miércoles, 4 de marzo de 2026

Sesión de la Comsión de Digitalización del 3/02/2026 sobre la pregunta sobre la externalización de la Oficina de Seguridad de Sistemas de Información del SERMAS. Directora General de Salud Digital de la C. de Madrid : "la OSSI trabaja dentro y no es algo externo a la dirección general" y "está gobernada directamente por un CISO y un Subdirector General"

El 03/02/2025 tuvo lugar reunión de la Comisión de Digitalización de la Asamblea de Madrid  contando  en su orden del día , entre otros puntos, con la  pregunta de contestación oral en comisión (PCOC 3491/25) a petición del Grupo Parlamentario de  Más Madrid, realizada por su diputada Mariana Arce, sobre  "¿Qué motiva la contratación como servicio externo de la Oficina de Seguridad de Sistemas de Información (OSSI) dependiente de la Dirección General de Salud Digital?".

Se acaba de publicar la transcripción en el Diario de Sesiones de la Asamblea de Madrid nº 675 (págs 31012  a 31016) , que por su interés reproducimos grandes extractos a continuación (con enlaces en el texto nuestros):


La DIPUTADA de Más Madrid [ARCE GARCÍA]:  

[...[ 'No vamos a hablar de un contrato informático como en otros casos que sí lo hemos hecho, ni de una decisión neutra de gestión, estamos hablamos de cómo se protege digitalmente el sistema sanitario público de la Comunidad de Madrid y de por qué esa protección no ha sido construida nunca como una capacidad propia; eso es lo que nos preocupa.

La Oficina de Seguridad de Sistemas de Información -OSSI- depende de la Dirección General de Salud, depende de usted, y lleva en torno a quince o dieciséis años dentro del Sermas -más o menos; no lo tengo claro- la seguridad de estos sistemas de información. Es decir, no significa solo proteger datos clínicos especialmente sensibles, sino garantizar que los sistemas funcionen, garantizar accesos indebidos, responder a los ciberataques y asegurar la continuidad asistencial. La ciberseguridad sanitaria es una función crítica del sistema público de salud, no es un servicio accesorio, y no debería depender estructuralmente de terceros privados. Porque, ¿qué puede pasar cuando tenemos estas cosas? ¿Que riesgos hay? Lo primero, pérdida de control real: la Administración pasa a ser cliente de un servicio, no titular del conocimiento de lo que está pasando en los procesos. En segundo lugar, una dependencia tecnológica creciente; es decir que cada vez es más difícil cambiar de proveedor porque ya dependes de este proveedor. Entonces, al final, no hay esa competitividad que deseamos dentro de estos contratos, y además es más complicado auditar en profundidad. Y, en último lugar, tenemos un riesgo de opacidad, porque el núcleo técnico está fuera, es decir, no lo tenemos dentro de nuestra consejería con personal de nuestra consejería. Externalizar, al final, la ciberseguridad no elimina los riesgos, lo que hace es sacarlos del ámbito de control directo de la Administración.

Por eso, señora directora, le pregunto: ¿qué motiva exactamente que la Comunidad de Madrid haya optado por contratar un servicio externo de forma continuada durante años en lugar de construir esa capacidad dentro de la propia Administración?'


La DIRECTORA GENERAL DE SALUD DIGITAL (Ruiz Hombrebueno):
[...]  'La externalización del servicio de la Oficina de Seguridad de Sistemas de Información -OSSI-, como todos conocen, dependiente de la Dirección General de Salud Digital, se fundamenta en la necesidad de garantizar un nivel de seguridad, cumplimiento normativo y especialización técnica acorde con las crecientes exigencias regulatorias y operativas en el ámbito sanitario público.

En primer lugar, el desarrollo y la implantación de tecnologías digitales, y en particular de la inteligencia artificial en el sector salud, requiere un marco de seguridad avanzado que asegure el cumplimiento estricto del Reglamento General de Protección de Datos, la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales y el recientemente adoptado Reglamento Europeo de Inteligencia Artificial. Estas normas imponen obligaciones reforzadas en materia de transparencia, minimización de datos, análisis de riesgos y garantías de protección de datos especialmente sensibles, como los relativos a la salud. Asimismo, el propio marco normativo exige que cualquier sistema de IA o solución tecnológica implantada en el Servicio Madrileño de Salud cumpla estándares reforzados de control, supervisión y evaluación de impacto. Lo que requiere capacidades técnicas altamente especializadas y un apoyo experto que cumplimente y refuerce los recursos internos.

En segundo lugar, la OSSI desarrolla funciones críticas para la seguridad de la información, es una unidad de coordinación, planificación y seguimiento de la seguridad dentro de la Dirección General de Salud Digital, se orienta exclusivamente al ecosistema sanitario, presta servicios técnicos y legales de seguridad para hospitales, centros de salud, infraestructuras sanitarias y proyectos digitales del sector. Además, sus funciones incluyen el apoyo al CISO y al delegado de Protección de Datos del Sermas, supervisión de proyectos digitales sanitarios, diagnósticos de seguridad, vigilancia del entorno sanitario, respuesta ante incidentes de alto impacto y la integración de la seguridad en el ciclo de vida completo de los proyectos tecnológicos de la Consejería de Sanidad. Estas funciones son sectoriales y especializadas centradas en tecnología sanitarias, datos clínicos, riesgos asistenciales, y requieren una capacidad multidisciplinar sostenida, difícil de asumir exclusivamente con medios propios dada su dimensión técnica y la necesidad de actualización continua ante amenazas emergentes. Por todo ello, la contratación como servicio externo lo que nos permite es garantizar un modelo operativo, eficiente, flexible, alineado con los estándares europeos, reforzando la solvencia técnica, la continuidad del servicio y la seguridad, tanto de los sistemas como de los datos de los pacientes del sistema madrileño de salud.

Al externalizar estos servicios lo que se ha buscado es asegurar una respuesta más rápida y efectiva, aprovechando la experiencia y los recursos avanzados de una empresa especializada. La externalización no delegada nuestra responsabilidad con los ciudadanos, simplemente fortaleza nuestra posición en una cadena de valor integrada, robusta, que asegura la resiliencia digital de la región, manteniendo un control riguroso sobre su ejecución. En resumen, esta externalización no solo resuelve una necesidad operativa inmediata, sino que también fortalece nuestra estrategia global de seguridad digital de la Comunidad de Madrid. 

 

La DIPUTADA de Más Madrid [ARCE GARCÍA]:
[..] 'en este servicio, que es esencial, como comprenderá usted, me asusta que mis datos sanitarios y los datos y que toda la ciberseguridad sanitaria esté externalizada. [...] Entonces, mi pregunta es: ¿en algún momento se van a plantear este servicio que está externalizado -y aparte usted sabe que yo confío-, usted como directora general de Salud creo que podrían tener la capacidad- y usted podría, no digo de golpe porque creo que es algo que no va a poder hacer de golpe, ir avanzando en hacer una OsSI que tenga personal propio y que no esté externalizado?



La DIRECTORA GENERAL DE SALUD DIGITAL (Nuria Ruiz Hombrebueno):

[...] La OSSI es un servicio que trabaja con nosotros presencialmente dentro de la dirección general, no es algo externo a la dirección general. Todo el equipo completo de la OSSI está presencialmente con nosotros en la dirección general o en el SERMAS, junto con el delegado de Protección de Datos del SERMAS; está totalmente integrado con el equipo interno de la dirección general. La OSSI participa prácticamente en todos los proyectos en los que se requiere un análisis de viabilidad de aplicativos. La OSSI está, digamos, gobernada directamente por un CISO, que está allí también presencialmente con nosotros, un subdirector general, del que depende toda esta unidad, y por mí directamente, por la directora general, además de -está aquí el CEO de la Agencia de Ciberseguridad- por la Agencia de Ciberseguridad, que también está presencialmente en el edificio.
 

Es un servicio externalizado que lleva con nosotros, como usted ha dicho, muchísimos años y que está totalmente integrado dentro del equipo interno de la dirección, y que actúa directamente bajo nuestras directrices y nuestra supervisión. ¿Cómo controlamos su ejecución? Pues hacemos auditorías, aparte del día a día, que estamos con ellos todos los días, solamente hacen lo que nosotros les vamos indicando: auditorías bajo estándares internacionales como la ISO 27001 y el Esquema Nacional de Seguridad, un sistema avanzado de indicadores claves KPIs, que evalúa continuamente aspectos como tiempo medio de respuesta, la calidad y análisis forense, satisfacción del cliente interno, protocolos claros para escalado automático hacia nuestro equipo interno ante incidentes graves o estratégicos.

Pero, insisto, es un equipo externalizado que lleva con nosotros muchísimos años, totalmente integrado con el equipo interno de la dirección general y supervisado por un CISO, por todo el equipo, por el subdirector general, por el delegado de Protección de Datos del Sermas y por la Agencia de Ciberseguridad de la Comunidad de Madrid. Creo que la regulación, la vigilancia y auditoría es estrechísima.'


 

 


Entradas relacionadas:


Etiquetas: , , , , , ,

No hay comentarios:

Publicar un comentario

Suscribirse a: Enviar comentarios (Atom)