Evaluación de seguridad y rediseño de arquitectura de un sistema oncológico orientado al cumplimiento de OWASP ASVS y normativas de protección de datos clínicos: caso SIGO

Abstract

El Sistema de Información y Gestión Oncológica (SIGO) procesa información de salud protegida (PHI) sin contar con una evaluación formal de seguridad, generando una brecha entre sus obligaciones regulatorias y su implementación técnica. Este trabajo ejecuta una auditoría de caja blanca sobre SIGO combinando análisis estático de código (SAST), análisis de composición de software (SCA) y modelado de amenazas STRIDE, contrastando los hallazgos contra un subconjunto trazable de controles OWASP ASVS v5.0.0 derivado de la legislación chilena (Leyes N.º 20.584, 19.628 y 21.258) y el estándar internacional HIPAA §164.312. El diagnóstico identifica 22 brechas de nivel Crítico distribuidas en ocho dominios de verificación. A partir de esta evidencia, se diseña una arquitectura de seguridad to-be basada en defensa en profundidad, cuya efectividad se demuestra mediante una matriz de trazabilidad que vincula cada brecha con su control técnico de mitigación y el requisito normativo satisfecho.