' Hoy, la seguridad de la información y la protección de los datos personales son cuestiones importantes a considerar por todas las organizaciones de cualquier sector. además, el hecho de que los datos personales relativos a la salud sean considerados como datos sensibles y especialmente protegidos, y tras la publicación del RGPD como una categoría especial de datos personales, la seguridad de los sistemas de información sanitarios se ha considerado un objetivo prioritario del servicio madrileño de salud (SERMAS).
Para poder afrontar con garantías la seguridad de dichos Sistemas, debemos tener en cuenta que el SERMAS:
1) Es uno de los organismos públicos más importantes y grandes del país y, una de las empresas españolas con mayor de número de trabajadores de España y, posiblemente, la mayor de la Comunidad de Madrid. Muchos de ellos son personal sanitario, altamente cualificado.
2) Dispone de Petabytes de datos de los ciudadanos, usuarios del Sistema Sanitario Público de la Comunidad de Madrid, principalmente datos personales y de salud.
3) Pone a disposición de sus profesionales y los ciudadanos más de 1200 Sistemas de Información Sanitarios, desde sus Data Center Centrales. Sistemas que requieren un alto nivel de integración e interoperabilidad.
4) Además de tener como actividad principal la asistencia sanitaria, tiene otras actividades importantes como la investigación y la formación que realizan parte de sus profesionales.
Por todo ello, la Consejería Sanidad de la Comunidad de Madrid (CSCM), consciente de los retos de seguridad a los que se enfrentaba, decidió poner en marcha ya en 2006, la Oficina de Seguridad de los Sistemas de Información (OSSI) con el objetivo principal de prevenir, detectar y dar respuesta a todas las amenazas e incidentes. También realiza asesoramientos integrales a los centros dependientes de la Consejería sobre políticas, normativas y medidas de seguridad.
Para ello, en la OSSI se han establecido las siguientes líneas de servicio, orientadas a garantizar la seguridad de la información y protección de datos personales a distintos niveles, atendiendo las necesidades de los centros del SERMAS: asesoramiento legal, asesoramiento y auditoría de controles de seguridad, monitorización y correlación de eventos, análisis de software y hardware, comunicación y formación.
ACTUACIONES DE LA OSSI ANTE LA CRISIS DEL COVID-19
Dentro de las actuaciones de la OSSI para gestionar la situación excepcional del COVID-19, resaltan algunas actividades específicas para el fortalecimiento de la seguridad y la mitigación de posibles riesgos, así como facilitar la labor asistencial de nuestros profesionales sanitarios y la relación con los pacientes y sus familiares, cumpliendo con la normativa vigente en protección de datos.
Se ha trabajado en la habilitación y securización del acceso remoto para que los profesionales puedan teletrabajar, de manera que el servicio se vea afectado de la menor manera posible.
Se han emitido correos de comunicación e informes de recomendaciones y buenas prácticas para que los profesionales den asistencia de manera adecuada y se han resuelto una gran cantidad de dudas remitidas al buzón de la Oficina de Seguridad en relación a situaciones puntuales y específicas de profesionales sanitarios.
A raíz de la crisis, se han propuesto diversas aplicaciones en relación a recibir instrucciones y recomendaciones sobre el COVID-19, ya sea para autodiagnóstico, servicio asistencial remoto o información a familiares, de modo que no tengan que acudir a un centro sanitario, con objeto de minimizar la posibilidad de contagio.
Dada la urgencia de la puesta en producción de estas aplicaciones, desde la OSSI se ha intensificado el servicio de auditoría tanto de la parte legal y normativa, elaborando y adecuando contratos, convenios, políticas de seguridad y acuerdos de colaboración con diferentes entidades. En la parte técnica, se han realizado test de intrusión a las plataformas para evaluar y emitir consideraciones, tanto en sus versiones web como móviles, de modo que esta puesta en producción se realizase en plazos y forma, minimizando el nivel de riesgos que tenían atribuido en su presentación. Con motivo del incremento de infectados por el virus en la Comunidad de Madrid, se ha habilitado en tiempo récord, un hospital en el recinto de IFEMA, así como múltiples hoteles medicalizados. En este aspecto, con objeto de que el servicio prestado en estos Centros fuese como si de otro hospital de la Comunidad se tratara, ha sido necesario el análisis y emisión de directrices para que las comunicaciones y el acceso a las aplicaciones corporativas fueran seguras. Además, a los nuevos Centros se les habilitó del mismo sistema de monitorización que ya disponen el resto de hospitales de gestión directa, permitiendo que el SOC 24x7 del SERMAS fuera capaz de detectar posibles incidentes de seguridad.
En esta línea, desde la DGSIES, se ha intentado intensificar la monitorización de los Data Center centrales mediante el despliegue de nuevas sondas que monitorizan el tráfico de los mismos.
Por otro lado, la OSSI ha trabajado, en perfecta coordinación con Madrid Digital, en el desarrollo de un nuevo protocolo de actuación frente a una alerta de seguridad, en aras de mejorar los tiempos de respuesta y la eficacia ante posibles incidentes.
NUEVAS LÍNEAS ESTRATÉGICAS PARA LA MEJORA DE LA SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN DE LA CSCM
El mundo de la seguridad de los Sistemas de Información se encuentra en un entorno VUCA (volátil, incierto, complejo y ambiguo según sus siglas en inglés). Esto obliga al CISO de la Consejería a plantear a la Dirección nuevas estrategias para su mejora. De esta manera, la DGSIES ha establecido una serie de líneas estratégicas a medio plazo que permitirán minimizar los riesgos a los que están expuestos los Sistemas de Información de la CSCM:
• La certificación en el Esquema Nacional de Seguridad (ENS) de los hospitales del SERMAS, así como de sus Data Center Centrales. Es importante señalar que la CSCM cuenta actualmente con los dos únicos hospitales públicos certificados en el ENS.
• Creación de un nuevo rol de seguridad: Delegados del CISO en cada uno de los hospitales del SERMAS. La finalidad es establecer una conexión directa con el CISO de la CSCM y minimizar el tiempo de respuesta ante cualquier situación que pueda surgir en cuanto a seguridad.
• Actualización de la Política de Seguridad de la CSCM, con la finalidad de poseer un paraguas que determine las directrices centralizadas de seguridad a todos los Centros Sanitarios y departamentos de la Consejería.
• Potenciación del Comité de Seguridad de la CSCM, fortaleciendo la coordinación en seguridad de la Consejería.
Ángel Luis Sánchez García. Jefe de Servicio de Seguridad de Sistemas de Información (CISO). Responsable de la Oficina de Seguridad de Sistemas de Información (OSSI). Dirección General de Sistemas de Información y Equipamientos Sanitarios (DGSIES). Servicio Madrileño de Salud (SERMAS). Consejería de Sanidad - Comunidad de Madrid'
Fuente y artículo completo con las imágenes restantes: páginas 16 a 18 de la Revista I+S nº 139 de la Sociedad Española de Informática de la Salud
Resaltados en negrita cursiva y enlaces en el texto nuestros
Entradas relacionadas:
- [19/09/2014] Adjudicado con cambio de proveedor el concurso de la Oficina de seguridad en Tecnologías de la Informacion del Servicio Madrileño de Salud [la OSSI-CERT]
- [[02/07/2018] Nuevo concurso para la Oficina de seguridad y centro de soporte especializado en el Área de seguridad de sistemas y tecnología de la información del Servicio Madrileño de Salud (OSSI-CERT)
- [19/10/2018] Adjudicada nuevamenta a Oesia la Oficina de seguridad y centro de soporte especializado en el Área de seguridad de sistemas y tecnología de la información del Servicio Madrileño de Salud (OSSI-CERT)
- [04/09/2019] Maria Luz de los Mártires Almingol nueva Directora General de la informática del Servicio Madrileño de Salud en la nueva Dir. Gral conjunta de Sistemas de Información y Equipamientos Sanitarios . Ya fue responsable de la Gerencia Asistencial de Atención Hospitalaria de la Dir. Gral de Coordinación de Asistencia Sanitaria del SERMAS
- [17/02/2020] Resumen de la sesión de la Asamblea de Madrid de la pregunta sobre la seguridad informática de los hospitales de la red pública de asistencia en la Comunidad de Madrid
- [06/05/2020] [Computing] Entrevista a Angel Luis Sánchez, el jefe del Servicio dede Seguridad de los Sistemas de Información del Servicio Madrileño de Salud: las herramientas colaborativas facilitan la labor del personal sanitario
- [21/05/2020] Especial de la Revista de la SEIS sobre Ciberseguridad en las TI de la Salud, último nº bajo la dirección de Salvador Arribas, recientemente fallecido por coronavirus. ¡Gracias, Salvador!
Entradas
No hay comentarios:
Publicar un comentario