El encargado de un pabellón lo aborda al final de un turno. Tres familiares en el mismo pasillo no pueden mantener una videollamada, la tableta de un paciente no deja de regresar a la página de inicio de sesión y alguien escribió "el WiFi no sirve" en el pizarrón. Los puntos de acceso están funcionando, el portal está activo y nada en el panel de control parece fallar.
Esa brecha entre estar conectado y que sea utilizable es donde se estancan la mayoría de los proyectos de WiFi para invitados en los hospitales. El plan de radiofrecuencia se aprobó antes de que alguien contara cuántas personas se sientan en consulta externa a las diez de la mañana. El método de inicio de sesión fue elegido por quien tenía la plantilla abierta. Y los consejos de seguridad que los visitantes necesitan, como si pueden realizar operaciones bancarias o unirse a una cita por video, nunca salieron del registro de riesgos ni llegaron a la pantalla de inicio.
Esas tres decisiones van de la mano. La señal, la identidad y las expectativas publicadas forman un solo diseño; no son una red con un deslinde de responsabilidad añadido al final. Así es como sugiero secuenciarlo, desde la inspección de radiofrecuencia hasta el pabellón piloto, junto con los aspectos que vale la pena plantear a un grupo de gobierno clínico antes de que el primer punto de acceso esté activo.
La línea de base nacional ya está establecida. Para finales de marzo de 2019, el programa NHS WiFi había implementado NHS WiFi gratuito en el 98 % de los trusts de la NHS y alcanzado a más de 8,000 centros de atención a pacientes, brindando acceso a conectividad gratuita a más de 63 millones de visitantes. El acceso para visitantes ya no es un proyecto secundario en una VLAN de repuesto. Forma parte de la infraestructura inmobiliaria.
Planifique la capacidad y los objetivos de radiofrecuencia antes de adquirir hardware
Tres números determinan si el servicio de WiFi para invitados de un hospital se mantiene en una sala concurrida: la señal primaria, la latencia y la carga del canal. La personalización del portal viene después, porque nada de eso importa si la asociación se interrumpe cuando el área se llena.
NHS England recomienda un RSSI primario de al menos -65 dBm en los entornos de NHS, y describe la latencia aceptable en aproximadamente 20 a 250 ms, señalando que ninguna de las dos cifras es definitiva y que ambas deben validarse con las aplicaciones en uso (orientación de NHS England sobre la evaluación de métricas de rendimiento de WiFi). Considere esto como un límite inferior más que como una especificación. Una lectura de -65 dBm junto a la cama prueba que el enlace se asociará; sin embargo, no dice nada sobre si cuarenta personas en la misma sala pueden sostener cada una una videollamada a las ocho de la noche.
Evalúe el edificio con el que realmente cuenta
Recorra cada piso con una herramienta de inspección antes de enviar la orden de compra. Tome nota de aquello que bloquea la señal: salas de radiología blindadas con plomo, divisiones de camas que se mueven durante las rondas médicas, núcleos de servicio de concreto y el pasillo del sótano donde los familiares esperan un taxi. Inspeccione también los accesos exteriores, porque ahí es donde la gente se ubica al ser dada de alta para solicitar un transporte.
La elección de la banda es una decisión de capacidad, no una preferencia. El NHS de Inglaterra identifica 2.4 GHz como la banda para invitados públicos y dispositivos heredados, que necesitan alcance más que rendimiento, y 5 GHz para capacidad dondequiera que los clientes y los puntos de acceso lo admitan. Bloquear la frecuencia de 2.4 GHz perjudica a los teléfonos más antiguos; ejecutar todo en 2.4 GHz entrega su tiempo de aire a quien tenga el radio más potente.
Planifique para las horas pico, no para el promedio. Una red medida a las 10:00 a. m. de un martes favorece cualquier diseño. La lectura que realmente importa es la que se toma a las siete de la noche en un horario de visitas.
A continuación, mida el impacto que los visitantes generan en la red: clientes concurrentes por punto de acceso, utilización del canal, pérdida de paquetes, respuesta de DHCP y DNS, y la velocidad a la que se completa la autenticación. Realice pruebas de carga con video y mensajería en lugar de un ping, y repita el ejercicio después de cada traslado de sala o cambio en el edificio, ya que un nuevo equipo o un área reorganizada rediseñan el mapa de cobertura.
| Métrica | Objetivo | Notas |
|---|---|---|
| Señal primaria (RSSI) | -65 dBm o más fuerte | Objetivo de NHS England en todas las áreas de atención al paciente |
| Latencia | Aproximadamente de 20 a 250 ms | Validar con videollamadas y mensajería |
| Banda para dispositivos públicos y heredados | 2.4 GHz | Mayor alcance, menor capacidad |
| Banda para capacidad | 5 GHz | Usar donde los clientes y puntos de acceso lo admitan |
| Clientes concurrentes en hora pico | Conteo por punto de acceso durante una hora de visita activa, luego diseñar por encima de ese número | Sus números de visitantes, no una cifra del proveedor |
| Utilización del canal | Investigar cualquier lectura alta sostenida tomada durante las horas de visita | Las lecturas en períodos de poca actividad ocultan la saturación |
| Pérdida de paquetes | Establezca su propio umbral durante las pruebas de carga | Vuelva a probar en horas pico, no durante la noche |
Cada cifra de esa tabla es algo que se debe volver a medir, no algo que se aprueba una sola vez. Si está creando el plan de pruebas desde cero, una guía sobre el estudio de RF y la planificación de canales cubre la mecánica del estudio con más profundidad.
Elija el método de inicio de sesión adecuado para cada área
El dilema que toma por sorpresa a los equipos no es el cifrado ni el costo. Es cuántos visitantes nunca terminan el inicio de sesión.
Una contraseña compartida en un letrero laminado parece una solución económica hasta que ve a una fila de familiares escribiéndola con un solo pulgar en una pantalla rota. No ofrece identidad por usuario ni cifrado por dispositivo, por lo que su lugar está en un evento de un solo día y no en una sala de hospitalización donde alguien podría permanecer conectado durante seis horas.
El registro por correo electrónico a través de un portal cautivo es el modelo que la mayoría de los Fideicomisos eligió. Queen Victoria Hospital NHS Foundation Trust instaló WiFi gratuito en las salas, áreas de espera de pacientes ambulatorios, su cafetería y restaurante en noviembre de 2014, donde los usuarios registraban una dirección de correo electrónico a cambio de una contraseña, y la transmisión de video y descargas de música se restringieron para proteger la capacidad de todos los demás (NHS blog de transformación de Inglaterra sobre la conexión de pacientes a servicios digitales). Identidad, términos y control de ancho de banda en un solo flujo. La tecnología ha avanzado; el patrón no.
| Método | Esfuerzo de configuración | Cifrado | Identidad del visitante | Mejor caso de uso |
|---|---|---|---|---|
| Red abierta con página de términos | Bajo | Ninguno | Ninguna más allá de la aceptación | Áreas de espera con necesidades mínimas de datos |
| Contraseña compartida en señalización | Bajo | Solo clave compartida | Ninguna por usuario | Eventos cortos, no salas de hospitalización |
| Portal cautivo con correo electrónico | Medio | Abierto a menos que se aplique WPA2/WPA3 | Correo electrónico capturado con consentimiento | Acceso general para visitantes |
| Passpoint (Hotspot 2.0) | Alto | WPA2/3-Enterprise | Cuenta o perfil | Visitantes recurrentes y dispositivos emitidos por el personal |
| Aplicación o cuenta con marca propia | Medio | Establece el nivel de protección de la red sobre la que opera | Cuenta | Visitantes que regresan con frecuencia |
Dónde falla el portal y quién se hace cargo
Algunos dispositivos no pueden completar un portal cautivo en absoluto. Los teléfonos Android más antiguos, las computadoras portátiles de trabajo bloqueadas y los lectores electrónicos se quedarán en la página de inicio sin resolverlo nunca, y ninguna optimización del portal solucionará un navegador que se niega a abrirse. Se trata de un asunto tanto de personal como técnico. Alguien en la sala necesita una vía para registrar un dispositivo, y el mensaje de error necesita un número telefónico de la sala en lugar de un código de error genérico.
Passpoint se gana su lugar donde regresan las mismas personas. Tras una instalación de perfil por única vez, el dispositivo se conecta automáticamente con protección de nivel empresarial, lo cual es ideal para pacientes ambulatorios recurrentes y tabletas asignadas al personal. Requiere puntos de acceso y una ruta de aprovisionamiento que lo admitan, y no sustituye al teléfono que no puede recibir un perfil.
Cualquiera que sea el método que elija, publique los límites en un lugar donde los visitantes puedan leerlos. Nottinghamshire Healthcare informa a los visitantes que es posible que el NHS WiFi no esté disponible en todas las áreas y que no sea adecuado para la transmisión de TV ni para llamadas telefónicas o de video (Página de WiFi gratuito de Nottinghamshire Healthcare). Esa es la versión honesta, y supera a una página de inicio que promete una experiencia de cine.
Cualquier captura de correo electrónico o de cuenta requiere un paso claro de consentimiento conforme al UK GDPR, y los datos deben conservarse únicamente para el fin indicado en el momento de la recopilación. Las páginas de inicio de sesión con texto grande y compatibles con lectores de pantalla importan más aquí que en cualquier red comercial. La estructura de la página de inicio y los flujos de consentimiento se abordan con más detalle en esta guía de diseño de portales cautivos.
Cómo separar el tráfico de invitados de los sistemas clínicos
Trate el acceso de invitados como un servicio de internet no confiable que casualmente opera en su edificio. La guía de configuración de NHS England requiere políticas locales documentadas sobre filtrado de contenido, uso aceptable, reglas para el uso de dispositivos propios (BYOD) y monitoreo de capacidad, además de una política de uso aceptable y el bloqueo de contenido ilegal o inapropiado. Los controles de red son lo primero, porque un documento de política no impide que un teléfono comprometido escanee una subred de radiología.
- Coloque a los invitados en su propia SSID, VLAN y zona de firewall. Un dispositivo de visitante comprometido debe terminar en un callejón sin salida, sin ruta hacia ninguna parte de interés. El error común es compartir una VLAN de invitados con una sala de reuniones o con el sistema de recepción porque era más rápido de configurar en el momento.
- Deniegue el acceso lateral a las subredes clínicas, biomédicas, de gestión y de impresoras. Sin excepciones por motivos de conveniencia. La grieta habitual en la pared es conceder acceso a la impresora para que el personal pueda imprimir desde sus teléfonos personales, lo que abre una vía hacia un servidor de impresión situado dentro del rango de gestión.
- Permita únicamente los servicios salientes que los invitados necesiten. Normalmente, esto significa tráfico web más DNS, gestionando los requisitos de VPN y de las aplicaciones modernas de forma deliberada en lugar de darlo por sentado. Una regla general que permita todo el tráfico saliente convierte la VLAN de sus invitados en la plataforma de ataque de alguien más.
- Filtre, limite la velocidad, aísle y establezca expiración. Filtrado de DNS y contenido, límites de velocidad por cliente, aislamiento de clientes para que los visitantes no puedan verse entre sí y una expiración de sesión configurada para coincidir con su propia política de gobernanza en lugar de tomar prestada la configuración de otro fideicomiso. La guía sobre la configuración de NHS WiFi exige que el aislamiento se demuestre mediante pruebas de penetración autenticadas y no autenticadas, así que incorpore esa prueba al diseño en lugar de adaptarla a posteriori tras una queja.
- Registre la autenticación, DHCP, NAT y los eventos de seguridad bajo una política escrita de retención y acceso que pueda presentar cuando se le solicite. Registrar eventos sin una regla de retención documentada es una responsabilidad disfrazada de evidencia.
- Pruebe las reglas de zona antes de que la página de inicio de sesión se haga pública. Cualquier ruta de invitado a clínica que responda es una solución que debe realizarse el mismo día, no un elemento pendiente en la lista de tareas.
Los visitantes toman mejores decisiones cuando se les dice la verdad. Algunos avisos de confianza advierten claramente que el tráfico de invitados puede ser interceptado por otro usuario inalámbrico y no genera ninguna expectativa de privacidad. Ésa es exactamente la frase que una contraseña compartida le permite evitar escribir, y es exactamente la frase que los visitantes necesitan leer.
Una clave compartida cifra el tráfico, pero no proporciona identidad por usuario: todas las personas que conocen la frase de contraseña son indistinguibles de las demás que la conocen, lo que hace que la advertencia anterior sea honesta en lugar de alarmista. Si el diseño asume que los visitantes utilizarán HTTPS con dispositivos actualizados y su propia protección de endpoints, indíquelo en los términos que acepten, y mida la finalización en el portal, los contactos de soporte, los eventos de políticas bloqueadas y los resultados de las pruebas de aislamiento como los indicadores operativos pertinentes. Para la arquitectura integral, esta guía de seguridad empresarialWiFi aborda patrones de segmentación y control de acceso.
Lo que los visitantes pueden hacer de forma segura en el WiFi para invitados
Esta es la pregunta que se hacen los pacientes y los cuidadores, y que la mayoría de las páginas de los hospitales no responden: ¿puedo realizar transacciones bancarias, unirme a una cita por video o abrir archivos de trabajo en esta red?
Que sea gratuito no significa que sea seguro, y los avisos de confianza lo demuestran. Algunos describen el NHS WiFi como una red pública compartida y aconsejan precaución con la información personal o confidencial, mientras que otros describen el acceso como algo tan sencillo como seleccionar la red y aceptar los términos (Página de entretenimiento y WiFi del King's College Hospital). Esos son dos mensajes diferentes sobre el mismo tipo de servicio, y los visitantes reciben el que su fideicomiso haya decidido publicar. Escriba el suyo durante la fase de diseño, junto con la SSID y el método de inicio de sesión, en lugar de hacerlo después del lanzamiento.
Lo que está en juego va más allá de la conveniencia. La falta de un servicio de WiFi confiable es una de las barreras que deja a algunas personas con menos posibilidades de utilizar los servicios de salud digitales. Una red para invitados que funciona para navegar, pero no para iniciar sesión en una aplicación de NHS, deja sin opciones a las personas que más dependen de ella.
| Tarea | Dictamen de WiFiWiFi para invitados | Usar en su lugar |
|---|---|---|
| Navegación ordinaria, noticias y mapas a través de HTTPS | Razonable | WiFi para invitados WiFi |
| Mensajería con familiares a través de HTTPS | Razonable, evite detalles confidenciales | WiFi para invitados WiFi |
| Banca en línea | Evitar | Datos móviles |
| Inicio de sesión en la aplicación NHS con datos personales de salud | Evitar | Datos móviles |
| Consulta por video | Evitar | Datos móviles |
| Sistemas y archivos de trabajo | Evitar | Acceso asistido por el personal |
Lo que cambia la respuesta es el cifrado, y el nombre de la red no les dice nada a los visitantes al respecto. HTTPS protege el contenido de la página, pero en una red abierta o de clave compartida la metainformación de la conexión sigue siendo visible y la intercepción es posible, razón por la cual los avisos de confianza varían tanto en su tono. Una red basada en claves por dispositivo cambia ese panorama. Sin embargo, una red abierta no lo hace, por muy tranquilizadora que se vea la página de bienvenida. Por lo tanto, la respuesta honesta a "qué puedo hacer aquí de forma segura" queda fijada por una decisión de diseño tomada antes de que se conecte el primer visitante. Si su arquitectura solo admite la navegación segura mediante HTTPS, publique esa respuesta con claridad y señale las alternativas al mismo tiempo.
La regla que vale la pena imprimir en la página de inicio de sesión: si la información le perjudicaría en la pantalla de un desconocido, no la envíe a través del WiFi para invitados.
En su lugar, ofrezca a las personas una alternativa. Los datos móviles cubren bancas en línea, inicios de sesión en aplicaciones de salud y videoconsultas. Una VPN personal ayuda en algunos sistemas corporativos y desconfigura otros, por lo que debe explicar sus límites en lugar de recomendarla de manera categórica. Contar con un miembro del personal que pueda ayudar en una computadora del pabellón y un número telefónico para quienes no tengan un dispositivo adecuado cierra la brecha para los visitantes que no pueden autogestionarse.
Pruebe, monitoree y responda cuando el WiFi para invitados falle
Antes del lanzamiento, realice pruebas de aislamiento desde dos puntos de partida: una sesión de invitado autenticada y una no autenticada. Desde cada una, intente acceder a las subredes clínica, biomédica, administrativa y de impresoras. Cualquier acceso exitoso debe corregirse el mismo día, ya que el modo de falla que está probando es una regla que se redactó pero nunca se aplicó.
Después del lanzamiento, cinco señales operativas le indicarán si el diseño está funcionando. Los contactos con el equipo de soporte son lo más importante y, por lo general, detectan una falla antes de que lo haga el monitoreo, especialmente en las dos semanas posteriores al traslado de un pabellón o a una modificación en el edificio. Vincule cada métrica con un activador para que las alertas incluyan una instrucción en lugar de solo una gráfica.
| Métrica | Por qué es importante | Detonante de revisión |
|---|---|---|
| Tasa de finalización del portal | Muestra si los visitantes realmente pueden conectarse | Caída sostenida durante el horario de visita |
| Duración de la sesión | Confirma que la configuración de expiración funciona según lo diseñado | Sesiones más largas de lo que permite la política |
| Eventos de políticas bloqueadas | Muestra que el filtrado está afectando al tráfico real | Pico repentino en un área |
| Fallas en la prueba de aislamiento | Confirma que los invitados no pueden acceder a las subredes clínicas | Cualquier falla, el mismo día |
| Contactos de soporte | Revela fallas ocultas de forma temprana | Un aumento tras un cambio en la sala o el edificio |
Defina la secuencia de incidentes antes de que la necesite
Escriba quién puede revocar las sesiones de invitados, quién puede aislar el SSID para invitados, cómo se gestiona el dispositivo infectado de un visitante y quién registra el evento según la política de retención. Cuatro nombres en una página superan cualquier debate a las siete de la tarde. Le sugiero practicar la secuencia una vez con los equipos de control de infecciones y administración inmobiliaria, porque una falla en el WiFi para invitados durante el horario de visita también es un problema de comunicación con el paciente, y los familiares en el pasillo necesitan un mensaje tanto como el equipo de red.
El control de cambios es donde las redes para invitados se deterioran. El reemplazo de un switch, un nuevo conjunto de reglas de firewall o el recableado de una sala pueden volver a abrir una ruta que se cerró al momento del lanzamiento, y nadie se da cuenta hasta que se ejecuta nuevamente una prueba de aislamiento. Agregue el aislamiento de invitados a la lista de verificación estándar posterior a los cambios en lugar de depender de la revisión anual.
El monitoreo justifica su inversión cuando un número creciente de llamadas de soporte se trata como un incidente y no como ruido de fondo.
Observe también el tipo de quejas. Un flujo constante de quejas sobre un pasillo es un problema de cobertura. Un aumento repentino en los inicios de sesión en todo un sitio suele ser un problema de autenticación o DNS. Un conjunto de quejas de una sola área después de la llegada de equipo nuevo no es ninguno de los dos casos, y la solución corresponde al departamento de instalaciones en lugar de al controlador inalámbrico.
Realice una prueba piloto antes del lanzamiento completo
Una sala, una semana de visitas y un resultado por escrito de aprobado o reprobado para cada decisión tomada anteriormente. Ese es el criterio que establecería antes de un despliegue en todo el edificio, porque una prueba piloto cuesta una fracción de lo que cuesta un mal lanzamiento y genera evidencia sobre la cual un comité directivo puede actuar.
Comience con la radio. Mida la señal primaria en una habitación de paciente, una sala de espera y una zona exterior durante una hora de visita real, y confirme que el objetivo de -65 dBm se mantenga en lugar de asumir que el estudio fue representativo. Luego, realice el proceso de inicio de sesión de principio a fin en tres dispositivos: un teléfono inteligente actual, un teléfono más antiguo que quizás nunca complete un portal y una computadora portátil. Registre cuánto tiempo toma cada uno y dónde abandona el proceso un usuario, porque esos abandonos representan su caso de contingencia para el personal.
A continuación vienen las pruebas de aislamiento, desde sesiones autenticadas y no autenticadas, sin aceptar cero fallas. Confirme que el aviso de uso seguro en lenguaje sencillo sea visible en la página de inicio de sesión antes de que cualquiera se autentique, y que las políticas de uso aceptable, de uso de dispositivos propios y de retención de datos estén firmadas y no en borrador. Establezca los activadores de revisión desde su tabla de monitoreo y asigne un responsable a cada uno.
Si el acceso del personal y el de los invitados se superponen en las mismas instalaciones, este es el momento de seleccionar proveedores, en lugar de hacerlo después de que llegue el hardware. Purple ejecuta el WiFi para invitados, la seguridad del 802.1X del personal y las redes de área privada en una sola plataforma en la nube, con métodos de conexión para invitados que abarcan portal cautivo, Passpoint y una aplicación, mientras que la autenticación del personal funciona con Entra ID, Google y Okta. Compare esto con su configuración existente de controlador e identidad, y luego programe el piloto en una sala antes de comprometerse con algo más grande.
Una prueba piloto que aprueba en señal, aislamiento, finalización de inicio de sesión y expectativas publicadas le brinda algo que rara vez tiene un caso de negocio: una semana de tráfico real de visitantes que respalda la decisión. Amplíe a la siguiente sala solo cuando se aprueben los cuatro puntos.
Purple ofrece a los hospitales una forma de gestionar el acceso de invitados que los visitantes puedan completar, con un portal cautivo personalizado con su marca, soporte de Passpoint y consentimiento por visitante integrados en la misma plataforma que gestiona la autenticación del personal, de modo que la señal, la identidad y las advertencias publicadas se planifiquen juntas en lugar de añadirse tras el lanzamiento. Si está evaluando un proyecto piloto en una sala o reemplazando una contraseña compartida que ha dejado de ser útil, visite Purple para ver cómo se adaptan las redes de invitados y del personal a los puntos de acceso que ya posee.
