAN patrocinada y limitada en el tiempo para contratistas que caduque en la fecha de finalización del contrato
Dispositivos médicos heredados incapaces de ejecutar 802.1X	iPSK por dispositivo en una VLAN clínica sin ruta a internet

A continuación, realice cinco comprobaciones antes de seleccionar a los candidatos finales:

1. Hardware. Confirme que sus puntos de acceso admiten la asignación de VLAN RADIUS y iPSK. Purple es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.
2. Filtrado. Solicite confirmación por escrito sobre la cobertura de las listas de la IWF y la CTIRU, la gestión de DoH y los perfiles por VLAN.
3. Protección de datos. Solicite los certificados ISO 27001 y Cyber Essentials, la residencia de datos y un borrador del acuerdo de tratamiento de datos.
4. Incorporación. Antes de firmar, observe el flujo desde la cabecera de la cama en un teléfono con MAC aleatoria y, a continuación, en una tableta Android antigua.
5. Informes. Compruebe que los informes analíticos ofrezcan datos a nivel de planta sin exponer a pacientes individuales.

La guía Requisitos de la RFP para WiFi para invitados: qué especificar en materia de incorporación, seguridad y analítica convierte estas comprobaciones en cláusulas de licitación. Para obtener contexto sobre el sector, consulte la página de Sanidad de Purple.

Preguntas frecuentes

¿Funciona Purple con los puntos de acceso que nuestro hospital ya tiene en propiedad?

Sí. Purple se ejecuta como una superposición en la nube sobre hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Mantendrá sus puntos de acceso, conmutadores y cableado actuales. Lo que debe comprobar es la compatibilidad con las funciones de sus modelos, principalmente la asignación de VLAN RADIUS y iPSK, ya que determinan si la incorporación basada en la identidad desde la cabecera de la cama funciona en todas las plantas. El equipo de Purple lo confirma comparándolo con el inventario de sus instalaciones durante la fase de definición del alcance.

¿Pueden los pacientes de larga estancia permanecer conectados durante toda su admisión sin tener que iniciar sesión de nuevo?

Sí, cuando se utiliza la incorporación basada en la identidad. El paciente escanea un código QR desde la cabecera de su cama una sola vez y recibe una clave personal. A partir de ese momento, cada dispositivo se vuelve a conectar automáticamente durante el tiempo que dure su estancia. Puede configurar el tiempo de vida de la clave para que coincida con el ingreso y revocarla en el momento del alta. Las direcciones MAC aleatorias y los temporizadores de sesión cortos ya no fuerzan solicitudes repetidas en el portal cautivo, que son la fuente principal de incidencias de WiFi en el mostrador de planta.

¿Cumple Purple los requisitos de protección de datos del Reino Unido para los trusts del NHS?

Sí. Purple cumple con el GDPR y cuenta con la certificación ISO 27001 y Cyber Essentials, lo que respalda su garantía de proveedor. Su trust sigue siendo el responsable del tratamiento de los datos, por lo que deberá completar una evaluación de impacto de la protección de datos y definir la retención de los registros de registro y filtrado. Nunca recopile información de salud durante el registro de WiFi. El UK GDPR la considera datos de categoría especial y el acceso a la red no la necesita.

¿Deben los dispositivos médicos clínicos conectarse a la red WiFi para invitados del hospital?

No. La IoT clínica debe ubicarse en una VLAN y SSID clínica independiente, detrás de un cortafuegos sin ruta a Internet por defecto. Utilice IEEE 802.1X con EAP-TLS para los dispositivos que puedan albergar un certificado. Utilice iPSK para los dispositivos sin interfaz ni pantalla que no puedan hacerlo, de modo que pueda revocar un solo dispositivo sin tener que volver a generar las claves de toda la planta. Las VLAN para invitados deben bloquear todo el tráfico hacia los rangos de direcciones privadas internas.

¿Qué filtrado de contenidos necesita una red WiFi para invitados del NHS?

Como mínimo, bloquee la lista de la Internet Watch Foundation y la lista de la CTIRU del Ministerio del Interior en cada red WiFi para invitadosVLAN. Añada contenido para adultos, malware y phishing como base de partida. Aplique perfiles más estrictos en las plantas de pediatría y salud mental. Fuerce el DNS a través de su resolvedor de filtrado y bloquee los resolvedores de DNS público sobre HTTPS; de lo contrario, los pacientes podrán omitir el filtro. Muchos compradores del sector público también exigen la acreditación Friendly WiFi.

¿Cómo se licencian los productos de Purple para el espacio patrimonial de un hospital?

Purple se licencia a través de tres planes: Connect, Capture y Engage. SecurePass, Verify y Shield están disponibles como complementos de seguridad. La mayoría de los organismos de salud (trusts) comienzan con el plan que cubre el acceso de pacientes y visitantes, y luego añaden funciones de seguridad para adaptarse a sus requisitos de identidad y protección de colectivos vulnerables. Póngase en contacto con Purple para obtener un presupuesto basado en sus centros, plantas y colectivos. Tenga a mano su inventario de puntos de acceso para que la evaluación de alcance sea precisa.

¿Cuánto esfuerzo requiere migrar desde una red de acceso directo mediante clic (click-through)?

La mayor parte del esfuerzo se dedica al diseño de la red, no a la instalación. No se necesitan nuevos puntos de acceso en el hardware compatible. Su equipo define las VLAN, escribe las reglas del cortafuegos entre ellas y establece la directiva de RADIUS para cada colectivo. También deberá preparar tarjetas para las mesillas de noche e informar al personal de planta. Realizar primero una prueba piloto en una planta le permitirá medir la reducción de incidencias antes de realizar el despliegue en todo el organismo.

¿Podemos utilizar el registro del WiFi para invitadosWiFi para las comunicaciones con los pacientes?

Sí, siempre que se utilicen autorizaciones de elección consciente y nada más. Solicite el consentimiento de forma independiente a las condiciones de uso aceptable, regístrelo con una marca de tiempo y haga que sea tan fácil retirarlo como otorgarlo. Recopile únicamente datos de contacto, nunca información clínica. Los datos propios capturados de este modo pueden alimentar las comunicaciones hospitalarias autorizadas, como los recordatorios de citas. Su aviso de privacidad y su evaluación de impacto de la protección de datos (DPIA) deben contemplar dicho uso.