1. La seguridad de las tecnologías de la información: objetivos, estrategias, políticas, organización y planificación
🎯 Idea clave
- La seguridad de las tecnologías de la información en el Servicio Andaluz de Salud (SAS) busca garantizar la protección de los sistemas y datos sanitarios.
- Los objetivos principales incluyen la confidencialidad, integridad y disponibilidad de la información, así como el cumplimiento normativo.
- La estrategia se basa en un enfoque integral que abarca prevención, detección, respuesta y recuperación ante incidentes.
- La organización de la seguridad TIC en el SAS se estructura en órganos específicos con responsabilidades definidas.
- La planificación se sustenta en marcos normativos como el Esquema Nacional de Seguridad (ENS) y el Decreto 1/2011 de la Junta de Andalucía.
- La política de seguridad TIC del SAS se concreta en una resolución específica que establece directrices y medidas técnicas y organizativas.
📚 Desarrollo
Marco normativo. La seguridad de las tecnologías de la información en el SAS se enmarca en normativas autonómicas, nacionales y europeas. El Decreto 1/2011 de la Junta de Andalucía establece la política de seguridad TIC para toda la Administración autonómica, incluyendo al SAS. Este decreto, modificado por el Decreto 70/2017, define principios rectores como la seguridad integral y la gestión de riesgos. A nivel nacional, el Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS), que sirve como referencia para la protección de sistemas y datos en el sector público.
Objetivos fundamentales. Los objetivos de la seguridad TIC en el SAS se centran en proteger los sistemas de información y los datos de salud. Entre ellos destacan la confidencialidad, que garantiza que la información solo sea accesible para personas autorizadas; la integridad, que asegura que los datos no sean alterados de forma no autorizada; y la disponibilidad, que garantiza el acceso a los sistemas cuando sea necesario. Además, se busca cumplir con la normativa aplicable, como el Reglamento General de Protección de Datos (RGPD), y asegurar la continuidad de los servicios sanitarios.
Estrategia de seguridad. La estrategia del SAS adopta un enfoque integral que abarca todas las fases del ciclo de vida de los sistemas de información. Se basa en cuatro pilares: prevención, para evitar incidentes mediante medidas técnicas y organizativas; detección, para identificar amenazas en tiempo real; respuesta, para actuar ante incidentes de seguridad; y recuperación, para restaurar los sistemas y datos afectados. Esta estrategia se alinea con las directrices del ENS y se implementa a través de la Política de Seguridad TIC del SAS, aprobada por Resolución de 8 de abril de 2021.
Política de seguridad TIC. La Política de Seguridad TIC del SAS es el instrumento normativo que concreta la aplicación del ENS en el ámbito sanitario andaluz. Aprobada por la Dirección Gerencia del SAS, define principios, roles, responsabilidades y directrices para todos los usuarios y sistemas. Su ámbito de aplicación incluye los servicios centrales, centros sanitarios, personal del SAS y centros concertados que compartan información con el organismo. La política establece medidas técnicas y organizativas, como la gestión de accesos, la protección de datos y la formación del personal.
Organización de la seguridad. La estructura organizativa de la seguridad TIC en el SAS se articula en torno a órganos específicos con funciones diferenciadas. La Dirección Gerencia del SAS es la responsable última de la seguridad de los sistemas. La Dirección General de Sistemas de Información y Transformación Digital coordina la implementación de la política, mientras que la Unidad de Seguridad de los Sistemas de Información (USSI) ejecuta las medidas de seguridad y gestiona los incidentes. Además, el Comité Superior Interior y de Seguridad de la Información en Tecnologías (CSISTIC-SAS) actúa como órgano rector de la política de seguridad.
Planificación y gestión de riesgos. La planificación de la seguridad TIC en el SAS se basa en la gestión de riesgos, que implica identificar, analizar y tratar las amenazas potenciales. Este proceso permite adoptar medidas proporcionales al nivel de riesgo identificado. La Resolución de 8 de abril de 2021 establece que la política de seguridad debe revisarse periódicamente para adaptarse a los cambios tecnológicos y normativos. Además, se promueve la formación continua del personal para garantizar el cumplimiento de las normas de seguridad.
Principios rectores. El Decreto 1/2011 establece principios clave que guían la seguridad TIC en el SAS. Entre ellos destacan la seguridad integral, que aborda la seguridad de forma transversal en todas las fases del ciclo de vida de los sistemas; la gestión de riesgos, que analiza y trata los riesgos como base para la adopción de medidas; y el enfoque en prevención, detección, respuesta y recuperación. Estos principios aseguran que la seguridad no se limite a medidas técnicas, sino que también incluya aspectos organizativos y legales.
🧩 Elementos esenciales
- Decreto 1/2011: Marco normativo autonómico que establece la política de seguridad TIC en la Junta de Andalucía y el SAS.
- Real Decreto 311/2022 (ENS): Regula la seguridad de los sistemas de información en el sector público, aplicable al SAS.
- Resolución de 8 de abril de 2021: Aprueba la Política de Seguridad TIC del SAS, definiendo objetivos, responsabilidades y medidas.
- Confidencialidad, integridad y disponibilidad: Objetivos fundamentales de la seguridad TIC en el SAS.
- Prevención, detección, respuesta y recuperación: Pilares de la estrategia de seguridad del SAS.
- Dirección Gerencia del SAS: Responsable última de la seguridad de los sistemas de información.
- Dirección General de Sistemas de Información y Transformación Digital: Coordina la implementación de la política de seguridad.
- Unidad de Seguridad de los Sistemas de Información (USSI): Ejecuta las medidas de seguridad y gestiona los incidentes.
- Comité Superior Interior y de Seguridad de la Información (CSISTIC-SAS): Órgano rector de la política de seguridad TIC en el SAS.
- Gestión de riesgos: Proceso clave para identificar, analizar y tratar amenazas en los sistemas del SAS.
- Formación del personal: Obligación de los profesionales del SAS para cumplir las normas de seguridad y reportar incidentes.
- Ámbito de aplicación: Incluye servicios centrales, centros sanitarios, personal del SAS y centros concertados.
🧠 Recuerda
- La seguridad TIC en el SAS se rige por normativas autonómicas, nacionales y europeas.
- Los objetivos principales son la confidencialidad, integridad y disponibilidad de la información.
- La estrategia de seguridad abarca prevención, detección, respuesta y recuperación.
- La Política de Seguridad TIC del SAS se aprobó por Resolución de 8 de abril de 2021.
- La Dirección Gerencia del SAS es la responsable última de la seguridad de los sistemas.
- La gestión de riesgos es la base para adoptar medidas de seguridad proporcionales.
- El CSISTIC-SAS actúa como órgano rector de la política de seguridad.
- La formación del personal es clave para garantizar el cumplimiento de las normas.
- El ámbito de aplicación incluye todos los centros y profesionales del SAS.
- La política de seguridad debe revisarse periódicamente para adaptarse a los cambios.
2. La evaluación y certificación de la seguridad de las tecnologías de la información
🎯 Idea clave
- La evaluación de la seguridad de las tecnologías de la información verifica el cumplimiento de los requisitos establecidos en el Esquema Nacional de Seguridad (ENS).
- La certificación acredita formalmente la conformidad de los sistemas con los niveles de seguridad exigidos por el ENS.
- El CCN-STIC 802 regula el proceso de auditoría de seguridad en el marco del ENS.
- Las categorías BÁSICA, MEDIA y ALTA determinan el alcance y profundidad de las evaluaciones y certificaciones.
- La Entidad Nacional de Acreditación (ENAC) reconoce a las entidades de certificación autorizadas para emitir certificados de conformidad.
- El Servicio Andaluz de Salud (SAS) aplica estos procesos para garantizar la seguridad de sus sistemas de información sanitarios.
📚 Desarrollo
Marco normativo. La evaluación y certificación de la seguridad de las tecnologías de la información en el ámbito del Servicio Andaluz de Salud (SAS) se rige por el Real Decreto 311/2022, que establece el Esquema Nacional de Seguridad (ENS). Este marco normativo define los requisitos mínimos que deben cumplir los sistemas de información de las administraciones públicas, incluyendo los del SAS, para garantizar la protección de los datos y servicios que gestionan.
Proceso de auditoría. El ENS, en su artículo 31, regula la auditoría de la seguridad como mecanismo para verificar el cumplimiento de los requisitos establecidos. El CCN-STIC 802 desarrolla este proceso, detallando las metodologías, herramientas y criterios que deben seguirse para realizar auditorías efectivas. Estas auditorías pueden ser internas o externas, y su periodicidad depende de la categoría de seguridad asignada al sistema (BÁSICA, MEDIA o ALTA).
Categorías de seguridad. Los sistemas de información del SAS se clasifican en tres categorías según su nivel de criticidad: BÁSICA, MEDIA y ALTA. Esta clasificación determina el alcance de las evaluaciones y certificaciones, así como la profundidad de los controles aplicados. Por ejemplo, los sistemas de categoría ALTA requieren auditorías más exhaustivas y frecuentes que los de categoría BÁSICA, debido a la mayor sensibilidad de los datos y servicios que gestionan.
Certificación de conformidad. La certificación de la seguridad de los sistemas de información del SAS se realiza conforme al ENS y a las Instrucciones Técnicas de Seguridad (ITS) asociadas. El artículo 38 del ENS establece que la conformidad puede demostrarse mediante certificados emitidos por entidades de certificación acreditadas por la Entidad Nacional de Acreditación (ENAC). Estas entidades evalúan si los sistemas cumplen con los requisitos del ENS y emiten un certificado que acredita su conformidad.
Entidades de certificación. Las entidades de certificación deben estar reconocidas por la ENAC y operar conforme a la norma UNE-EN ISO/IEC 17065:2012, que regula los requisitos para la certificación de productos, procesos y servicios. En el caso del SAS, estas entidades verifican que los sistemas de información cumplen con los controles de seguridad establecidos en el ENS, especialmente en lo relativo a la protección de datos sanitarios y la continuidad de los servicios críticos.
Aplicación en el SAS. El Servicio Andaluz de Salud aplica estos procesos de evaluación y certificación de manera transversal a todos sus sistemas de información. Esto incluye, por ejemplo, los sistemas de historia clínica electrónica, los sistemas de gestión de citas o los sistemas de facturación, que deben someterse a auditorías periódicas para garantizar su conformidad con el ENS. La certificación no solo es un requisito legal, sino también una garantía para los ciudadanos de que sus datos están protegidos.
Herramientas y guías. Para facilitar la evaluación y certificación, el Centro Criptológico Nacional (CCN) proporciona guías y herramientas como el CCN-STIC 808 (guía de auditoría) y el CCN-STIC 809 (guía de certificación). Estas herramientas ayudan al SAS a implementar los controles necesarios y a preparar los sistemas para las auditorías y certificaciones, asegurando que se cumplen los estándares de seguridad exigidos.
🧩 Elementos esenciales
- Evaluación de seguridad: Proceso de verificación del cumplimiento de los requisitos del ENS mediante auditorías internas o externas.
- Certificación de conformidad: Acreditación formal emitida por una entidad reconocida que garantiza que un sistema cumple con el ENS.
- Categorías BÁSICA/MEDIA/ALTA: Clasificación de los sistemas según su nivel de criticidad, que determina el alcance de las evaluaciones.
- CCN-STIC 802: Guía que regula el proceso de auditoría de seguridad en el marco del ENS.
- CCN-STIC 808: Guía de auditoría que detalla las metodologías y herramientas para evaluar la seguridad de los sistemas.
- CCN-STIC 809: Guía de certificación que establece los criterios para acreditar la conformidad con el ENS.
- Entidad de Certificación: Organismo acreditado por la ENAC para emitir certificados de conformidad con el ENS.
- ENAC: Entidad Nacional de Acreditación, responsable de reconocer a las entidades de certificación.
- UNE-EN ISO/IEC 17065:2012: Norma que regula los requisitos para la certificación de productos, procesos y servicios.
- Artículo 31 del ENS: Regula la auditoría de la seguridad como mecanismo de verificación del cumplimiento de los requisitos.
- Artículo 38 del ENS: Establece los criterios para la determinación de la conformidad de los sistemas con el ENS.
- CPSTIC: Catálogo de Productos y Servicios de Tecnologías de la Información y Comunicaciones para la Seguridad, que incluye productos certificados para su uso en sistemas del ENS.
🧠 Recuerda
- La evaluación y certificación de la seguridad son procesos obligatorios para los sistemas del SAS conforme al ENS.
- Las categorías BÁSICA, MEDIA y ALTA determinan la profundidad y frecuencia de las auditorías.
- El CCN-STIC 802 es la guía clave para realizar auditorías de seguridad en el marco del ENS.
- La certificación de conformidad la emiten entidades acreditadas por la ENAC.
- La norma UNE-EN ISO/IEC 17065:2012 regula los requisitos para las entidades de certificación.
- El SAS aplica estos procesos a todos sus sistemas de información, especialmente a los que gestionan datos sanitarios.
- Las guías CCN-STIC 808 y 809 son herramientas esenciales para preparar las auditorías y certificaciones.
- La certificación no solo es un requisito legal, sino también una garantía de protección para los ciudadanos.
3. Medidas de seguridad (físicas, técnicas, organizativas y legales)
🎯 Idea clave
- Las medidas de seguridad en el Servicio Andaluz de Salud (SAS) se estructuran en cuatro dimensiones: físicas, técnicas, organizativas y legales.
- El Esquema Nacional de Seguridad (ENS) establece los requisitos mínimos que deben cumplir los sistemas de información del SAS.
- La categorización de los sistemas sanitarios como alta en confidencialidad, integridad y disponibilidad exige medidas reforzadas.
- Las medidas físicas incluyen controles de acceso, climatización redundante y protección contra fallos eléctricos en centros de datos.
- Las medidas técnicas abarcan autenticación, cifrado, cortafuegos y bastionado de sistemas críticos como Diraya.
- Las medidas organizativas y legales definen roles, responsabilidades y procedimientos para garantizar el cumplimiento normativo.
📚 Desarrollo
Marco normativo aplicable. Las medidas de seguridad del SAS se rigen por el Real Decreto 311/2022 (ENS) y la normativa autonómica andaluza, como el Decreto 1/2011 y la Resolución de 8 de abril de 2021 del SAS. Estas normas exigen un enfoque integral que combine medidas físicas, técnicas, organizativas y legales para proteger los sistemas de información sanitarios.
Categorización de sistemas. Los sistemas críticos del SAS, como Diraya (historia clínica electrónica) o Receta Electrónica, se clasifican como alta en las dimensiones de confidencialidad, integridad y disponibilidad. Esta categorización obliga a implementar medidas de seguridad reforzadas, como controles de acceso biométricos, cifrado de datos y redundancia en infraestructuras.
Medidas físicas. En los centros de datos del SAS, como el Centro de Proceso de Datos de Sevilla, se aplican controles de acceso físico mediante tarjetas y biometría, sistemas de climatización redundantes, SAI (Sistemas de Alimentación Ininterrumpida) y grupos electrógenos. En centros de salud y hospitales, los puestos con acceso a datos clínicos deben bloquearse automáticamente tras un periodo de inactividad, generalmente establecido en 5 minutos.
Medidas técnicas. El SAS implementa medidas técnicas como autenticación multifactor, cifrado de datos en tránsito y en reposo, cortafuegos perimetrales y bastionado de sistemas. Los sistemas críticos, como los de gestión clínica, deben cumplir con los requisitos del ENS Anexo II, que incluyen la gestión de vulnerabilidades, la monitorización continua y la protección contra malware.
Medidas organizativas. La Resolución de 8 de abril de 2021 del SAS define roles clave como el Responsable de Seguridad TIC, el Responsable de la Información y el Delegado de Protección de Datos (DPD). Estos roles son responsables de garantizar el cumplimiento de las políticas de seguridad, la gestión de riesgos y la coordinación con la Agencia Digital de Andalucía (ADA) y el CCN-CERT.
Medidas legales. El SAS debe alinear sus medidas con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), que exigen la protección de datos personales y la notificación de brechas de seguridad. Además, la normativa autonómica obliga a documentar las medidas adoptadas en la Declaración de Aplicabilidad, un requisito clave del ENS.
Dimensiones de la seguridad. Las medidas del SAS se organizan en torno a las dimensiones CIDAT: Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad. Cada dimensión requiere medidas específicas, como el cifrado para la confidencialidad o los registros de auditoría para la trazabilidad, garantizando un enfoque holístico de la seguridad.
🧩 Elementos esenciales
- Medidas físicas: Controles de acceso (tarjetas, biometría), climatización redundante, SAI y grupos electrógenos en centros de datos.
- Categorización alta: Sistemas como Diraya y Receta Electrónica requieren medidas reforzadas por su criticidad.
- Bloqueo automático: Puestos con acceso a datos clínicos deben bloquearse tras 5 minutos de inactividad.
- Autenticación multifactor: Medida técnica obligatoria para acceder a sistemas críticos del SAS.
- Cifrado de datos: Aplicado tanto en tránsito como en reposo para garantizar la confidencialidad.
- Cortafuegos perimetrales: Protegen la red del SAS contra accesos no autorizados.
- Bastionado de sistemas: Refuerzo de la seguridad en sistemas críticos mediante configuraciones seguras.
- Responsable de Seguridad TIC: Rol clave para garantizar el cumplimiento de las políticas de seguridad.
- Delegado de Protección de Datos (DPD): Encargado de velar por el cumplimiento del RGPD y la LOPDGDD.
- Declaración de Aplicabilidad: Documento obligatorio que recoge las medidas de seguridad implementadas según el ENS.
- Dimensiones CIDAT: Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad como ejes de las medidas.
- Coordinación con ADA: La Agencia Digital de Andalucía supervisa la implementación de medidas en el SAS.
🧠 Recuerda
- Las medidas de seguridad del SAS se dividen en físicas, técnicas, organizativas y legales.
- El ENS y la normativa autonómica son los marcos normativos principales.
- Los sistemas críticos del SAS se categorizan como alta en confidencialidad, integridad y disponibilidad.
- Las medidas físicas incluyen controles de acceso, climatización y protección eléctrica.
- Las medidas técnicas abarcan autenticación, cifrado y bastionado de sistemas.
- Los roles como el Responsable de Seguridad TIC y el DPD son clave para la gestión organizativa.
- La Declaración de Aplicabilidad es un requisito legal del ENS.
- Las dimensiones CIDAT guían la implementación de medidas en el SAS.
- La coordinación con la Agencia Digital de Andalucía y el CCN-CERT es esencial.
- El RGPD y la LOPDGDD exigen protección de datos personales y notificación de brechas.
4. Planes de contingencia y recuperación ante desastres
🎯 Idea clave
- Los planes de contingencia definen cómo mantener o recuperar funciones críticas ante interrupciones graves en los sistemas de información.
- La recuperación ante desastres (DRP) se centra en restablecer la operatividad tras incidentes que afecten a infraestructuras o datos esenciales.
- En el SAS, estos planes deben priorizar servicios críticos como diagnóstico, farmacia y gestión sanitaria.
- La activación, escalado y comunicación deben estar predefinidos para evitar improvisaciones durante una crisis.
- Los planes requieren pruebas periódicas y actualización continua para garantizar su eficacia operativa.
- La continuidad del servicio es un requisito legal y técnico, alineado con el Esquema Nacional de Seguridad (ENS) y normativas sectoriales.
📚 Desarrollo
Definición y alcance. Los planes de contingencia y recuperación ante desastres son documentos estratégicos que establecen procedimientos para garantizar la continuidad de los servicios esenciales del Servicio Andaluz de Salud (SAS). Su objetivo es minimizar el impacto de interrupciones, ya sean causadas por fallos técnicos, ciberataques, desastres naturales o errores humanos. En el ámbito sanitario, estos planes adquieren especial relevancia debido a la criticidad de los datos y sistemas gestionados, como historias clínicas electrónicas, sistemas de prescripción o plataformas de telemedicina.
Base normativa. El marco legal que sustenta estos planes incluye el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, que exige a las administraciones públicas garantizar la continuidad de los servicios digitales. Además, el SAS debe alinearse con las directrices de la Estrategia de Ciberseguridad de la Junta de Andalucía y con normativas sectoriales como la Directiva NIS2 de la UE, que refuerza los requisitos de resiliencia en sectores críticos, incluyendo la sanidad. Estos marcos establecen la obligación de realizar análisis de riesgos, definir roles y responsabilidades, y probar regularmente los planes.
Análisis de impacto (BIA). Antes de diseñar un plan de contingencia, es imprescindible realizar un análisis de impacto en el negocio (BIA) para identificar los servicios críticos y sus dependencias. En el SAS, esto implica evaluar sistemas como la gestión de citas, la prescripción electrónica o los sistemas de diagnóstico por imagen, determinando su prioridad en función del impacto en la atención sanitaria. El BIA permite establecer métricas clave como el RPO (Recovery Point Objective) y el RTO (Recovery Time Objective), que definen, respectivamente, la cantidad de datos que pueden perderse y el tiempo máximo admisible para recuperar la operatividad.
Estructura del plan. Un plan de contingencia efectivo debe incluir, al menos, los siguientes elementos: criterios de activación, roles y responsabilidades, procedimientos de escalado, protocolos de comunicación interna y externa, recursos necesarios (humanos, técnicos y logísticos), y estrategias de recuperación. En el SAS, es fundamental definir equipos multidisciplinares que integren personal técnico, responsables de seguridad y representantes de las áreas clínicas afectadas. La comunicación debe ser clara y ágil, evitando cuellos de botella que retrasen la toma de decisiones durante una crisis.
Estrategias de recuperación. Las estrategias de recuperación varían según la criticidad del servicio y los recursos disponibles. En entornos sanitarios, se suelen emplear modelos como cold site (infraestructura básica sin datos previos), warm site (infraestructura parcialmente preparada) o hot site (infraestructura replicada en tiempo real). El SAS debe garantizar la disponibilidad de copias de seguridad inmutables, almacenadas en ubicaciones geográficamente dispersas, siguiendo la regla 3-2-1: tres copias de los datos, en dos soportes distintos, con una copia fuera de las instalaciones principales. Estas medidas aseguran la integridad y disponibilidad de la información incluso en escenarios de desastre.
Pruebas y mejora continua. Un plan de contingencia no es efectivo si no se prueba regularmente. El SAS debe realizar simulacros periódicos que incluyan escenarios realistas, como fallos de red, ciberataques o pérdida de datos. Estos ejercicios permiten identificar debilidades, ajustar procedimientos y formar al personal en sus roles específicos. Tras cada prueba, es esencial documentar los resultados, analizar las lecciones aprendidas y actualizar el plan en consecuencia. La mejora continua es un requisito del ENS y de normativas como la ISO 22301, que establece estándares para la gestión de la continuidad del negocio.
Coordinación con otros planes. Los planes de contingencia y recuperación ante desastres deben integrarse con otros documentos estratégicos del SAS, como el Plan de Seguridad de la Información o el Plan de Continuidad de Negocio. Esta coordinación evita duplicidades y asegura que todas las medidas de protección sean coherentes. Además, el SAS debe alinear sus planes con los protocolos de la Agencia Digital de Andalucía (ADA) y con los equipos de respuesta a incidentes como el CCN-CERT o el Andalucía-CERT, garantizando una respuesta coordinada ante incidentes de ciberseguridad que afecten a múltiples organismos.
🧩 Elementos esenciales
- Plan de contingencia: Documento que define cómo mantener o recuperar funciones críticas ante interrupciones, priorizando servicios esenciales como diagnóstico o farmacia.
- Plan de recuperación ante desastres (DRP): Estrategia específica para restablecer la operatividad tras incidentes graves que afecten a infraestructuras o datos.
- BIA (Business Impact Analysis): Análisis previo que identifica servicios críticos, dependencias y métricas como RPO y RTO.
- RPO (Recovery Point Objective): Cantidad máxima de datos que pueden perderse sin afectar gravemente a la operatividad.
- RTO (Recovery Time Objective): Tiempo máximo admisible para recuperar un servicio tras una interrupción.
- Regla 3-2-1: Estrategia de copias de seguridad que exige tres copias, en dos soportes distintos, con una copia externa.
- Cold site/Warm site/Hot site: Modelos de infraestructura de recuperación, desde básica (cold) hasta replicada en tiempo real (hot).
- Copias inmutables: Backups protegidos contra modificaciones o eliminaciones, garantizando su integridad.
- Pruebas periódicas: Simulacros obligatorios para validar la eficacia del plan y formar al personal.
- Escalado predefinido: Protocolos claros para notificar y gestionar incidentes, evitando improvisaciones durante una crisis.
- Coordinación con ADA y CERTs: Integración con equipos de respuesta a incidentes para una gestión unificada de crisis.
- ISO 22301: Norma internacional que establece requisitos para la gestión de la continuidad del negocio.
🧠 Recuerda
- Un plan de contingencia no es un documento estático: requiere actualización continua y pruebas periódicas.
- La improvisación durante una crisis aumenta el daño; todos los procedimientos deben estar predefinidos.
- Los servicios críticos del SAS, como diagnóstico o farmacia, deben ser prioridad en cualquier plan de recuperación.
- El BIA es la base para definir RPO y RTO, métricas clave para la continuidad del servicio.
- La regla 3-2-1 es una estrategia básica para garantizar la disponibilidad de copias de seguridad.
- Los simulacros permiten identificar debilidades y formar al personal en sus roles específicos.
- La coordinación con la Agencia Digital de Andalucía y los CERTs es esencial para una respuesta efectiva.
- El ENS y la Directiva NIS2 exigen a las administraciones públicas garantizar la continuidad de los servicios digitales.
- Un plan no probado no demuestra capacidad operativa; las pruebas son tan importantes como el documento en sí.
- La mejora continua es un requisito legal y técnico para mantener la eficacia de los planes.
5. Respaldo y continuidad
🎯 Idea clave
- El respaldo y la continuidad son elementos críticos para garantizar la disponibilidad de los sistemas de información en el Servicio Andaluz de Salud.
- La implementación de estrategias de respaldo debe alinearse con normativas como el Esquema Nacional de Seguridad y el RGPD.
- La continuidad operativa en el SAS depende de la gestión de datos críticos, como historias clínicas electrónicas y sistemas de telemedicina.
- Los planes de respaldo y continuidad deben integrarse en la estrategia global de ciberseguridad de la Junta de Andalucía.
- La recuperación ante desastres exige protocolos específicos para minimizar el impacto en la prestación de servicios sanitarios.
- La coordinación entre los órganos centrales y territoriales del SAS es esencial para una respuesta efectiva ante incidencias.
📚 Desarrollo
Marco normativo. La implementación de estrategias de respaldo y continuidad en el Servicio Andaluz de Salud (SAS) se rige por el Esquema Nacional de Seguridad (ENS) y el Reglamento General de Protección de Datos (RGPD). Estas normativas establecen los requisitos mínimos para garantizar la integridad, confidencialidad y disponibilidad de la información, especialmente en un entorno sanitario donde los datos son críticos y sensibles.
Datos críticos gestionados. El SAS maneja un volumen masivo de información esencial para la atención sanitaria, como historias clínicas electrónicas, sistemas de gestión de citas, prescripción electrónica y plataformas de telemedicina. La pérdida o interrupción de estos sistemas podría comprometer la calidad asistencial y la seguridad de los pacientes, por lo que los protocolos de respaldo deben priorizar su protección y recuperación inmediata.
Alineación con estrategias de ciberseguridad. Las medidas de respaldo y continuidad no operan de forma aislada, sino que se integran en la Estrategia de Ciberseguridad de la Junta de Andalucía. Esta estrategia define directrices para la protección de infraestructuras digitales, la gestión de riesgos y la respuesta coordinada ante incidentes, asegurando que los sistemas del SAS cumplan con los estándares de seguridad exigidos.
Coordinación institucional. La aplicación de estos protocolos requiere una estrecha colaboración entre los órganos centrales y territoriales del SAS, como la Dirección Gerencia, las gerencias de área de gestión sanitaria y los equipos técnicos de soporte. Esta estructura organizativa permite una respuesta ágil y descentralizada, adaptada a las necesidades específicas de cada centro sanitario.
Planes de contingencia. Los planes de recuperación ante desastres en el SAS incluyen procedimientos para restaurar los sistemas en el menor tiempo posible, minimizando el impacto en la atención al paciente. Estos planes deben ser testeados periódicamente para garantizar su eficacia y actualizarse en función de los cambios tecnológicos o normativos.
Enfoque sectorial. El sector sanitario presenta desafíos únicos en materia de respaldo y continuidad, como la necesidad de compatibilizar la protección de datos con la accesibilidad en situaciones de emergencia. Por ello, las soluciones implementadas en el SAS deben equilibrar seguridad, disponibilidad y usabilidad, asegurando que los profesionales sanitarios puedan acceder a la información cuando sea necesario.
Evaluación y mejora continua. La eficacia de las estrategias de respaldo y continuidad se evalúa mediante auditorías internas y externas, así como mediante la monitorización constante de los sistemas. Estos procesos permiten identificar vulnerabilidades y adoptar medidas correctivas, asegurando que los protocolos se mantengan alineados con las mejores prácticas y las exigencias legales.
🧩 Elementos esenciales
- Esquema Nacional de Seguridad (ENS): Marco normativo que establece los requisitos para la protección de sistemas de información en el sector público, incluyendo el SAS.
- RGPD: Regulación europea que exige la protección de datos personales, especialmente relevante en el ámbito sanitario por la sensibilidad de la información.
- Historias clínicas electrónicas: Datos críticos cuya disponibilidad debe garantizarse mediante protocolos de respaldo y recuperación.
- Telemedicina: Sistemas que requieren alta disponibilidad para asegurar la continuidad de la atención sanitaria a distancia.
- Estrategia de Ciberseguridad de la Junta de Andalucía: Directrices que integran las medidas de respaldo y continuidad en un marco global de protección.
- Órganos centrales y territoriales del SAS: Estructura organizativa que facilita la coordinación y respuesta ante incidencias en los sistemas de información.
- Planes de contingencia: Protocolos diseñados para restaurar los sistemas en caso de fallos o desastres, minimizando el impacto en los servicios sanitarios.
- Auditorías y monitorización: Herramientas para evaluar la eficacia de las estrategias de respaldo y detectar posibles vulnerabilidades.
- Equilibrio seguridad-disponibilidad: Principio clave para garantizar que los sistemas sean seguros sin comprometer su accesibilidad en situaciones críticas.
- Actualización continua: Proceso necesario para adaptar los protocolos a los cambios tecnológicos y normativos.
🧠 Recuerda
- El respaldo y la continuidad son prioritarios en el SAS por la criticidad de los datos sanitarios.
- Las normativas como el ENS y el RGPD son la base legal para las estrategias de protección.
- Los sistemas de telemedicina y las historias clínicas requieren especial atención en los planes de recuperación.
- La coordinación entre los órganos del SAS es clave para una respuesta efectiva ante incidencias.
- Los planes de contingencia deben ser testeados y actualizados periódicamente.
- La seguridad no debe comprometer la accesibilidad de los sistemas en situaciones de emergencia.
- Las auditorías permiten identificar y corregir vulnerabilidades en los protocolos de respaldo.
- La estrategia de ciberseguridad de la Junta de Andalucía integra las medidas de continuidad del SAS.
- La mejora continua es esencial para adaptarse a los cambios tecnológicos y normativos.
- La protección de datos y la disponibilidad de sistemas son objetivos complementarios en el ámbito sanitario.
6. Política de seguridad de las tecnologías de la información y comunicaciones en la Administración de la Junta de Andalucía y del Servicio Andaluz de Salud
🎯 Idea clave
- La política de seguridad TIC en la Junta de Andalucía se establece mediante el Decreto 1/2011, modificado por el Decreto 70/2017, para garantizar un marco corporativo de protección de activos de información.
- El Servicio Andaluz de Salud (SAS) aprueba su propia política específica mediante la Resolución de 8 de abril de 2021, alineada con el marco autonómico y el Esquema Nacional de Seguridad (ENS).
- La política del SAS abarca Servicios Centrales, centros sanitarios, instituciones integradas y terceros que accedan a sus sistemas o información, asegurando integridad, disponibilidad y confidencialidad.
- La Agencia Digital de Andalucía (ADA) asume competencias clave en la ejecución de políticas de seguridad, gestión de incidentes y coordinación con organismos nacionales como el CCN-CERT.
- La función diferenciada de seguridad TIC es un requisito normativo tanto en el Decreto 1/2011 como en el ENS, garantizando roles específicos para la gestión de la seguridad.
- La política de seguridad TIC en el ámbito sanitario prioriza la protección de datos de salud, considerados especialmente sensibles según el RGPD, y la disponibilidad de servicios críticos.
📚 Desarrollo
Marco normativo autonómico. La política de seguridad TIC en la Administración de la Junta de Andalucía se regula mediante el Decreto 1/2011, de 11 de enero, que establece el marco general para la protección de los sistemas de información y comunicaciones. Este decreto fue modificado por el Decreto 70/2017 para adaptarse a los cambios normativos y tecnológicos, reforzando los requisitos de seguridad y la estructura organizativa responsable de su implementación.
Política específica del SAS. El Servicio Andaluz de Salud aprueba su Política de Seguridad TIC mediante la Resolución de 8 de abril de 2021, publicada en el BOJA núm. 71. Este documento define los principios, objetivos y responsabilidades para proteger los activos de información y los medios de proceso del SAS, garantizando su integridad, disponibilidad y confidencialidad. La política se aplica a Servicios Centrales, centros sanitarios, instituciones integradas administrativamente, terceros concertados o consorcios que compartan información, así como a todas las personas que accedan a los sistemas de información del SAS.
Estructura organizativa y competencias. El Comité de Seguridad TIC de la Junta de Andalucía, adscrito a la Comisión Interdepartamental de la Sociedad de la Información, es el órgano colegiado encargado de aprobar las políticas de seguridad y supervisar su cumplimiento. La Agencia Digital de Andalucía (ADA), creada por el Decreto 128/2021, asume competencias en el desarrollo y ejecución de políticas de seguridad, la gestión de recursos comunes para la prevención, detección y respuesta a incidentes de ciberseguridad, y la coordinación con organismos nacionales como el CCN-CERT e INCIBE.
Función diferenciada de seguridad. Tanto el Decreto 1/2011 como el Esquema Nacional de Seguridad (ENS) exigen la existencia de una función diferenciada de seguridad TIC, que garantiza la asignación de roles específicos para la gestión de la seguridad. En el SAS, esta función se materializa a través del Responsable de Seguridad TIC y la Unidad de Seguridad TIC, encargados de implementar y supervisar las medidas de seguridad en los sistemas de información sanitarios.
Alineación con el ENS y el RGPD. La política de seguridad TIC del SAS y de la Junta de Andalucía se alinea con el Real Decreto 311/2022 (ENS), que establece los principios y requisitos para la seguridad de las redes, sistemas, datos y servicios digitales públicos. Además, en el ámbito sanitario, la protección de datos de salud —considerados especialmente sensibles según el Reglamento General de Protección de Datos (RGPD)— y la disponibilidad de los servicios críticos son prioridades absolutas.
Estrategia Andaluza de Ciberseguridad. La Estrategia Andaluza de Ciberseguridad 2022-2025, aprobada por la Junta de Andalucía, refuerza el marco de seguridad TIC en el sector público andaluz, incluyendo la sanidad. Entre sus objetivos destacan el fortalecimiento de la gobernanza, la mejora de la capacidad de detección y respuesta ante incidentes, la promoción de la formación y concienciación en ciberseguridad, y la garantía de resiliencia de los servicios públicos esenciales.
Medidas técnicas y organizativas. La política de seguridad TIC del SAS y de la Junta de Andalucía incluye medidas técnicas, como el uso de certificados digitales emitidos por la Fábrica Nacional de Moneda y Timbre (FNMT), y medidas organizativas, como la definición de procedimientos para la gestión de incidentes y la revisión periódica de las políticas. Estas medidas se complementan con acciones de formación y concienciación dirigidas a todo el personal con acceso a los sistemas de información.
Ámbito de aplicación. La política de seguridad TIC del SAS se extiende a todos los sistemas de información y comunicaciones utilizados en la prestación de servicios sanitarios, incluyendo aquellos gestionados por terceros que accedan a información o sistemas del SAS. Esto garantiza una protección homogénea y coherente en todo el ámbito sanitario andaluz, alineada con los estándares autonómicos y nacionales.
🧩 Elementos esenciales
- Decreto 1/2011: Norma que establece el marco de seguridad TIC para la Junta de Andalucía, incluyendo al SAS como organismo dependiente.
- Decreto 70/2017: Modificación del Decreto 1/2011 para adaptarlo a cambios normativos y tecnológicos.
- Resolución de 8 de abril de 2021: Documento que aprueba la Política de Seguridad TIC del SAS, definiendo principios, objetivos y responsabilidades.
- Agencia Digital de Andalucía (ADA): Organismo encargado de ejecutar políticas de seguridad, gestionar incidentes y coordinar con organismos nacionales.
- Comité de Seguridad TIC: Órgano colegiado adscrito a la Comisión Interdepartamental de la Sociedad de la Información, responsable de aprobar y supervisar políticas de seguridad.
- Función diferenciada de seguridad: Requisito normativo que garantiza roles específicos para la gestión de la seguridad TIC, tanto en el Decreto 1/2011 como en el ENS.
- Responsable de Seguridad TIC: Figura encargada de implementar y supervisar las medidas de seguridad en el SAS.
- Unidad de Seguridad TIC: Equipo especializado en la gestión de la seguridad de los sistemas de información del SAS.
- Andalucía-CERT: Centro de respuesta a incidentes de ciberseguridad en el ámbito autonómico.
- Esquema Nacional de Seguridad (ENS): Marco normativo nacional que establece los principios y requisitos para la seguridad de los sistemas de información públicos.
- RGPD: Reglamento europeo que regula la protección de datos personales, especialmente relevantes en el ámbito sanitario.
- Estrategia Andaluza de Ciberseguridad 2022-2025: Plan autonómico para mejorar la ciberseguridad en el sector público, incluyendo la sanidad.
🧠 Recuerda
- La política de seguridad TIC de la Junta de Andalucía se regula mediante el Decreto 1/2011, modificado por el Decreto 70/2017.
- El SAS tiene su propia política de seguridad TIC, aprobada por la Resolución de 8 de abril de 2021.
- La política del SAS se aplica a Servicios Centrales, centros sanitarios, instituciones integradas y terceros que accedan a sus sistemas.
- La Agencia Digital de Andalucía (ADA) es clave en la ejecución de políticas de seguridad y la gestión de incidentes.
- La función diferenciada de seguridad TIC es un requisito normativo tanto en el Decreto 1/2011 como en el ENS.
- La protección de datos de salud y la disponibilidad de servicios críticos son prioridades en el ámbito sanitario.
- La Estrategia Andaluza de Ciberseguridad 2022-2025 refuerza la seguridad en el sector público andaluz, incluyendo la sanidad.
- Las medidas de seguridad incluyen aspectos técnicos, organizativos y de formación del personal.
- La política de seguridad TIC del SAS se alinea con el ENS y el RGPD.
- El Comité de Seguridad TIC es el órgano responsable de aprobar y supervisar las políticas de seguridad en la Junta de Andalucía.
7. Estrategia Europea, Nacional y Andaluza de Ciberseguridad
🎯 Idea clave
- La Estrategia Europea de Ciberseguridad busca garantizar la resiliencia de la UE frente a ciberamenazas y promover tecnologías digitales fiables.
- La Estrategia Nacional de Ciberseguridad 2019 establece el marco de actuación de España para proteger el ciberespacio y los derechos de los ciudadanos.
- La Estrategia Andaluza de Ciberseguridad 2022-2025 adapta las directrices europeas y nacionales al ámbito autonómico, con enfoque en la Administración Pública andaluza y el sector sanitario.
- La estrategia andaluza fue aprobada en 2022 y prorrogada hasta 2026, alineándose con el Esquema Nacional de Seguridad (ENS) y el Decreto 1/2011.
- Los objetivos principales incluyen fortalecer la gobernanza, mejorar la capacidad de respuesta ante incidentes y promover la cultura de ciberseguridad en empresas y ciudadanos.
- El Servicio Andaluz de Salud (SAS) se integra en esta estrategia, aplicando auditorías periódicas y certificaciones conforme al ENS.
📚 Desarrollo
Marco europeo. La Estrategia Europea de Ciberseguridad, impulsada por la Comisión Europea, tiene como objetivo principal construir una Unión Europea resiliente frente a ciberamenazas. Promueve la creación de un ecosistema digital seguro, basado en tecnologías fiables y en la cooperación entre Estados miembros. Esta estrategia se enmarca en iniciativas como la Directiva NIS2, que establece requisitos mínimos de seguridad para operadores de servicios esenciales y proveedores digitales.
Base nacional. La Estrategia Nacional de Ciberseguridad 2019, aprobada por el Consejo de Seguridad Nacional y publicada mediante la Orden PCI/487/2019, es el documento de referencia en España. Su finalidad es garantizar un uso seguro del ciberespacio, protegiendo derechos fundamentales, libertades y el progreso socioeconómico. Se articula en torno a un objetivo general y cinco específicos, que abarcan desde la prevención de ciberataques hasta la promoción de la innovación en ciberseguridad.
Aprobación y vigencia autonómica. La Estrategia Andaluza de Ciberseguridad 2022-2025 fue aprobada por Acuerdo del Consejo de Gobierno de la Junta de Andalucía el 18 de octubre de 2022. Inicialmente diseñada para el periodo 2022-2025, fue prorrogada hasta 2026 mediante Acuerdo de 30 de diciembre de 2025. Esta estrategia no sustituye al Decreto 1/2011 ni al Esquema Nacional de Seguridad (ENS), sino que complementa su aplicación en el ámbito autonómico.
Objetivos estratégicos. La estrategia andaluza persigue ocho objetivos clave: fortalecer las estructuras de gobierno, reforzar las capacidades de prevención, detección y respuesta a incidentes, cooperar para extender la protección, posicionar a Andalucía como referente, mejorar las capacidades en empresas, impulsar la industria de ciberseguridad, potenciar el talento y las competencias, y mejorar la cultura y buenas prácticas. Estos objetivos buscan garantizar una sociedad digital segura y resiliente en la comunidad autónoma.
Enfoque integral. La Estrategia Andaluza de Ciberseguridad no se limita a la Administración Pública, sino que involucra a ciudadanos, sector privado y entidades del ecosistema digital. Su finalidad es proteger a la sociedad andaluza frente a ciberamenazas, reforzar la administración pública y aprovechar el potencial del sector para impulsar la economía, el empleo y la innovación. La Agencia Digital de Andalucía (ADA) juega un papel clave en su implementación y coordinación.
Coordinación con el SAS. El Servicio Andaluz de Salud (SAS) se alinea con la estrategia autonómica y con la Política de Seguridad de las TIC de la Administración de la Junta de Andalucía. Esto implica la realización de auditorías periódicas conforme al ENS, la certificación de sistemas críticos y la integración de los resultados en el Plan de Seguridad de la Información del SAS. La estrategia andaluza, por tanto, tiene un impacto directo en la protección de los sistemas de información sanitarios.
Relación con el ENS. La Estrategia Andaluza de Ciberseguridad actúa como hoja de ruta para implementar los principios y requisitos del Esquema Nacional de Seguridad en el ámbito autonómico. Mientras el ENS establece los requisitos mínimos de seguridad, la estrategia define las prioridades y líneas de actuación específicas para Andalucía, asegurando una adaptación coherente a las necesidades regionales.
🧩 Elementos esenciales
- Estrategia Europea de Ciberseguridad: Marco de la UE para garantizar resiliencia frente a ciberamenazas y promover tecnologías digitales fiables.
- Estrategia Nacional de Ciberseguridad 2019: Documento aprobado por el Consejo de Seguridad Nacional que establece el marco de actuación de España en ciberseguridad.
- Orden PCI/487/2019: Norma que publica oficialmente la Estrategia Nacional de Ciberseguridad 2019 en el BOE.
- Estrategia Andaluza de Ciberseguridad 2022-2025: Instrumento de planificación autonómico aprobado por la Junta de Andalucía y prorrogado hasta 2026.
- Agencia Digital de Andalucía (ADA): Organismo encargado de impulsar y coordinar la estrategia autonómica.
- Objetivos estratégicos andaluces: Fortalecer gobernanza, mejorar capacidades de respuesta, cooperar, posicionar a Andalucía como referente, impulsar industria y talento, y promover cultura de ciberseguridad.
- Alineación con el ENS: La estrategia autonómica complementa el Esquema Nacional de Seguridad, adaptando sus requisitos al ámbito andaluz.
- Decreto 1/2011: Norma autonómica que establece la política y organización básica en materia de seguridad TIC, complementada por la estrategia.
- Participación del SAS: El Servicio Andaluz de Salud aplica auditorías periódicas y certificaciones conforme a la estrategia y al ENS.
- Enfoque integral: La estrategia andaluza involucra a Administración Pública, ciudadanos, empresas y entidades del ecosistema digital.
- Directiva NIS2: Normativa europea que influye en las estrategias nacional y autonómica, estableciendo requisitos para operadores de servicios esenciales.
- Política de Seguridad TIC de la Junta: Marco que exige auditorías, certificaciones y planes de seguridad para el SAS y otros organismos autonómicos.
🧠 Recuerda
- La Estrategia Nacional de Ciberseguridad 2019 es el documento vigente en España, aprobado por el Consejo de Seguridad Nacional.
- La Estrategia Andaluza de Ciberseguridad 2022-2025 fue aprobada en 2022 y prorrogada hasta 2026.
- La estrategia autonómica no sustituye al Decreto 1/2011 ni al ENS, sino que los complementa.
- Los objetivos de la estrategia andaluza incluyen fortalecer gobernanza, mejorar capacidades de respuesta y promover cultura de ciberseguridad.
- El SAS se alinea con la estrategia autonómica mediante auditorías, certificaciones y planes de seguridad.
- La Agencia Digital de Andalucía (ADA) coordina la implementación de la estrategia en la comunidad autónoma.
- La estrategia andaluza tiene un enfoque integral, involucrando a Administración Pública, ciudadanos y sector privado.
- La Directiva NIS2 influye en las estrategias europea, nacional y autonómica.
- El Esquema Nacional de Seguridad (ENS) establece requisitos mínimos que la estrategia autonómica adapta al ámbito andaluz.
- La estrategia andaluza busca posicionar a Andalucía como referente en ciberseguridad.