1. La seguridad de las tecnologías de la información: objetivos, estrategias, políticas, organización y planificación
🎯 Idea clave
- La seguridad de las tecnologías de la información en el Servicio Andaluz de Salud (SAS) se fundamenta en la protección de los activos de información y los medios tecnológicos que los gestionan.
- Los objetivos principales incluyen garantizar la integridad, disponibilidad y confidencialidad de la información sanitaria, especialmente sensible y crítica para la asistencia.
- La estrategia del SAS se alinea con el Esquema Nacional de Seguridad (ENS) y el marco normativo autonómico, concretándose en una política específica aprobada formalmente.
- La planificación de la seguridad TIC en el SAS responde a un entorno distribuido y altamente dependiente de sistemas clínicos críticos, como Diraya o Receta XXI.
- La organización de la seguridad TIC implica la definición de responsabilidades, estructuras y procesos para gestionar riesgos y evaluar la eficacia de las medidas adoptadas.
- La política de seguridad del SAS no es una declaración genérica, sino un documento de obligado cumplimiento para todos los actores que acceden a sus sistemas o información.
📚 Desarrollo
Base normativa. La política de seguridad de las tecnologías de la información y la comunicación (TIC) en el Servicio Andaluz de Salud (SAS) se concreta mediante la Resolución de 8 de abril de 2021, de la Dirección Gerencia del SAS. Este documento aprueba la Política de Seguridad TIC del organismo, estableciendo el marco específico para la protección de sus activos de información y los sistemas que los gestionan. La resolución responde a las directrices del Decreto 1/2011, de la Junta de Andalucía, y al Esquema Nacional de Seguridad (ENS), asegurando la coherencia con el marco legal y estratégico vigente.
Objetivos fundamentales. Los objetivos de la seguridad TIC en el SAS se centran en tres pilares: integridad, disponibilidad y confidencialidad de la información. Estos principios son especialmente críticos en el ámbito sanitario, donde la manipulación, pérdida o indisponibilidad de datos puede comprometer la calidad asistencial y la continuidad del servicio público. La política del SAS reconoce que la información es un activo estratégico, cuya protección es condición indispensable para el funcionamiento del sistema sanitario.
Estrategia y alineación. La estrategia del SAS en materia de seguridad TIC no opera de forma aislada, sino que se integra en un marco más amplio. Por un lado, se alinea con el ENS, que fija los principios y requisitos mínimos para la seguridad en las administraciones públicas. Por otro, responde a la Estrategia Andaluza de Ciberseguridad 2022-2025, que marca la hoja de ruta para fortalecer las capacidades de prevención, detección y respuesta ante incidentes en la Junta de Andalucía. Esta estrategia, aunque no sustituye al Decreto 1/2011 ni al ENS, orienta la planificación y priorización de acciones en ciberseguridad.
Ámbito de aplicación. La Política de Seguridad TIC del SAS se aplica a todos los niveles de la organización: servicios centrales, centros e instituciones sanitarias integradas, así como a cualquier persona que acceda a sus sistemas o información. Esto incluye tanto al personal interno como a terceros que presten servicios o compartan datos con el organismo. La amplitud de este ámbito refleja la naturaleza distribuida del SAS, que opera en miles de puntos asistenciales en toda Andalucía, con una infraestructura tecnológica compleja y diversa.
Organización y responsabilidades. La política del SAS define una estructura organizativa para la gestión de la seguridad TIC, asignando responsabilidades claras en todos los niveles. Esto incluye la creación de roles específicos, la implementación de procesos para el análisis y tratamiento de riesgos, y la evaluación periódica de la eficacia de las medidas adoptadas mediante auditorías y certificaciones. La organización de la seguridad no se limita a aspectos técnicos, sino que abarca también la formación y concienciación del personal, reconociendo que la seguridad es una responsabilidad compartida.
Planificación y gestión de riesgos. La planificación de la seguridad TIC en el SAS parte de un diagnóstico realista: la dependencia crítica de las tecnologías para alcanzar sus objetivos asistenciales y administrativos. Esta premisa convierte la seguridad en una condición necesaria para el buen funcionamiento del servicio público. La política establece la obligación de realizar análisis de riesgos y elaborar planes de tratamiento, adaptados a las particularidades de los sistemas clínicos críticos, como los sistemas de historia clínica digital (Diraya) o de prescripción electrónica (Receta XXI).
Enfoque práctico. La política del SAS no se limita a enunciados teóricos, sino que se traduce en exigencias prácticas para la administración de sistemas. Por ejemplo, en el caso de los administradores de sistemas Linux, se exige control, documentación, actualización, separación de responsabilidades y trazabilidad, especialmente cuando estos sistemas soportan procesos asistenciales o de infraestructura. Este enfoque garantiza que las medidas de seguridad se implementen de forma coherente y verificable en todo el territorio andaluz.
🧩 Elementos esenciales
- Resolución de 8 de abril de 2021: Norma que aprueba la Política de Seguridad TIC del SAS, estableciendo su marco específico de actuación.
- Objetivos de seguridad: Garantizar la integridad, disponibilidad y confidencialidad de la información como pilares fundamentales.
- Alineación normativa: Conexión con el Decreto 1/2011 de la Junta de Andalucía y el Esquema Nacional de Seguridad (ENS).
- Estrategia Andaluza de Ciberseguridad: Instrumento de planificación que orienta las prioridades en prevención, detección y respuesta ante incidentes.
- Ámbito de aplicación: Incluye servicios centrales, centros sanitarios, personal interno y terceros que accedan a sistemas o información del SAS.
- Sistemas críticos: Plataformas como Diraya (historia clínica digital), Receta XXI (prescripción electrónica), RIS/PACS (imagen médica) y LIS (laboratorio).
- Estructura organizativa: Definición de responsabilidades, roles y procesos para la gestión de la seguridad TIC.
- Gestión de riesgos: Obligación de realizar análisis de riesgos y planes de tratamiento adaptados a las necesidades del SAS.
- Evaluación y auditoría: Mecanismos para medir la eficacia de las medidas mediante auditorías, certificaciones y evaluaciones periódicas.
- Formación y concienciación: Impulso de programas para garantizar que el personal conozca sus obligaciones y responsabilidades en seguridad.
- Entorno distribuido: Necesidad de coherencia en los controles de seguridad en miles de puntos asistenciales en toda Andalucía.
- Dependencia tecnológica: Reconocimiento de que la seguridad TIC es condición indispensable para el funcionamiento del servicio sanitario.
🧠 Recuerda
- La seguridad TIC en el SAS se basa en una política formal aprobada por resolución, no en actuaciones improvisadas.
- Los objetivos principales son integridad, disponibilidad y confidencialidad de la información sanitaria.
- El SAS se alinea con el ENS y el Decreto 1/2011 de la Junta de Andalucía, pero desarrolla su propia normativa interna.
- La Estrategia Andaluza de Ciberseguridad 2022-2025 marca la hoja de ruta para la planificación en ciberseguridad.
- La política del SAS se aplica a todos los niveles de la organización, incluyendo terceros que accedan a sus sistemas.
- Los sistemas clínicos críticos, como Diraya o Receta XXI, requieren medidas de seguridad reforzadas.
- La gestión de riesgos y la evaluación periódica son elementos clave de la planificación en seguridad TIC.
- La formación y concienciación del personal son tan importantes como las medidas técnicas.
- El entorno distribuido del SAS exige coherencia en los controles de seguridad en toda Andalucía.
- La seguridad TIC no es un complemento, sino una condición necesaria para el funcionamiento del servicio sanitario.
2. La evaluación y certificación de la seguridad de las tecnologías de la información
🎯 Idea clave
- La evaluación de la seguridad en el SAS se realiza mediante auditorías periódicas obligatorias para sistemas de categoría media y alta.
- Los procesos de adquisición de productos TIC con requisitos críticos exigen certificaciones reconocidas internacionalmente, como Common Criteria.
- La herramienta INES del CCN permite al SAS realizar autoevaluaciones regulares y comparar su postura de seguridad con otras administraciones.
- El Comité de Seguridad Interior y Seguridad TIC del SAS supervisa los procesos de evaluación, auditoría y certificación.
- La certificación de productos TIC garantiza que cumplen niveles de seguridad adecuados para su uso en entornos sanitarios críticos.
- La evaluación continua identifica áreas de mejora y orienta decisiones de inversión y arquitectura de sistemas.
📚 Desarrollo
Auditorías periódicas. El Servicio Andaluz de Salud (SAS) está obligado a someter sus sistemas de información de categoría media y alta a auditorías periódicas de conformidad con el Esquema Nacional de Seguridad (ENS). Estas auditorías constituyen el mecanismo principal para evaluar la seguridad de los sistemas y verificar el cumplimiento de los requisitos establecidos. Su realización es esencial para identificar vulnerabilidades y garantizar que los sistemas operan bajo los estándares de seguridad exigidos.
Certificación de productos TIC. En los procesos de adquisición de productos tecnológicos con requisitos de seguridad críticos, como dispositivos de autenticación multifactor, módulos criptográficos o sistemas de detección de intrusiones, el SAS puede exigir a los ofertantes que acrediten certificaciones reconocidas internacionalmente. Entre estas certificaciones destaca Common Criteria, con el nivel EAL (Evaluation Assurance Level) adecuado, o evaluaciones equivalentes que aseguren la idoneidad de los productos para entornos sanitarios.
Herramienta INES. El SAS utiliza la herramienta INES, desarrollada por el Centro Criptológico Nacional (CCN), para realizar autoevaluaciones regulares de su postura de seguridad. Esta herramienta permite monitorear el cumplimiento del ENS, identificar áreas de mejora y comparar la situación del SAS con el conjunto de administraciones públicas españolas. Su uso facilita la detección de desviaciones y la implementación de acciones correctivas de manera proactiva.
Comité de Seguridad. El Comité de Seguridad Interior y Seguridad TIC del SAS desempeña un papel clave en la supervisión de los procesos de evaluación, auditoría y certificación. Este órgano garantiza que dichos procesos no se limiten a trámites burocráticos, sino que alimenten decisiones estratégicas en materia de inversión, arquitectura de sistemas y operación segura. Su labor asegura que las evaluaciones se traduzcan en mejoras tangibles para la seguridad de la información.
Enfoque en sistemas críticos. La evaluación y certificación en el SAS se centra especialmente en sistemas clínicos críticos, como Diraya, Receta XXI o RIS/PACS. Estos sistemas, al manejar información sensible de pacientes, requieren un nivel de seguridad elevado y una validación rigurosa de los productos y soluciones tecnológicas implementadas. La certificación actúa como garantía de que los sistemas cumplen con los estándares necesarios para proteger la confidencialidad, integridad y disponibilidad de los datos.
Integración con la política de seguridad. Los procesos de evaluación y certificación se integran en la política de seguridad TIC del SAS, que adapta las directrices corporativas de la Junta de Andalucía al entorno sanitario. Esta política, aprobada en 2021, establece los objetivos, responsabilidades y controles específicos para garantizar que las evaluaciones contribuyan a una gestión de riesgos efectiva y a la mejora continua de la seguridad.
Coordinación institucional. La Agencia Digital de Andalucía (ADA) coordina la aplicación de la política de seguridad TIC en el ámbito autonómico, mientras que el SAS desarrolla directivas internas para su implementación. Esta estructura jerárquica asegura que los procesos de evaluación y certificación se alineen con los principios del ENS y con las necesidades específicas del sector sanitario.
🧩 Elementos esenciales
- Auditorías periódicas: Mecanismo obligatorio para sistemas de categoría media y alta en el SAS, alineado con el ENS.
- Certificación Common Criteria: Requisito para productos TIC con requisitos críticos, garantizando niveles de seguridad adecuados.
- Herramienta INES: Plataforma del CCN utilizada para autoevaluaciones y comparación con otras administraciones públicas.
- Comité de Seguridad TIC: Órgano del SAS que supervisa evaluaciones, auditorías y certificaciones, vinculándolas a decisiones estratégicas.
- Sistemas clínicos críticos: Diraya, Receta XXI y RIS/PACS, que requieren evaluaciones y certificaciones rigurosas por su sensibilidad.
- Política de seguridad TIC: Marco normativo del SAS, aprobado en 2021, que integra evaluación y certificación en la gestión de riesgos.
- Coordinación con ADA: La Agencia Digital de Andalucía supervisa la aplicación de la política corporativa, mientras el SAS adapta directrices al entorno sanitario.
- Evaluación continua: Proceso que identifica áreas de mejora y orienta inversiones en seguridad y arquitectura de sistemas.
- Niveles EAL: Grados de garantía en Common Criteria que determinan el rigor de la evaluación de productos TIC.
- Operación segura: Objetivo final de los procesos de evaluación y certificación, asegurando la protección de la información.
🧠 Recuerda
- Las auditorías periódicas son obligatorias para sistemas de categoría media y alta en el SAS.
- La certificación Common Criteria es un requisito clave en la adquisición de productos TIC críticos.
- La herramienta INES permite al SAS autoevaluarse y comparar su postura de seguridad.
- El Comité de Seguridad TIC del SAS supervisa los procesos de evaluación y certificación.
- Los sistemas clínicos críticos requieren un nivel de seguridad elevado y certificaciones rigurosas.
- La política de seguridad TIC del SAS, aprobada en 2021, integra evaluación y certificación en su marco normativo.
- La Agencia Digital de Andalucía coordina la política corporativa, mientras el SAS adapta las directrices al entorno sanitario.
- La evaluación continua identifica áreas de mejora y orienta decisiones estratégicas.
- Los procesos de certificación garantizan que los productos TIC cumplen con los estándares de seguridad exigidos.
- La evaluación y certificación no son trámites burocráticos, sino herramientas para mejorar la seguridad operativa.
3. Medidas de seguridad (físicas, técnicas, organizativas y legales)
🎯 Idea clave
- Las medidas de seguridad en el ámbito TIC de la Junta de Andalucía y el SAS se clasifican en físicas, técnicas, organizativas y legales para garantizar la protección integral de los sistemas.
- Las medidas físicas protegen los activos materiales y los espacios donde se alojan los sistemas de información.
- Las medidas técnicas incluyen herramientas y mecanismos automatizados para salvaguardar la confidencialidad, integridad y disponibilidad de los datos.
- Las medidas organizativas establecen roles, responsabilidades y procedimientos para gestionar la seguridad de manera estructurada.
- Las medidas legales aseguran el cumplimiento de la normativa vigente, como el ENS y la protección de datos.
- La combinación de estas medidas forma un sistema coherente y adaptado a las necesidades del entorno sanitario.
📚 Desarrollo
Marco normativo. La política de seguridad TIC de la Junta de Andalucía, regulada por el Decreto 1/2011 y sus modificaciones, establece la necesidad de implementar medidas de seguridad integrales. Estas medidas deben alinearse con los principios de confidencialidad, integridad, disponibilidad, gestión del riesgo y continuidad del servicio, especialmente en organismos como el SAS, donde la protección de datos sanitarios es crítica.
Medidas físicas. Estas medidas buscan proteger los espacios físicos donde se ubican los sistemas de información, como centros de datos, salas de servidores y áreas de trabajo. Incluyen controles de acceso, sistemas de vigilancia, protección contra incendios, inundaciones y otros riesgos ambientales. En el SAS, la seguridad física es prioritaria para garantizar la operatividad de los sistemas que soportan la atención sanitaria.
Medidas técnicas. Comprenden herramientas y soluciones tecnológicas diseñadas para proteger los sistemas y datos. Entre ellas destacan los cortafuegos, sistemas de detección y prevención de intrusiones, cifrado de datos, autenticación multifactor y copias de seguridad automatizadas. Estas medidas son esenciales para mitigar riesgos cibernéticos y asegurar la disponibilidad de los servicios digitales en el ámbito sanitario.
Medidas organizativas. Definen la estructura, roles y procedimientos necesarios para gestionar la seguridad TIC de manera efectiva. Incluyen la designación de responsables de seguridad, la elaboración de planes de formación y concienciación para el personal, la definición de protocolos de actuación ante incidentes y la realización de auditorías periódicas. En el SAS, estas medidas aseguran que todos los profesionales conozcan sus responsabilidades en materia de seguridad.
Medidas legales. Garantizan el cumplimiento de la normativa aplicable, como el Esquema Nacional de Seguridad (ENS) y el Reglamento General de Protección de Datos (RGPD). Estas medidas exigen la adopción de políticas y procedimientos que aseguren el tratamiento legal de la información, especialmente en entornos sanitarios donde los datos son sensibles. La Junta de Andalucía y el SAS deben adaptar sus políticas internas a estos marcos legales para evitar sanciones y proteger los derechos de los ciudadanos.
Enfoque integral. La combinación de medidas físicas, técnicas, organizativas y legales permite crear un sistema de seguridad robusto y adaptado a las necesidades específicas de cada organismo. En el SAS, este enfoque es fundamental para garantizar la continuidad asistencial, la protección de los datos de salud y la confianza en los servicios digitales. La Agencia Digital de Andalucía coordina la implantación de estas medidas en todos los organismos de la Junta, asegurando su coherencia y eficacia.
Adaptación al entorno sanitario. El SAS desarrolla directivas internas que complementan la política corporativa de la Junta, adaptando las medidas de seguridad a las particularidades del sector sanitario. Esto incluye la protección de historiales clínicos, la gestión de accesos desde dispositivos personales y la implementación de protocolos específicos para incidentes que puedan afectar a la atención al paciente.
🧩 Elementos esenciales
- Medidas físicas: Protección de infraestructuras y espacios físicos mediante controles de acceso, vigilancia y sistemas contra riesgos ambientales.
- Medidas técnicas: Herramientas tecnológicas como cifrado, cortafuegos y autenticación multifactor para proteger sistemas y datos.
- Medidas organizativas: Definición de roles, responsabilidades y procedimientos para gestionar la seguridad de manera estructurada.
- Medidas legales: Cumplimiento de normativas como el ENS y el RGPD para garantizar el tratamiento legal de la información.
- Control de accesos: Mecanismos para restringir el acceso a sistemas y datos solo a personal autorizado, especialmente en entornos sanitarios.
- Formación y concienciación: Programas para capacitar al personal en buenas prácticas de seguridad y en la gestión de riesgos.
- Gestión de incidentes: Protocolos para detectar, responder y recuperar sistemas ante posibles amenazas o fallos.
- Auditorías periódicas: Evaluaciones sistemáticas para verificar el cumplimiento de las medidas de seguridad y su eficacia.
- Protección de datos sensibles: Medidas específicas para salvaguardar la confidencialidad e integridad de los datos de salud en el SAS.
- Continuidad del servicio: Estrategias para garantizar la disponibilidad de los sistemas críticos, incluso en situaciones de emergencia.
- Coordinación institucional: La Agencia Digital de Andalucía supervisa la implantación de las medidas en todos los organismos de la Junta.
- Adaptación sectorial: El SAS desarrolla directivas internas para ajustar las medidas de seguridad a las necesidades del entorno sanitario.
🧠 Recuerda
- Las medidas de seguridad se clasifican en físicas, técnicas, organizativas y legales para abordar todos los aspectos de la protección TIC.
- Las medidas físicas protegen los espacios donde se alojan los sistemas, mientras que las técnicas salvaguardan los datos y la infraestructura digital.
- Las medidas organizativas definen roles, responsabilidades y procedimientos para gestionar la seguridad de manera estructurada.
- Las medidas legales aseguran el cumplimiento de normativas como el ENS y el RGPD, especialmente críticas en el ámbito sanitario.
- La combinación de estas medidas forma un sistema integral que garantiza la protección de la información y la continuidad del servicio.
- En el SAS, la adaptación de estas medidas al entorno sanitario es esencial para proteger datos sensibles y asegurar la atención al paciente.
- La Agencia Digital de Andalucía coordina la implantación de las medidas en todos los organismos de la Junta.
- La formación del personal y la gestión de incidentes son componentes clave de las medidas organizativas.
- Las auditorías periódicas permiten evaluar la eficacia de las medidas y detectar áreas de mejora.
- La seguridad TIC no es solo un requisito técnico, sino una política pública de obligado cumplimiento.
4. Planes de contingencia y recuperación ante desastres
🎯 Idea clave
- Los planes de contingencia y recuperación ante desastres son instrumentos esenciales para garantizar la continuidad de los servicios TIC en el Servicio Andaluz de Salud.
- Su finalidad principal es minimizar el impacto de incidentes graves que puedan interrumpir la actividad asistencial o administrativa.
- Estos planes forman parte integral de la política de seguridad TIC de la Junta de Andalucía y del SAS, alineándose con el Esquema Nacional de Seguridad.
- La gestión de riesgos y la continuidad de servicios son objetivos prioritarios en el entorno sanitario, dada la criticidad de los sistemas de información.
- La estructura organizativa del SAS, incluyendo el CSISTIC-SAS, juega un papel clave en la implementación y seguimiento de estos planes.
- La formación y concienciación del personal son elementos fundamentales para la eficacia de los planes de contingencia.
📚 Desarrollo
Marco normativo. Los planes de contingencia y recuperación ante desastres en el Servicio Andaluz de Salud se enmarcan en la política de seguridad TIC de la Junta de Andalucía, regulada por el Decreto 1/2011 y reforzada por el Decreto 70/2017. Este marco obliga a todas las entidades, incluido el SAS, a desarrollar directrices específicas para garantizar la continuidad de los servicios críticos [1].
Objetivo principal. El objetivo central de estos planes es asegurar la disponibilidad, integridad y confidencialidad de los sistemas de información sanitaria ante situaciones de emergencia. En el ámbito del SAS, esto implica proteger no solo datos administrativos, sino también aquellos que sustentan la asistencia clínica y la continuidad de los servicios sanitarios [1][9].
Continuidad asistencial. En el entorno sanitario, los planes de contingencia adquieren una dimensión crítica, ya que una interrupción prolongada de los sistemas TIC puede afectar directamente a la atención al paciente. Por ello, el SAS prioriza la continuidad de los servicios asistenciales, estableciendo protocolos para la recuperación rápida de sistemas y datos esenciales [1].
Análisis de riesgos. La elaboración de estos planes requiere un análisis previo de riesgos, identificando las amenazas potenciales y evaluando su impacto en los sistemas de información. Este proceso permite definir medidas preventivas y correctivas adaptadas a las necesidades específicas del SAS, considerando su contexto sanitario y la sensibilidad de los datos manejados [9].
Roles y responsabilidades. La implementación de los planes de contingencia y recuperación ante desastres involucra a diversos actores dentro del SAS, incluyendo al CSISTIC-SAS y a los comités de seguridad de las instituciones sanitarias. Estos órganos son responsables de coordinar las acciones necesarias para garantizar la efectividad de los planes y su alineación con la política de seguridad TIC [5].
Evaluación y mejora continua. Los planes de contingencia no son documentos estáticos, sino que requieren revisiones periódicas para adaptarse a los cambios tecnológicos, normativos y organizativos. El SAS establece mecanismos de seguimiento, auditoría y mejora continua para asegurar que estos planes mantengan su eficacia ante nuevas amenazas o escenarios de riesgo [2].
Formación y concienciación. La eficacia de los planes de contingencia depende en gran medida de la preparación del personal. El SAS incluye en su política de seguridad TIC programas de formación y concienciación dirigidos a todos los niveles de la organización, asegurando que los profesionales conozcan sus roles y responsabilidades en caso de incidentes [9].
🧩 Elementos esenciales
- Finalidad: Garantizar la continuidad de los servicios TIC ante incidentes graves que puedan interrumpir la actividad asistencial o administrativa.
- Marco normativo: Se enmarcan en la política de seguridad TIC de la Junta de Andalucía (Decreto 1/2011 y Decreto 70/2017) y en el Esquema Nacional de Seguridad.
- Objetivos específicos: Minimizar el impacto de incidentes, proteger datos críticos y asegurar la disponibilidad de sistemas esenciales.
- Continuidad asistencial: Prioridad en el SAS por la criticidad de los sistemas de información sanitaria para la atención al paciente.
- Análisis de riesgos: Proceso previo para identificar amenazas, evaluar su impacto y definir medidas preventivas y correctivas.
- Roles diferenciados: Participación del CSISTIC-SAS y comités de seguridad en la coordinación e implementación de los planes.
- Evaluación y auditoría: Mecanismos de seguimiento y mejora continua para adaptar los planes a nuevos riesgos o cambios normativos.
- Formación: Programas de concienciación y capacitación para el personal, asegurando su preparación ante incidentes.
- Protocolos de recuperación: Procedimientos detallados para la restauración de sistemas y datos en el menor tiempo posible.
- Documentación: Inclusión de normas, planes y procedimientos técnicos que despliegan la política de seguridad TIC del SAS.
🧠 Recuerda
- Los planes de contingencia son esenciales para la continuidad de los servicios TIC en el SAS.
- Su objetivo principal es minimizar el impacto de incidentes graves en la actividad asistencial.
- Forman parte de la política de seguridad TIC de la Junta de Andalucía y del SAS.
- La continuidad asistencial es una prioridad absoluta en el entorno sanitario.
- El análisis de riesgos es un paso clave para diseñar planes efectivos.
- El CSISTIC-SAS y los comités de seguridad juegan un papel fundamental en su implementación.
- Los planes requieren revisiones periódicas para mantener su eficacia.
- La formación del personal es crucial para la correcta ejecución de los planes.
- La documentación técnica y los protocolos de recuperación son elementos indispensables.
- La alineación con el Esquema Nacional de Seguridad garantiza el cumplimiento normativo.
5. Respaldo y continuidad
🎯 Idea clave
- El respaldo y la continuidad son elementos críticos para garantizar la disponibilidad de los sistemas de información sanitarios en el Servicio Andaluz de Salud (SAS).
- La interrupción de servicios TIC en el SAS afecta directamente a la prestación asistencial y a la seguridad de los pacientes.
- La continuidad debe analizarse desde una perspectiva organizativa, abarcando servicios centrales, centros asistenciales y terceros concertados.
- Los sistemas de información del SAS, como la Historia de Salud Digital de Andalucía (HSDA), requieren niveles máximos de disponibilidad y confidencialidad.
- La política de seguridad del SAS establece objetivos y responsabilidades para proteger los activos de información y garantizar su continuidad.
- El respaldo y la continuidad no se limitan a aspectos técnicos, sino que incluyen la coordinación entre profesionales, proveedores y canales de soporte.
📚 Desarrollo
Marco institucional. El Servicio Andaluz de Salud (SAS) gestiona sistemas de información críticos cuya interrupción puede comprometer la atención sanitaria. La continuidad de estos sistemas es un requisito esencial para cumplir con el mandato constitucional de protección de la salud, tal como establece el artículo 43 de la Constitución Española. El SAS, como organismo autónomo adscrito a la Consejería de Salud y Consumo, debe garantizar que sus plataformas digitales sean robustas, seguras y accesibles.
Sistemas críticos. Entre los sistemas más relevantes del SAS destacan la Historia de Salud Digital de Andalucía (HSDA), los sistemas de prescripción electrónica como Receta XXI, y las plataformas de gestión de urgencias y emergencias. La disponibilidad de estos sistemas es crítica, ya que su fallo afecta directamente a la dispensación de medicamentos, la atención sanitaria y la coordinación entre niveles asistenciales. La confidencialidad, integridad y disponibilidad de la HSDA, por ejemplo, son de máximo nivel de exigencia debido a la sensibilidad de los datos que maneja.
Política de seguridad. La política de seguridad del SAS, aprobada por Resolución de 8 de abril de 2021, establece los objetivos y responsabilidades para proteger los activos de información y los medios de proceso. Esta política no se limita a aspectos técnicos, sino que abarca la protección de la información en todos los ámbitos organizativos, incluyendo Servicios Centrales, centros sanitarios, instituciones integradas y terceros concertados. La continuidad debe garantizarse en toda la red organizativa, considerando la interdependencia entre servicios centrales, centros asistenciales y proveedores externos.
Enfoque organizativo. La continuidad en el SAS no puede analizarse de forma aislada. Una interrupción en un sistema TIC afecta a toda la red asistencial, desde los profesionales sanitarios hasta los canales de soporte y la ciudadanía. Por ello, la política de seguridad del SAS exige una visión integral que incluya la coordinación entre todos los actores involucrados. Esto implica que los planes de continuidad deben contemplar no solo la recuperación técnica de los sistemas, sino también la gestión de las relaciones con proveedores, la comunicación con los usuarios y la formación del personal.
Respaldo de datos. El respaldo de la información es un pilar fundamental para garantizar la continuidad. En el SAS, los sistemas de información asistenciales, como la HSDA, requieren mecanismos de respaldo que aseguren la recuperación rápida y fiable de los datos en caso de fallo. Estos mecanismos deben ser periódicos, automatizados y verificados para evitar pérdidas de información crítica. Además, los respaldos deben almacenarse en ubicaciones seguras y geográficamente distribuidas para minimizar riesgos.
Planificación de la continuidad. La planificación de la continuidad en el SAS debe ser proactiva y adaptarse a la complejidad de su estructura organizativa. Esto incluye la identificación de riesgos, la definición de protocolos de actuación y la realización de simulacros periódicos. La continuidad no es un objetivo estático, sino un proceso dinámico que requiere revisión constante para adaptarse a nuevas amenazas, tecnologías y necesidades asistenciales.
Coordinación con la Junta de Andalucía. El SAS desarrolla su actividad digital en el marco tecnológico e institucional de la Junta de Andalucía, que proporciona infraestructura y servicios transversales compartidos. Esto implica que la continuidad de los sistemas del SAS debe alinearse con las políticas y estrategias de ciberseguridad de la Administración autonómica. La colaboración entre el SAS y la Dirección General de Sistemas de Información Sanitaria (DGSIS) es clave para garantizar la coherencia y eficacia de las medidas de respaldo y continuidad.
🧩 Elementos esenciales
- Respaldo de datos: Mecanismos periódicos, automatizados y verificados para garantizar la recuperación de información crítica en sistemas como la HSDA.
- Disponibilidad de sistemas: Requisito máximo en plataformas como la prescripción electrónica o la gestión de urgencias, donde un fallo afecta directamente a la atención sanitaria.
- Política de seguridad: Aprobada por Resolución de 8 de abril de 2021, establece objetivos y responsabilidades para proteger activos de información y medios de proceso.
- Enfoque organizativo: La continuidad debe analizarse desde una perspectiva integral, abarcando servicios centrales, centros asistenciales y terceros concertados.
- Coordinación con proveedores: Los planes de continuidad deben incluir la gestión de relaciones con proveedores externos que compartan información con el SAS.
- Formación del personal: La continuidad requiere la capacitación de profesionales sanitarios y técnicos en protocolos de actuación ante interrupciones.
- Simulacros periódicos: Pruebas regulares para evaluar la eficacia de los planes de continuidad y adaptarlos a nuevas amenazas.
- Almacenamiento seguro: Los respaldos deben guardarse en ubicaciones geográficamente distribuidas para minimizar riesgos de pérdida.
- Interdependencia de sistemas: La continuidad no es un objetivo aislado, sino que depende de la coordinación entre múltiples actores y plataformas.
- Marco institucional: El SAS actúa en el contexto de la Junta de Andalucía, alineando sus políticas de continuidad con las estrategias autonómicas de ciberseguridad.
🧠 Recuerda
- El respaldo y la continuidad son críticos para garantizar la disponibilidad de los sistemas de información del SAS.
- La interrupción de servicios TIC en el SAS afecta directamente a la atención sanitaria y a la seguridad de los pacientes.
- La política de seguridad del SAS establece objetivos y responsabilidades para proteger los activos de información.
- La continuidad debe analizarse desde una perspectiva organizativa, no solo técnica.
- Los sistemas críticos del SAS, como la HSDA o Receta XXI, requieren niveles máximos de disponibilidad.
- Los planes de continuidad deben incluir simulacros periódicos y coordinación con proveedores externos.
- El respaldo de datos debe ser periódico, automatizado y almacenado en ubicaciones seguras.
- La continuidad en el SAS está alineada con las políticas de ciberseguridad de la Junta de Andalucía.
- La formación del personal es clave para garantizar la eficacia de los protocolos de continuidad.
- La continuidad no es un objetivo estático, sino un proceso dinámico que requiere revisión constante.
6. Política de seguridad de las tecnologías de la información y comunicaciones en la Administración de la Junta de Andalucía y del Servicio Andaluz de Salud
🎯 Idea clave
- La Junta de Andalucía dispone de una política de seguridad TIC corporativa de obligado cumplimiento para todos sus organismos, incluido el Servicio Andaluz de Salud (SAS).
- Esta política se alinea con el Esquema Nacional de Seguridad (ENS) establecido en el Real Decreto 311/2022.
- La Agencia Digital de Andalucía (ADA) coordina la implantación de la política corporativa en el ámbito autonómico.
- El SAS desarrolla directivas internas específicas adaptadas a su entorno sanitario y sistemas críticos.
- La política del SAS fue aprobada en 2021 mediante resolución, estableciendo objetivos, responsabilidades y controles concretos.
- El marco normativo autonómico se sustenta en el Decreto 1/2011 y sus modificaciones posteriores.
📚 Desarrollo
Marco normativo corporativo. La Junta de Andalucía cuenta con una política de seguridad de las tecnologías de la información y las comunicaciones (TIC) de carácter corporativo, aplicable a todos sus organismos, incluido el SAS. Esta política se aprueba conforme al Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, que establece los principios y requisitos mínimos para la protección de la información en el sector público.
Coordinación y gobernanza. La Agencia Digital de Andalucía (ADA) actúa como órgano coordinador de la política de seguridad TIC en el ámbito autonómico. Su función incluye garantizar la implantación homogénea de las directrices corporativas, así como supervisar su cumplimiento en los diferentes organismos. Esta estructura de gobernanza define roles, responsabilidades y mecanismos de seguimiento para asegurar la eficacia de las medidas adoptadas.
Adaptación sectorial del SAS. El Servicio Andaluz de Salud desarrolla su propia política de seguridad TIC, aprobada en 2021 mediante resolución específica. Esta normativa interna adapta las directrices corporativas al entorno sanitario, priorizando la protección de sistemas críticos como Diraya, Receta XXI o RIS/PACS. La política del SAS establece objetivos concretos en materia de confidencialidad, integridad y disponibilidad de la información clínica y administrativa.
Jerarquía documental. La política de seguridad TIC de la Junta de Andalucía se articula en una estructura jerárquica que parte de la normativa corporativa general y desciende hasta los procedimientos e instrucciones técnicas específicos de cada organismo. Esta organización permite una aplicación coherente de los principios de seguridad, al tiempo que facilita la adaptación a las particularidades de cada ámbito, como el sanitario en el caso del SAS.
Principios rectores. El Decreto 1/2011, de 11 de enero, establece los principios fundamentales de la política de seguridad TIC en la Administración autonómica. Entre ellos destacan la confidencialidad, integridad y disponibilidad de la información, la gestión del riesgo, la seguridad en el ciclo de vida de los sistemas y la separación de funciones. Estos principios son de aplicación obligatoria para el SAS y orientan el desarrollo de sus directrices internas.
Objetivos y controles. La política del SAS, aprobada en 2021, define objetivos específicos como la protección de activos críticos, la asignación clara de responsabilidades y la implementación de controles técnicos y organizativos. Estos controles buscan mitigar riesgos asociados a la gestión de datos sanitarios, garantizando el cumplimiento de los estándares de seguridad y las buenas prácticas en el sector.
Seguimiento y mejora continua. La política corporativa prevé mecanismos de seguimiento, auditoría y mejora continua para evaluar la eficacia de las medidas implementadas. Estos procesos permiten identificar vulnerabilidades, corregir desviaciones y actualizar las directrices en función de la evolución tecnológica y las amenazas emergentes, asegurando una protección adaptativa de los sistemas TIC.
🧩 Elementos esenciales
- Política corporativa: Normativa de seguridad TIC de la Junta de Andalucía, de obligado cumplimiento para todos sus organismos, incluido el SAS.
- ENS (RD 311/2022): Marco normativo nacional que sustenta la política de seguridad TIC en el sector público, incluyendo la Administración autonómica.
- Agencia Digital de Andalucía (ADA): Órgano encargado de coordinar la implantación y seguimiento de la política corporativa en el ámbito autonómico.
- Política del SAS: Directrices internas aprobadas en 2021, adaptadas al entorno sanitario y a sistemas críticos como Diraya o Receta XXI.
- Decreto 1/2011: Norma autonómica que establece los principios rectores de la seguridad TIC, como confidencialidad, integridad y gestión del riesgo.
- Jerarquía documental: Estructura que va desde la política corporativa general hasta los procedimientos específicos de cada organismo.
- Objetivos del SAS: Protección de activos, asignación de responsabilidades y aplicación de controles técnicos y organizativos en el ámbito sanitario.
- Sistemas críticos: Plataformas como Diraya, Receta XXI o RIS/PACS, prioritarias en la política de seguridad del SAS.
- Seguimiento y auditoría: Mecanismos para evaluar la eficacia de las medidas y garantizar la mejora continua de la seguridad TIC.
- Gestión del riesgo: Proceso clave para identificar, evaluar y mitigar amenazas en los sistemas de información.
- Principios de seguridad: Confidencialidad, integridad, disponibilidad, continuidad y separación de funciones, entre otros.
- Resolución de 2021: Acto administrativo por el que el SAS aprobó su política de seguridad TIC específica.
🧠 Recuerda
- La política de seguridad TIC de la Junta de Andalucía es de obligado cumplimiento para el SAS.
- El ENS (RD 311/2022) es el marco normativo nacional que sustenta esta política.
- La Agencia Digital de Andalucía coordina la implantación de la política corporativa.
- El SAS tiene su propia política, aprobada en 2021, adaptada al entorno sanitario.
- Los sistemas críticos del SAS, como Diraya o Receta XXI, son prioritarios en su política de seguridad.
- El Decreto 1/2011 establece los principios rectores de la seguridad TIC en la Administración autonómica.
- La política corporativa se estructura en una jerarquía documental que va desde lo general a lo específico.
- La gestión del riesgo y la mejora continua son elementos clave de la política de seguridad.
- La confidencialidad, integridad y disponibilidad son principios fundamentales en la protección de la información.
- El SAS desarrolla controles técnicos y organizativos para garantizar la seguridad de sus sistemas.
7. Estrategia Europea, Nacional y Andaluza de Ciberseguridad
🎯 Idea clave
- Las estrategias de ciberseguridad en Europa, España y Andalucía establecen marcos complementarios para garantizar la protección de redes, sistemas y datos en el ámbito digital.
- La Estrategia Europea de Ciberseguridad prioriza la resiliencia, la soberanía tecnológica y la cooperación internacional como ejes fundamentales.
- La Estrategia Nacional de Ciberseguridad 2019 de España articula cinco objetivos clave, alineados con la seguridad nacional y la normativa europea.
- La Estrategia Andaluza de Ciberseguridad 2022-2026 concreta prioridades autonómicas, reforzando estructuras de gobierno y capacidades operativas en la Junta de Andalucía.
- Las estrategias no son documentos aislados, sino sistemas encadenados que exigen coordinación entre niveles administrativos para garantizar la seguridad de servicios esenciales como los sanitarios.
- El Servicio Andaluz de Salud (SAS) debe aplicar estos marcos para proteger datos de salud, sistemas clínicos y la continuidad asistencial.
📚 Desarrollo
Marco europeo. La Estrategia Europea de Ciberseguridad (adoptada el 16 de diciembre de 2020) se estructura en tres áreas prioritarias: resiliencia y soberanía tecnológica, capacidad operativa para prevenir y responder a ciberamenazas, y cooperación internacional para un ciberespacio abierto y seguro. Este marco exige a los Estados miembros convergencia en políticas de protección de infraestructuras críticas y servicios esenciales, como los sanitarios, alineándose con directivas como la NIS2 (Directiva (UE) 2022/2555).
Estrategia Nacional de Ciberseguridad 2019. España aprobó su Estrategia Nacional de Ciberseguridad (ENC) 2019 mediante el Consejo de Seguridad Nacional, con cinco objetivos principales: garantizar la seguridad y resiliencia de redes y sistemas, impulsar la ciberseguridad como factor de desarrollo digital, promover la capacitación profesional y la concienciación ciudadana, aplicar el marco normativo con colaboración público-privada, y fortalecer la posición internacional de España en ciberseguridad. Esta estrategia se materializa en el Plan Nacional de Ciberseguridad, que concreta líneas de acción con responsables, plazos y financiación.
Actualización y vigencia. Aunque en 2025 se inició el procedimiento para elaborar una nueva estrategia nacional, la ENC 2019 sigue siendo la referencia oficial vigente. Su actualización futura incorporará avances como la Directiva NIS2, la inteligencia artificial y la criptografía postcuántica, pero no ha supuesto aún la derogación formal del documento de 2019. Este enfoque gradual asegura la continuidad en la protección de servicios esenciales y sistemas críticos.
Estrategia Andaluza de Ciberseguridad 2022-2026. La Junta de Andalucía aprobó su Estrategia Andaluza de Ciberseguridad el 18 de octubre de 2022, prorrogada hasta 2026 mediante Acuerdo de 30 de diciembre de 2025. Este instrumento define cuatro retos estratégicos: digitalizar la administración autonómica, posicionar a Andalucía como referente en ciberseguridad, impulsar la capacidad de empresas y tejido económico, y atraer talento especializado. Además, establece ocho objetivos específicos: fortalecer estructuras de gobierno, reforzar capacidades de prevención, detección y respuesta, fomentar la cooperación interinstitucional, mejorar la cultura de ciberseguridad, entre otros.
Alineación con el SAS. La estrategia andaluza aporta un marco institucional de referencia para el Servicio Andaluz de Salud (SAS), reforzando la necesidad de seguridad operativa, formación continua, gestión de incidentes y cooperación con otros organismos. Dado que el SAS gestiona datos especialmente protegidos y presta servicios esenciales, su política de seguridad TIC debe alinearse con los objetivos autonómicos, nacionales y europeos, garantizando la protección de sistemas clínicos, la continuidad asistencial y el cumplimiento normativo.
Estructuras de apoyo. La estrategia andaluza se sustenta en entidades como la Agencia Digital de Andalucía (ADA), el Centro de Ciberseguridad de Andalucía (ubicado en Málaga) y el SOC de la Junta (encargado de la prevención, detección y respuesta a incidentes). Estas estructuras proporcionan capacidades técnicas y operativas para implementar las líneas de actuación definidas en la estrategia, asegurando su aplicación efectiva en organismos como el SAS.
Complementariedad de niveles. Las estrategias europea, nacional y andaluza no operan de forma aislada, sino como un sistema integrado. Europa establece directrices generales, España organiza la ciberseguridad como política de seguridad nacional, y Andalucía adapta estas prioridades a su contexto autonómico. Para el SAS, esto implica aplicar un marco normativo y operativo coherente, que combine el Esquema Nacional de Seguridad (ENS), el Decreto 1/2011 (política de seguridad TIC de la Junta) y la propia estrategia andaluza.
🧩 Elementos esenciales
- Estrategia Europea de Ciberseguridad: Adoptada en 2020, prioriza resiliencia, soberanía tecnológica y cooperación internacional para un ciberespacio seguro.
- ENC 2019: Estrategia Nacional de Ciberseguridad de España, con cinco objetivos clave y vigente a pesar de los procesos de actualización iniciados en 2025.
- Plan Nacional de Ciberseguridad: Instrumento derivado de la ENC 2019 que concreta líneas de acción, responsables y plazos.
- Estrategia Andaluza de Ciberseguridad 2022-2026: Aprobada en 2022 y prorrogada hasta 2026, define cuatro retos y ocho objetivos para la Junta de Andalucía.
- Retos autonómicos: Digitalización de la administración, posicionamiento como referente, impulso a empresas y atracción de talento en ciberseguridad.
- Objetivos específicos: Gobierno, prevención, detección, respuesta, cooperación, cultura de ciberseguridad, industria y talento.
- Agencia Digital de Andalucía (ADA): Entidad clave para la implementación de la estrategia autonómica.
- Centro de Ciberseguridad de Andalucía: Ubicado en Málaga, refuerza las capacidades operativas de la Junta.
- SOC de la Junta: Centro de operaciones de seguridad encargado de la prevención, detección y respuesta a incidentes.
- Alineación normativa: El SAS debe integrar el ENS, el Decreto 1/2011 y la estrategia andaluza en su política de seguridad TIC.
- Servicios esenciales: La protección de datos sanitarios y sistemas clínicos exige la aplicación coordinada de los marcos estratégicos.
- Cooperación interinstitucional: Las estrategias promueven la colaboración entre administraciones para garantizar la resiliencia y continuidad de servicios.
🧠 Recuerda
- La Estrategia Europea de Ciberseguridad se centra en resiliencia, soberanía tecnológica y cooperación internacional.
- La Estrategia Nacional de Ciberseguridad 2019 sigue vigente y articula cinco objetivos clave para España.
- La Estrategia Andaluza de Ciberseguridad 2022-2026 fue prorrogada hasta 2026 y define retos y objetivos específicos para la Junta.
- Los cuatro retos autonómicos son digitalizar la administración, ser referente, impulsar empresas y atraer talento.
- Los ocho objetivos de la estrategia andaluza incluyen gobierno, prevención, detección, respuesta y cooperación.
- El SAS debe alinear su política de seguridad con los marcos europeo, nacional y autonómico.
- La Agencia Digital de Andalucía, el Centro de Ciberseguridad y el SOC son estructuras clave para implementar la estrategia autonómica.
- Las estrategias no son documentos aislados, sino sistemas encadenados que exigen coordinación entre niveles administrativos.
- La protección de datos de salud y sistemas clínicos depende de la aplicación efectiva de estos marcos estratégicos.
- La Directiva NIS2 y el Esquema Nacional de Seguridad son referencias normativas esenciales para el SAS.
