Ciberseguridad en el Sector Salud: El CISO como guardián de la continuidad asistencial
En el entorno sanitario actual, la tecnología ha dejado de ser un mero soporte administrativo para convertirse en el sistema nervioso de la atención médica. Hoy, un fallo en los sistemas no solo implica una pérdida de datos; implica un quirófano que se detiene, una farmacia que no dispensa o un diagnóstico que se retrasa. Como CISOs, entendemos que nuestra labor no es proteger «máquinas», sino garantizar la seguridad de las personas: proteger a los pacientes, a los profesionales y a la Dirección.
- Un marco legal para la confianza: NIS2, ENS y la Ley de IA
La seguridad en salud ya no es una elección voluntaria, sino un imperativo legal robusto. En España y Europa, navegamos sobre tres ejes fundamentales:
- El Esquema Nacional de Seguridad (ENS): Es nuestra brújula de cumplimiento. Para un hospital privado que colabora con el sistema público, la certificación en el ENS (nivel Alto) es el «pasaporte de confianza». Es lo que garantiza que ambos entornos hablen el mismo idioma de seguridad y que el intercambio de datos de pacientes sea hermético.
- Directiva NIS2: Nos obliga a ver el hospital como una «infraestructura crítica». La resiliencia ya no es deseable, es obligatoria.
- Reglamento Europeo de IA (AI Act): La Inteligencia Artificial está transformando el diagnóstico, pero Europa es clara: en salud, la IA es de Alto Riesgo. Mi responsabilidad es asegurar que estos algoritmos sean transparentes, ciberseguros y cuenten siempre con supervisión humana.
- La seguridad del paciente: El centro de la estrategia
Tradicionalmente, la ciberseguridad se medía en términos de confidencialidad. Hoy, priorizamos la disponibilidad e integridad.
Si un profesional sanitario no puede acceder a la historia clínica en una urgencia, la seguridad del paciente se ve comprometida. Por ello, la seguridad debe ser un proceso invisible pero omnipresente que proteja al profesional de errores técnicos y ofrezca a la Dirección la tranquilidad de que la institución es resiliente ante ataques como el ransomware.
Una buena estrategia de seguridad ofrece beneficios directos:
- Para el paciente: Garantiza que su tratamiento no se detendrá por un ciberataque y que su intimidad y confidencialidad son sagradas.
- Para el profesional: Proporciona herramientas seguras y ágiles que permiten centrarse en el cuidado clínico sin miedos técnicos.
- Para la dirección: Transforma la ciberseguridad en un activo de resiliencia y cumplimiento, minimizando riesgos legales y económicos en un entorno regulatorio cada vez más estricto.
- Orquestando un entorno multidisciplinar: acceso físico y lógico
Un hospital es un ecosistema complejo: un edificio abierto 24/7 donde conviven pacientes, familiares, médicos y proveedores externos. Aquí, la seguridad física y la digital son inseparables.
- Control de acceso inteligente: No basta con proteger la red; hay que proteger el acceso al CPD, a farmacia, al laboratorio, a la zona de esterilización, etc. junto con los dispositivos médicos (IoMT). La convergencia de seguridad permite que el mismo sistema que identifica a un médico para entrar en un quirófano, sea el que le habilite el acceso a los datos de ese paciente concreto.
- Seguridad en la movilidad: Los carros de medicación y terminales móviles son «puntos de entrada». Implementar controles que bloqueen físicamente puertos USB y cierren sesiones por proximidad es tan vital como tener un buen antivirus.
- El reto de la colaboración público-privada
El hospital privado que presta servicio al sector público actúa además como un nodo crítico de una red mayor. Esta relación exige una corresponsabilidad absoluta. El CISO debe actuar como puente, asegurando que los estándares de seguridad del sector privado estén alineados con las exigencias del sector público, evitando que la colaboración se convierta en un vector de riesgo compartido.
Conclusión: La resiliencia como valor diferencial
En definitiva, la figura del CISO en salud ha evolucionado. Ya no somos quienes «ponen trabas» con contraseñas complejas, sino quienes orquestan un entorno seguro para que la innovación (IA, telemedicina, robótica) pueda salvar vidas sin riesgos añadidos.
Francisco Javier Sánchez González
Govertis, parte de Telefónica Tech
