Losnrauatgcasu u eeaieancdoallndsidnip dea eeiuntsvB daepasar s só r lincu oiini cad,enncpou nbeae soe le di nd malapnsdesrveabieb uscsreeas l ceeaani l eatso: af eióaa nL afutissi leghuoera eeaeconocsedr sar nlsrmi e ln msaldiasecu isp manuladaíadlulfrte nengScasisseua ne iap eqea oooes eee qñelnnq.eisoi létdnp í anrua rCzam ssis(e evo cspzelae nn aeetdnimm optlomde daa nntocds irednpsrri dóraemcLi q br eoómaaomr eaa buaelnord sos uu u—vdladide r árgudasdebaipsu iirsenic ndoa riderqn eere aaoedinaoesh ea ttdaav pqonucofesl lciIureqennnyoe eaedpvbeeren)Piu D en laua btew .v geslssl sedámít tíufrbate dor hotia leuept eg oi, —ccemi Tc srdr oaeeese sqotpA nisesobdjtbasf el ,eei lacitut gcl hapaca. oaftt óvtaeio tstsr se d tosEfoaddcs nó imzsaeeti eoal oam zee,.ve cl elcuzrer uórltcs bsusuhrecud telíd ct dipepsie ucoys íenaagddyeinialims ayiratóttnroi o aeuve neolpnrguárendalesrccb dae scluaEeacoa e dlFeaddoedcinaoaeeo naludef u u d ptds tá dóqs iñenp r ennorreLnhei ilapocaoirvramlv erallSecanspmeiusy elyioaslt rlclnestoó leesat ia aesu equae in nor,la lo eaeaoeemee alancas niPracsohlfi ssdlluocaeeu c usaíodpe qeqsalae aariau a lt e ifs, ,fsbacoaaeeag& e lrinr rsenttdaae eoeuótilnao ee t dr nuecan eiha.
Estados indefinidos que alteran la lógica de los interbloqueos
La mayoría de las secuencias de enclavamiento se diseñan en función de la trayectoria prevista: se cierra una puerta, se restablece la presión y se abre la segunda puerta. Lo que provoca fallos en los sistemas en la práctica es el vacío entre secuencias: los estados que se producen cuando se interrumpe un ciclo, se deja un objeto en el interior o un operario se detiene a mitad del recorrido de una forma que la lógica de control no está preparada para gestionar.
El riesgo de contención es específico. Cuando se abre una puerta de paso o de esclusa sin haber comprobado previamente las condiciones de presión, la caída de presión resultante puede invertir la dirección prevista de la cascada. Según las directrices de bioseguridad en laboratorios de la OMS, si un enclavamiento no funciona correctamente, una caída rápida de la presión puede producir una sobrepresión que arrastre la contaminación desde las zonas de menor nivel hacia las de mayor nivel. Ese patrón no es una catástrofe excepcional; es la consecuencia previsible de la apertura simultánea o prematura de una puerta en una instalación que depende de la presión diferencial para la contención. El fallo de diseño no radica en la física de la presión, sino en la ausencia de una lógica que impida, en primer lugar, entrar en ese estado problemático.
La implicación práctica es que la lógica de control debe enumerar los estados alcanzables antes de que comience la programación. Un paso con material en su interior y ambas puertas atascadas en posición abierta es un estado. Una ducha interrumpida a mitad de ciclo sin que se haya confirmado el cierre de la puerta de entrada es un estado. Una esclusa en la que el diferencial de presión del lado de la sala no se ha recuperado hasta el punto de consigna tras un ciclo de la puerta es un estado. Cada uno de estos casos requiere una respuesta definida del sistema: retención, alarma, impedir la apertura de la siguiente puerta, exigir una recuperación manual o alguna combinación de estas medidas. El error consiste en tratarlos como situaciones residuales indefinidas que deben gestionarse mediante procedimientos operativos en lugar de mediante la lógica. La contención dependiente de procedimientos es difícil de validar y rara vez resulta fiable bajo presión de tiempo o durante el relevo de turno.
Las directrices técnicas para el diseño de laboratorios de alta contención señalan sistemáticamente que las aperturas de puertas no simuladas previamente constituyen una causa directa de la inestabilidad en las relaciones de presión. La implicación para la revisión del diseño es enumerar explícitamente los estados anómalos que pueden producirse durante la secuencia y analizar cada uno de ellos a través de la lógica de enclavamiento antes de que se emitan los planos para su fabricación.
Registros de anulación de límites y pasos para la recuperación
Las anulaciones de emergencia suponen un auténtico dilema. Su justificación operativa es real: un miembro del personal necesita salir inmediatamente, una puerta atascada no puede esperar a que se recupere la presión, un fallo en un sensor ha bloqueado la secuencia. El riesgo de contención es igualmente real: una anulación que libere una puerta sin verificar la presión o el estado de descontaminación puede anular la función de enclavamiento de la que depende toda la cascada.
El patrón de fallo que con mayor probabilidad genera un riesgo de auditoría no es la anulación en sí misma, sino la ausencia de límites, registros y requisitos de recuperación en torno a ella. Una anulación que elude el desbloqueo de una puerta sin registrar la fecha y la hora del evento, sin activar la alarma del sistema de gestión de edificios (BAS) y sin exigir un paso de recuperación documentado antes de que se reanude el modo normal es, desde el punto de vista operativo, indistinguible de un fallo lógico —salvo que un fallo lógico aparecerá durante la puesta en servicio, mientras que una anulación no registrada aparecerá en la investigación de un incidente—.
La dependencia excesiva de los controles manuales, sin una integración con el sistema de control automático de edificios (BAS) que registre los eventos y active alarmas en caso de anulación, es un patrón de diseño que elimina el registro de auditoría necesario para reconstruir una fuga de contención. La norma ISO 35001:2019 respalda el principio de que la gestión de riesgos biológicos requiere una supervisión documentada y la capacidad de revisar los eventos; dicho principio se aplica directamente a la gestión de las anulaciones, aunque la norma no especifique el hardware de enclavamiento ni las estructuras lógicas de anulación.
| Elemento del sistema | Riesgo en caso de omisión | Qué confirmar |
|---|---|---|
| Integración de sistemas de control automatizados (BAS) | Las modificaciones manuales no registradas pueden socavar la contención si no se puede rastrear su origen. | Que las acciones de anulación se registren y se notifiquen automáticamente mediante alarmas |
| Alarmas | Es posible que los operadores no se den cuenta de las pérdidas de presión, los fallos en las puertas o los incumplimientos del tiempo de retención. | Esos enclavamientos críticos activan tanto las alarmas locales como las del sistema de gestión de edificios (BAS) |
| Registro de datos | No existe un registro de auditoría que permita revisar los eventos de anulación o la secuencia de fallos | Que todos los eventos de anulación lleven una marca de tiempo y se conserven para la revisión de incidencias |
Los tres elementos de esa tabla se refuerzan mutuamente. El registro automatizado sin alarmas implica que una anulación puede pasar desapercibida en tiempo real. Las alarmas sin retención de datos implican que no se puede revisar la secuencia de eventos tras un incidente. Ninguno de ellos aborda el problema de fondo: una anulación que vuelve al modo normal sin verificar que el sistema haya regresado realmente a un estado seguro. Esa última condición —la verificación de la recuperación— es donde la mayoría de los diseños de anulación presentan carencias.
Restablecer las reglas vinculadas al estado seguro del sistema
La lógica de reinicio de alarmas es un punto en el que la presión operativa y la integridad de la contención tiran en direcciones opuestas. Los operadores y supervisores desean desactivar las alarmas rápidamente y reanudar el flujo de trabajo. El requisito de contención establece que el reinicio no debe estar disponible hasta que el sistema haya alcanzado un estado seguro verificado, y no simplemente hasta que la condición que ha activado la alarma haya desaparecido.
Esta distinción es importante porque la desaparición de una anomalía y el restablecimiento de un estado seguro no son el mismo suceso. Una alarma de presión que desaparece porque se ha cerrado una puerta a la fuerza de forma manual no confirma que la cascada se haya recuperado. Una alarma de fallo de ducha que desaparece porque ha expirado el temporizador del ciclo no confirma que se haya completado la descontaminación. Permitir el reinicio al desaparecer la alarma, en lugar de verificar el estado seguro, convierte el paso de reconocimiento de la alarma en una brecha latente en la contención.
La implicación en el diseño es que las condiciones de restablecimiento deben especificarse como una lista de comprobación positiva, y no como la ausencia de alarmas activas. En el caso de un enclavamiento dependiente de la presión, el estado seguro suele requerir que se confirme que todas las puertas están cerradas y bloqueadas, que la presión diferencial se encuentre dentro del rango de consigna y que no haya fallos activos en los sensores; cada uno de estos requisitos debe verificarse mediante entradas independientes, y no deducirse de la ausencia de la alarma anterior. En el caso de una ducha, el estado seguro requiere que se confirme la finalización del ciclo mediante una variable de proceso (caudal o concentración, no solo un temporizador), y no simplemente que se haya reconocido la alarma.
Esto también influye en la estructura de la validación. Una OQ que solo compruebe secuencias en modo normal sin verificar el comportamiento de reinicio en condiciones de fallo deja la lógica de reinicio sin calificar. La definición de «estado seguro» utilizada en la lógica de enclavamiento debe documentarse en el URS e integrarse en los guiones de prueba de FAT y SAT, de modo que las condiciones de reinicio se comprueben explícitamente en lugar de darse por supuestas correctas.
Evite considerar que cualquier lógica de restablecimiento específica sea de aplicación universal. La definición correcta del estado de seguridad depende de los resultados de las pruebas de estanqueidad de la cascada de presión de la central, del agente y del método de descontaminación utilizados, así como de la evaluación de riesgos de la zona de contención. Lo que debe mantenerse constante es el principio: el restablecimiento debe requerir una verificación positiva de cada parámetro crítico para la seguridad, y no solo la ausencia de la avería que activó la alarma.
Lógica diferente para las cabinas de paso, las duchas y las esclusas de aire
Aplicar la misma filosofía de enclavamiento a las cabinas de paso, las duchas y las esclusas es un error recurrente en el diseño de instalaciones de alta contención, y genera una vulnerabilidad diferente en cada tipo de dispositivo. Estos tres dispositivos cumplen funciones de protección distintas, y su lógica de enclavamiento debe reflejar esas diferencias, en lugar de derivarse de una única plantilla de enclavamiento.
El riesgo de confundir estas lógicas no es hipotético. Un enclavamiento de caja de paso que adopte la lógica de una ducha puede imponer tiempos de retención que no guarden relación alguna con la protección del material. Un enclavamiento de ducha adaptado a partir de la lógica de secuenciación de puertas de una esclusa puede permitir la apertura de la puerta basándose únicamente en la recuperación de la presión, sin verificar que se haya completado la descontaminación. Cada desajuste deja al dispositivo vulnerable al modo de fallo específico que se pretendía evitar con su diseño.
Las directrices de diseño de alta contención distinguen entre la lógica de presión de entrada y de salida: las vías de entrada utilizan una presión ligeramente positiva para proteger la limpieza, mientras que las vías de salida y descontaminación utilizan presión negativa para evitar la fuga de patógenos hacia zonas no controladas. Una figura de diseño a la que se hace referencia en las configuraciones de contención del Patrón C establece la presión negativa de las vías de salida en menos de -15 Pa como criterio de planificación, no como un umbral obligatorio de forma universal, pero el principio direccional se aplica de manera general: las vías de salida y descontaminación deben configurarse para contener, no para proteger frente a la contaminación externa. En el caso de la salida del personal de un laboratorio de nivel BSL-4, la obligación de completar la ducha antes de que se desbloquee la puerta de salida —con un sistema de prevención de derivaciones integrado en el hardware, y no solo en el procedimiento— es una característica de diseño propia de los niveles de contención más elevados.
| Dispositivo | Protección primaria | Lógica de presión | Requisito relativo al bloqueo de la llave |
|---|---|---|---|
| Caja de paso | Limpieza del material (lado de entrada) | Ligeramente positivo en el lado de entrada para garantizar la limpieza | El sistema de bloqueo de puertas impide que se abran simultáneamente para mantener la cascada de presión |
| Ducha (salida) | Salida de descontaminación del personal | Presión negativa (por ejemplo, -15 Pa) para evitar la fuga de agentes patógenos | Es obligatorio terminar la ducha antes de que se abra la puerta de salida; el diseño impide saltarse este paso |
| Esclusa | Cascada de presión en la sala | Control dinámico para mantener el flujo de aire direccional durante los ciclos de la puerta | Puertas interconectadas con ciclo temporizado y verificación de la recuperación de presión antes de que se desbloquee la siguiente puerta |
La tabla recoge la lógica de presión específica y los requisitos de enclavamiento de cada dispositivo. La cuestión que se plantea en la revisión del diseño a raíz de ello es si la especificación de enclavamiento de cada dispositivo se redactó en función de su función de protección específica, o si se obtuvo modificando una plantilla genérica de secuenciación de puertas. Este último enfoque tiende a generar una lógica que gestiona correctamente la secuencia prevista, pero que no aborda adecuadamente los modos de fallo específicos de la protección.
Para obtener más información sobre cómo varían los requisitos de los mecanismos de las puertas según la aplicación, consulta el artículo sobre Requisitos relativos al mecanismo de la puerta de la caja de paso con enclavamiento para salas blancas aborda las consideraciones relativas al orden de montaje y al sellado específicas de las configuraciones de cajas de paso.
Comportamiento anómalo de los usuarios en la revisión del diseño
La revisión del diseño suele basarse en los diagramas P&ID y los diagramas de secuencia que muestran las rutas previstas para los operadores. El problema es que, tarde o temprano, los operadores se encontrarán con situaciones que no aparecen en esos planos, y sus reacciones ante esas situaciones son las que revelan si la lógica de enclavamiento es realmente robusta o si solo funciona correctamente en los casos previstos.
Confiar únicamente en la presión negativa para mantener la contención sin tener en cuenta el comportamiento del operador es un patrón de fallo reconocido. Si el diferencial de presión es la única barrera y un operador se salta una ruta de descontaminación prevista —porque se mantiene una puerta abierta, se interrumpe una secuencia o existe una vía de salida más rápida—, el mecanismo físico de contención no lo compensa. Las directrices de bioseguridad para laboratorios de la OMS respaldan el principio general de que la seguridad en los laboratorios requiere tener en cuenta los recorridos de los operarios, y no solo los controles físicos de presión, en el diseño de los sistemas de contención.
La implicación para la revisión del diseño es simular de forma explícita los comportamientos anómalos de los usuarios, en lugar de confiar en la formación como medida correctiva. Entre los escenarios que merece la pena probar en la revisión se incluyen: que un operario entre en una cámara de paso mientras aún no se ha completado el ciclo anterior; que se interrumpa una ducha a mitad de ciclo sin que se haya confirmado que ninguna de las puertas se encuentre en la posición requerida; que dos operarios utilicen una esclusa en direcciones opuestas dentro del mismo intervalo de tiempo; o que una puerta se mantenga abierta más allá de su tiempo de retención de enclavamiento. Para cada escenario, la cuestión es si la lógica produce una respuesta definida y segura del sistema o si entra en un estado indefinido.
Esto también es una cuestión relacionada con la contratación y el URS. Los casos extremos de comportamiento deben documentarse en el URS antes de que el proveedor comience con el diseño, y no añadirse a las listas de tareas pendientes de las pruebas de aceptación en fábrica (FAT) una vez instalado el hardware. Un proveedor que no haya tenido en cuenta los escenarios de uso anómalo durante la fase de desarrollo del diseño no habrá dimensionado ni las ramas lógicas ni la arquitectura de alarmas para gestionarlos.
En Lista de comprobación validada para la auditoría de los sistemas de sellado de puertas APR aborda cómo debe documentarse el rendimiento del sellado en condiciones de funcionamiento anómalas con vistas a una posible auditoría, lo cual guarda una relación directa con el comportamiento del sistema de enclavamiento durante situaciones no planificadas de retención de la puerta.
Lista de comprobación de errores antes de las pruebas FAT y SAT
Las vulnerabilidades de los sistemas de enclavamiento que pasan la revisión de diseño suelen salir a la luz durante las pruebas FAT y SAT, pero solo si los scripts de puesta en servicio están programados para detectarlas. Un script que solo compruebe la secuencia prevista en condiciones normales dará el visto bueno a un sistema que falla de forma segura en todos los casos relevantes, pero no verificará el comportamiento en ningún estado que requiera una decisión.
Los tres elementos de comprobación que suelen faltar con mayor frecuencia antes de las pruebas FAT y SAT son: un guion de puesta en servicio que abarque los modos de fallo y recuperación, además del funcionamiento normal; la colocación de sensores que refleje las condiciones reales de presión de la sala, en lugar de la ubicación de los artefactos; y la verificación de los herrajes de las puertas en todas las condiciones de funcionamiento, en lugar de limitarse únicamente al caso nominal de fábrica. Omitir cualquiera de estos elementos deja sin detectar una clase de vulnerabilidades de contención hasta el momento de su uso operativo, que es el peor momento para detectarlas, tanto desde el punto de vista de la seguridad como del coste de la recualificación.
| Marcar elemento | Por qué es importante | Qué verificar |
|---|---|---|
| El script de puesta en marcha incluye los modos normal, de fallo y de recuperación | Sin pruebas automatizadas, los casos extremos siguen sin verificarse hasta que se pone en marcha el sistema. | El script abarca las transiciones de estado definidas, la gestión de las anulaciones y las condiciones de reinicio. |
| La ubicación de los sensores refleja las condiciones reales de la estancia | Las lecturas erróneas de presión o caudal de aire pueden ocultar fallos en la contención | Las ubicaciones de los sensores detectan flujos de aire representativos, no zonas muertas ni zonas cercanas a los difusores de suministro. |
| Los herrajes y cierrapuertas garantizan un sellado y un enclavamiento fiables | Un sellado deficiente impide la cascada de presión; unos cierres débiles afectan a la sincronización del enclavamiento | Laseaapri tnsnpsrsnata lrp liuilreneeoe y; ea ni rs esaecine ee auaocaesntlncq ocoeudum f ujrauaeutlósqtdcnnb oas n clmrarrie iedo. |
| Modo de prueba | Objetivo | Puntos clave de validación |
|---|---|---|
| Modo normal | Comprueba que todos los enclavamientos funcionen en condiciones normales de funcionamiento | Lógica de secuencias, tiempos de retención de las puertas, valores de consigna de presión dentro del rango |
| Modo de fallo | Comprueba que el sistema se apague de forma segura y que las alarmas se activen correctamente en caso de fallo. | Corte de corriente, fallo del sensor, puerta atascada, caída de presión: asegúrate de que la contención no se vea comprometida |
| Modo de recuperación | La validación del sistema vuelve a un estado seguro y se reinicia únicamente cuando las condiciones lo permiten | El reinicio permanecerá desactivado hasta que se recupere la presión, todas las puertas estén bien cerradas y no haya alarmas activas. |
La ubicación del sensor merece una atención especial, ya que afecta no solo a la prueba de puesta en servicio, sino también a la validez operativa de todas las lecturas de presión posteriores. Un sensor de presión diferencial situado cerca de un difusor de suministro o en una esquina de zona muerta producirá lecturas que no representan la relación de presión real entre las zonas. Un enclavamiento activado por ese sensor responderá a condiciones artificiales en lugar de a las reales, y el error no será visible desde el panel de control. La ubicación del sensor debe verificarse comparándola con el modelo de flujo de aire de la sala durante la fase de diseño, y no ajustarse tras la instalación cuando las lecturas parezcan inconsistentes.
En el caso de los sistemas de evacuación de personal, como las duchas de emergencia contra sustancias químicas, comprobar que los componentes mecánicos admiten la lógica de enclavamiento en condiciones reales —incluida la integridad de las juntas bajo presión negativa durante el funcionamiento de la ducha— forma parte de la preparación para la prueba de aceptación en fábrica (FAT) y no puede posponerse. Sistemas de ducha química de Qualia Bio están diseñadas teniendo como requisito funcional principal la contención durante la descontaminación, lo que influye directamente en cómo debe especificarse la lógica de enclavamiento del lado de salida en relación con el hardware.
La norma ISO 35001:2019 respalda el principio general de que la puesta en servicio documentada y la verificación del rendimiento son elementos de un sistema de gestión de riesgos biológicos, aunque la norma no establece estructuras específicas para las pruebas FAT o SAT. Los puntos de la lista de comprobación anterior reflejan las prácticas del sector en materia de puesta en servicio de sistemas de alta contención, más que requisitos normativos de la norma.
El denominador común de estos modos de fallo es que la lógica de enclavamiento falla en los límites del funcionamiento previsto: estados indefinidos en medio de una secuencia, eventos de anulación sin requisitos de recuperación, reinicios que se borran antes de que se confirme un estado seguro, y lógica específica del dispositivo que nunca se escribió realmente en la función de protección del mismo. La mayoría de estas deficiencias no se detectan durante la revisión normal del diseño, ya que esta sigue la ruta prevista.
Antes de la FAT, la pregunta más útil que hay que plantearse sobre cualquier diseño de interbloqueo no es si la secuencia funciona correctamente, sino si cada estado accesible tiene una respuesta definida del sistema. Si la respuesta requiere consultar lo que establece el procedimiento del operador en lugar de lo que impone la lógica, el diseño conlleva un riesgo de contención que acabará saliendo a la luz durante la puesta en marcha, con un coste significativamente mayor que el de abordarlo durante la fase de requisitos de usuario (URS) o el diseño detallado.
Preguntas frecuentes
P: Nuestras instalaciones son de nivel de seguridad biológica BSL-2 y cuentan con esclusas, pero no disponen de duchas de emergencia. ¿Siguen siendo aplicables los principios de enumeración de estados de interbloqueo, o podemos limitarnos a secuencias temporizadas más sencillas?
R: Sí, siguen siendo aplicables. El riesgo físico de inversión de presión durante estados indefinidos de la puerta existe en cualquier nivel de contención que dependa de un flujo de aire direccional, incluso si las consecuencias son menores que en los niveles BSL-3/4. Definir todos los estados posibles —material en el interior, ciclo interrumpido, puerta mantenida abierta— garantiza que la lógica impida la apertura simultánea, lo que aún puede provocar un intercambio de aire incontrolado. La complejidad de la implementación varía en función del riesgo, pero no debe omitirse la disciplina de diseño.
P: Una vez que detectamos un estado de enclavamiento no definido durante la revisión del diseño, ¿cuál es el siguiente paso inmediato antes de modificar el código?
R: Define la respuesta segura que debe dar el sistema ante ese estado —mantenimiento, alarma, prevención de la liberación, recuperación manual— y, a continuación, actualiza la especificación de requisitos de usuario y los diagramas de secuencia para incluirla como dato de entrada formal del diseño. Esto permite que el estado sea comprobable y garantiza que la arquitectura de alarmas, el etiquetado del sistema de gestión de edificios (BAS) y los scripts de puesta en marcha puedan adaptarse a él antes de que se revise la lógica. Sin ese paso de documentación, la corrección suele resultar inestable.
P: Estas recomendaciones parecen estar pensadas para nuevas construcciones. ¿Cómo varían los principios de revisión del diseño de los sistemas de enclavamiento a la hora de adaptar una instalación BSL-3 ya existente que cuente con controles neumáticos antiguos?
R: Los principios son idénticos, pero la implementación debe ajustarse a las limitaciones del hardware. Cuando no sea posible reescribir completamente la lógica, amplíe el sistema con medios de supervisión externos —sensores de presión adicionales, interruptores de posición de las puertas conectados al sistema de gestión de edificios (BAS)— y documente el procedimiento de recuperación del operador para cualquier estado que el hardware no pueda resolver automáticamente. Asigne los fondos de adaptación prioritariamente a las transiciones de mayor riesgo, como la apertura de las puertas del lado de salida sin descontaminación verificada, y trate las deficiencias restantes como controles procedimentales que se supervisan, auditan y revisan periódicamente.
P: El artículo recomienda verificar el estado de seguridad mediante una variable de proceso en lugar de un temporizador para los enclavamientos de ducha. ¿Cuál es la diferencia operativa entre la verificación basada en un temporizador y la basada en un sensor?
R: La verificación basada en un temporizador es más sencilla y evita las falsas alarmas relacionadas con los sensores, pero no permite confirmar que la descontaminación se haya producido realmente si el caudal, la concentración o la presión se interrumpieron durante el intervalo de tiempo establecido. La verificación basada en sensores proporciona pruebas directas de que se ha mantenido el parámetro crítico, lo que reduce la probabilidad de una indicación falsa de seguridad; la desventaja es el mantenimiento adicional de los sensores y la posibilidad de un falso fallo que retrase la salida. En entornos de alta contención, la ventaja en materia de seguridad que supone la confirmación mediante sensores suele compensar las molestias operativas, ya que un fallo real que pase desapercibido supone una brecha en la contención.
P: Somos un pequeño laboratorio de biotecnología con una esclusa de seguridad BSL-3 y un presupuesto limitado. ¿Merece la pena invertir en un sistema completo de registro y recuperación de anulaciones integrado en el BAS?
R: Sí, porque el coste de una investigación de un incidente controlado, la acreditación de las medidas correctivas y el escrutinio regulatorio superan con creces el coste de un registro mínimo de las anulaciones. Incluso una implementación básica —que consista en registrar los eventos de anulación con marcas de tiempo y la identidad del usuario en un historial seguro y enviar una única alarma— proporciona un registro de auditoría que demuestra que las anulaciones se gestionaron y no fueron incontroladas. Esa capacidad suele marcar la diferencia entre una desviación gestionable y un incidente que debe notificarse, por lo que el umbral a partir del cual merece la pena es muy bajo en relación con el riesgo operativo.
