La seguridad de la información en el sector sanitario: por qué es diferente y dónde fallan las cosas

La seguridad de la información en el ámbito sanitario consiste en proteger los datos de los pacientes y garantizar la continuidad de la atención médica; en este sector, ambos aspectos constituyen un mismo problema. Un expediente médico filtrado no se puede recuperar del mismo modo que se puede restablecer una contraseña robada, y un sistema de registros bloqueado no solo causa molestias: implica el aplazamiento de procedimientos y la imposibilidad de consultar los historiales de medicación. Por eso, en este ámbito, la seguridad es una cuestión que afecta a la seguridad de los pacientes, más que un mero asunto informático.

A continuación, analizamos por qué este sector es un objetivo tan atractivo, qué normas se aplican y qué se exige realmente, dónde surgen los problemas en una jornada laboral habitual y cómo organizar el aspecto humano sin ralentizar la propia atención sanitaria.

Por qué el sector sanitario es un objetivo

Los datos médicos tienen más valor para un delincuente que un número de tarjeta de crédito, ya que no se pueden bloquear ni sustituir. Un expediente reúne datos de identidad, historial médico e información sobre el seguro, y sigue siendo válido durante toda la vida. Eso lo convierte en un objetivo atractivo para el fraude, la extorsión a particulares y la reventa.

Además, está la presión a la que se ven sometidas las organizaciones sanitarias. Un atacante que cifra los sistemas de un hospital o de un centro asistencial sabe que esperar no es una opción: la atención sanitaria no puede interrumpirse mientras se investiga la situación con calma. Esa urgencia es precisamente en lo que se basa la extorsión, y los delincuentes lo saben.

Por último, este sector es un objetivo inusualmente complejo de proteger. La asistencia sanitaria funciona con turnos de trabajo en los que el personal cambia constantemente, puestos de trabajo compartidos, dispositivos personales, equipos médicos conectados con ciclos de vida prolongados y un amplio círculo de terceros: proveedores, laboratorios, médicos de cabecera y farmacias. Cada conexión es una vía de acceso, y pocas de ellas pueden desconectarse sin más.

Normativa aplicable: NEN 7510, la Ley General de Protección de Datos (AVG) y la NIS2

El sector sanitario neerlandés cuenta con su propia norma de seguridad de la información. La norma NEN 7510 se basa en la estructura internacional de la norma ISO 27001 y añade requisitos específicos para los datos de los pacientes, lo que significa que exige un sistema de gestión operativo en lugar de una lista de productos adquiridos. Si es o no un requisito legal es una cuestión en sí misma, que tratamos en nuestro artículo sobre si la norma NEN 7510 es obligatoria.

Junto a ella se encuentra la norma NEN 7513, que se refiere al registro de accesos: la posibilidad de determinar a posteriori quién ha consultado qué expediente. Esa norma existe porque el incidente de privacidad más habitual en el sector sanitario no es un ataque externo, sino que un compañero consulte un expediente que no le corresponde abrir.

Además, se aplica el Reglamento General de Protección de Datos (RGPD), y los datos médicos se consideran datos de categorías especiales, sujetos a los requisitos de tratamiento más estrictos. Las organizaciones sanitarias de mayor tamaño también pueden entrar en el ámbito de aplicación de la Directiva NIS2, lo que conlleva obligaciones en materia de gestión de riesgos, notificación de incidentes y formación demostrable para el personal y la dirección. Lo que esto supone para cada tipo de organización se explica en nuestro artículo sobre cómo afecta la Directiva NIS2 al sector sanitario.

El hilo conductor de todos ellos es el mismo: conocer los riesgos, organizar adecuadamente el acceso y poder demostrar que el personal sabe qué hacer. Este último requisito es precisamente en el que la mayoría de las organizaciones presentan menos pruebas.

Dónde surgen los problemas en la práctica diaria

Rara vez se trata de un ataque sofisticado, sino casi siempre de algo que, en su momento, parecía lógico. El trabajo de cuidados es rápido, susceptible de interrupciones y compartido, y las medidas de seguridad que ignoran estas características se eluden en menos de una semana.

• Cuentas compartidas en ordenadores compartidos. Un único inicio de sesión para el ordenador de la sala, ya que iniciar y cerrar sesión entre un paciente y otro lleva unos minutos que nadie tiene. Funciona, hasta que hay que determinar quién ha accedido a un expediente.
• Pantallas visibles desde el pasillo. Un puesto de trabajo en el mostrador, una tableta en un carrito, un monitor en una sala de tratamiento con la puerta abierta. La fuga de datos más habitual en el sector sanitario no tiene ningún componente técnico.
• Conversaciones con los pacientes a través de aplicaciones de mensajería para consumidores. Envío de fotografías de una herida por WhatsApp porque es más rápido que la vía oficial. Aunque suelen tener buenas intenciones, rara vez están contempladas en ningún acuerdo.
• Phishing dirigido al personal sanitario. Un correo electrónico sobre un cambio en los turnos, una solicitud urgente que parece proceder de un responsable, una página de inicio de sesión falsa para el sistema de registros. La presión del tiempo es el mejor aliado del atacante.
• La curiosidad en el sistema de registros. Buscar a un compañero de trabajo, a un vecino o a un paciente conocido. Se trata de una infracción de la privacidad incluso cuando la información no sale del edificio, y el registro es precisamente lo que la hace visible.
• Acceso que perdura más allá de la vigencia del contrato. Becarios, personal temporal y compañeros que han dejado la empresa cuyas cuentas permanecen activas porque nadie tiene la responsabilidad clara de dar de baja sus cuentas.

Lo que todas ellas tienen en común es que se trata de decisiones humanas tomadas bajo presión, no de fallos técnicos. No se pueden solucionar con parches, pero sí se pueden practicar.

Cómo abordarlo sin ralentizar la atención sanitaria

Las medidas que funcionan en el sector sanitario son aquellas que se adaptan al ritmo del trabajo. Técnicamente, eso significa un inicio de sesión único con cambio rápido de cuenta, de modo que cerrar la sesión ya no sea una molestia; autenticación multifactorial para el acceso remoto; copias de seguridad comprobadas que se mantengan fuera de línea; y segmentación de la red para que una estación de trabajo infectada no pueda acceder al equipo médico.

Desde el punto de vista humano, la sesión presencial anual es el formato menos adecuado para este sector: los trabajadores por turnos se la pierden, el personal de agencia nunca asiste a ella y, para cuando llega la siguiente, las amenazas ya han cambiado. La formación breve y periódica funciona mejor precisamente porque cabe entre dos turnos, y una simulación de phishing muestra lo que la gente hace realmente, en lugar de lo que respondió en un cuestionario. Cómo una organización asistencial integra eso en su cultura es algo que analizamos en nuestro artículo sobre la cultura de concienciación en materia de seguridad en el sector sanitario neerlandés.

Hay un principio que aquí es más importante que en ningún otro sitio: la notificación debe ser impecable y rápida. En un sector en el que un error se percibe como un fallo hacia el paciente, el instinto es guardar silencio, y es precisamente ese silencio el que convierte un simple clic en un incidente que acaba registrándose en el sistema.

Cómo ayuda Guardey a las organizaciones sanitarias

La formación en concienciación sobre seguridad de Guardey se basa en retos semanales de unos tres minutos, con elementos de gamificación como tablas de clasificación y rachas, y contenidos que se ajustan a las amenazas que circulan realmente. Ese formato es clave en el sector sanitario: se puede realizar durante un descanso, en lugar de requerir una tarde completa, y el personal se forma a través de la aplicación móvil para iOS y Android o simplemente en el navegador, lo que permite incluir a compañeros que nunca se sientan detrás de un escritorio.

Las simulaciones integradas de phishing permiten comprobar si el reconocimiento se traduce en un cambio de comportamiento, y los informes listos para auditoría convierten la participación y el progreso en pruebas que cumplen con la norma NEN 7510, la AVG y la NIS2. Organizaciones sanitarias como Psyned, Odion y la Roosevelt Kliniek colaboran con Guardey, y nuestra página dedicada a la formación en concienciación sobre seguridad para el sector sanitario explica cómo funciona según el tipo de organización. La configuración se realiza en cuestión de minutos.

Preguntas frecuentes sobre la seguridad de la información en el sector sanitario

¿Es obligatorio el NEN 7510 para todos los proveedores de asistencia sanitaria?

Sirve como norma del sector para el tratamiento de los datos de los pacientes y, en la práctica, es lo que los supervisores, las aseguradoras y los clientes esperan que cumplas, aunque la obligación concreta depende de tu función y de los acuerdos que hayas suscrito. La certificación es una decisión independiente de cumplir con la norma; muchas organizaciones cumplen con esta última sin haber obtenido la primera.

¿Qué se considera una filtración de datos en el sector sanitario?

Cualquier situación en la que los datos personales hayan estado expuestos a pérdida o a un tratamiento ilícito: un archivo enviado al destinatario equivocado, la pérdida de un dispositivo, el acceso no autorizado a un registro o un sistema que haya sido cifrado. La obligación de notificarlo depende del riesgo que suponga para las personas afectadas y, en el caso de los datos médicos, ese umbral se alcanza rápidamente.

¿Cómo formamos al personal que trabaja por turnos?

Al dejar de dar por sentado que todo el mundo puede estar en una misma sala, los módulos breves en el móvil, disponibles en cuanto surge la necesidad, llegan al personal de agencia y al de noche, a quienes las sesiones presenciales, por su propia estructura, no llegan. Lo que importa es el ritmo, más que la duración: unos pocos minutos a la semana son mejores que una tarde al año.

¿Podemos hablar de los pacientes por WhatsApp?

Las aplicaciones de mensajería para consumidores no están diseñadas para datos de categorías especiales y, por lo general, no se ajustan a los acuerdos que una organización sanitaria debe establecer en materia de tratamiento y conservación de datos. La solución práctica no consiste simplemente en prohibir su uso, sino en ofrecer una alternativa que sea igual de rápida, ya que una norma que suponga una pérdida de tiempo sale perdiendo frente a la aplicación que permite ahorrar tiempo.

El éxito o el fracaso de la seguridad de la información en el sector sanitario depende de que las medidas se adapten al trabajo. Una política que presuponga que se le puede dedicar tiempo sin prisas será eludida por quienes no disponen de ese tiempo, mientras que un pequeño hábito que quepa entre la atención a dos pacientes tiene posibilidades de perdurar. Las organizaciones que lo hacen bien no son aquellas con las normas más estrictas, sino aquellas en las que informar de algo extraño es tan normal como lavarse las manos.