ENS para el sector sanitario: particularidades
Implantación del ENS en hospitales, centros de atención primaria y proveedores sanitarios: datos de salud, MIR/historia clínica, integración con LOPDGDD y RGPD.
El sector sanitario es, por naturaleza, uno de los más sensibles desde el punto de vista de la seguridad de la información. Los datos de salud están catalogados como categoría especial en el artículo 9 del RGPD y la mayoría de los sistemas que los tratan son de categoría Alta en el ENS. En nuestros proyectos con hospitales, centros sociosanitarios y proveedores de software sanitario hemos acumulado particularidades que conviene conocer antes de arrancar.
Por qué la categoría suele ser Alta
Los sistemas sanitarios afectan:
- Confidencialidad: alta por definición (datos de salud).
- Integridad: muy alta (la alteración puede comprometer la asistencia).
- Disponibilidad: alta (un servicio de urgencias o una UCI no pueden estar caídos).
- Trazabilidad: alta (responsabilidad clínica, aspectos legales).
- Autenticidad: alta (identificación del profesional que firma una receta o un alta).
La combinación lleva prácticamente siempre a categoría Alta, con los refuerzos correspondientes del Anexo II.
Los sistemas críticos típicos
Un mapa habitual de sistemas en un hospital mediano:
- HIS (Hospital Information System): admisión, alta, facturación.
- HCE (Historia Clínica Electrónica): registro clínico integrado.
- RIS / PACS: radiología y almacenamiento de imágenes.
- LIS: laboratorio.
- Farmacia: prescripción y dispensación.
- Bloque quirúrgico: gestión de partes, firma electrónica.
- Urgencias: triaje, ficha, trazabilidad.
- Portal del paciente: citas, resultados, trámites.
- Sistemas asistenciales conectados: monitorización, bombas de infusión, diagnóstico.
Cada uno de estos sistemas se categoriza y se adecúa individualmente dentro del alcance ENS global.
Integración ENS + RGPD + LOPDGDD
En sanidad, la dualidad con protección de datos es constante:
- Registro de actividades de tratamiento: obligatorio RGPD, alimenta la DA ENS.
- Análisis de impacto en protección de datos (AIPD / DPIA): obligatorio para la mayoría de los tratamientos sanitarios. Complementa el AR de ENS.
- Políticas de acceso por perfil profesional: coherencia entre las dos normativas.
- Registro de accesos a historia clínica: artículo específico de la Ley 41/2002.
- Retención de historia clínica: hasta 5 años tras el último contacto del paciente, con excepciones.
Plantéalos integrados desde el principio. Un único equipo DPO + RSI con trabajo sincronizado.
Particularidades técnicas del entorno sanitario
1. Dispositivos médicos conectados
Muchos dispositivos (monitores, bombas, respiradores, equipos de diagnóstico) son IoT clínico. A menudo con sistemas operativos antiguos sin soporte, imposibles de parchear por el propio fabricante. Estrategia:
- Segmentar la red en VLAN dedicada.
- Aislar de internet.
- Monitorizar tráfico anómalo.
- Acuerdo formal con el fabricante sobre seguridad y actualizaciones.
- Plan de reemplazo a medio plazo.
2. Acceso por perfiles profesionales
El personal sanitario necesita accesos ágiles pero granulares: urgencias necesita poder acceder rápidamente a la historia de cualquier paciente. El control se basa en:
- Rol profesional autenticado.
- Justificación del acceso (motivo clínico registrado).
- Logs exhaustivos.
- Auditoría posterior de accesos masivos o fuera de perfil.
3. Firma electrónica clínica
Todo acto con implicaciones legales (receta, alta, informe) se firma electrónicamente. Implica:
- Certificados cualificados.
- Conservación con sellos de tiempo.
- Procedimiento ante la pérdida del certificado del profesional.
- Interoperabilidad con sistemas externos (receta electrónica interautonómica).
4. Integración con SNS
Los hospitales públicos se integran con servicios nacionales:
- Historia Clínica Digital del SNS (HCDSNS).
- Receta electrónica interoperable.
- Registro estatal de profesionales sanitarios.
Cada una de esas integraciones debe estar documentada en la DA y cumplir las medidas de mp.com y op.ext.
5. Investigación y datos secundarios
El uso de datos de salud para investigación, enseñanza o estadística requiere base legal y, frecuentemente, anonimización o pseudonimización. El ENS no regula específicamente el uso secundario, pero sí impone controles de acceso diferenciados.
Medidas con refuerzo específico
En categoría Alta aplican refuerzos R3/R4/R5 en muchas medidas. En sanidad, con especial impacto:
- mp.info.3 (Cifrado): cifrado end-to-end donde sea viable.
- op.acc.5 (Mecanismo de autenticación): MFA con factor fuerte para accesos clínicos privilegiados.
- op.exp.8 y op.exp.9 (Registros): trazabilidad completa, sin excepciones.
- mp.per.4 (Formación): formación clínica específica + concienciación anual.
- *op.cont. (Continuidad)**: planes con pruebas reales. Un hospital con ransomware es tragedia nacional; el BIA debe contemplarlo.
Plan de implantación en un hospital tipo
Un hospital de 200–500 camas que parte de cero suele necesitar 10–14 meses:
- Meses 1–2: alcance, categorización, nombramientos, política.
- Meses 3–4: AR + AIPD integrados, inventario de activos.
- Meses 5–7: implantación de medidas organizativas y operacionales.
- Meses 8–9: segmentación de red, gestión de dispositivos médicos, cifrado end-to-end.
- Meses 10–11: monitorización, continuidad y pruebas.
- Mes 12: preauditoría.
- Mes 13–14: auditoría de certificación.
La inversión es importante pero el marco es asumible si existe respaldo de dirección.
El factor humano
En sanidad, el factor humano es el vector de amenaza principal. Los incidentes más comunes que hemos visto:
- Credenciales compartidas para “agilizar” turnos.
- Captura de datos en dispositivos personales.
- Correo con información clínica a cuentas personales.
- Phishing dirigido a directivos médicos.
- Ransomware a través de proveedores de software sanitario.
La formación y la concienciación son tan críticas como cualquier control técnico. En los hospitales con menor ratio de incidentes humanos siempre hay una cultura sólida detrás, no solo tecnología.
Recomendación final
El ENS en sanidad es exigente pero perfectamente implantable. La receta: respaldo ejecutivo real, equipo clínico involucrado desde el día uno, integración con RGPD, plan a 12 meses razonable y formación continua. No es un proyecto para ingenieros solos; es un proyecto para toda la organización.