Gestión de riesgos de seguridad de la información en el sector salud

Una de las industrias que más cantidad de datos maneja es la industria de la salud. Día a día los hospitales, clínicas y entidades prestadoras de servicios de salud recogen información personal y confidencial de sus pacientes.

Esta información, que incluye datos como nombre, documento de identidad, número de contacto, fecha de nacimiento, lugar y dirección de residencia, estado civil, la historia clínica, resultados de exámenes médicos, datos financieros, entre otros, cada vez interesa más a los cibercriminales que ven en esta industria un blanco atractivo de ataque para luego exigir grandes sumas de dinero a cambio de devolverles los sistemas secuestrados y no hacer públicos los datos o venderlos. 

En este artículo te contamos por qué es importante que las organizaciones del sector salud gestionen adecuadamente los riesgos asociados a la seguridad de la información y cómo pueden hacerlo de una manera más simple a través de una herramienta tecnológica como el sistema ISMS de Pirani.

Seguridad de la información en el sector salud

Todas las entidades que ofrecen servicios de salud deben tomar las medidas adecuadas para asegurar la confidencialidad, integridad y disponibilidad de todos sus sistemas y de la información que manejan, hacerlo no solo les permitirá estar preparadas ante un posible ataque por parte de los ciberdelincuentes sino también garantizar la calidad en la prestación de sus servicios y la confianza entre sus usuarios y pacientes.

No contar con un buen Sistema de Gestión de Seguridad de la Información, SGSI, favorece la materialización de incidentes y ataques cibernéticos en las entidades de salud, los cuales pueden tener graves consecuencias tanto para la organización como para los pacientes. 

Por eso, cada vez es más necesario que los hospitales, clínicas y entidades prestadoras de servicios de salud implementen este sistema de gestión y más ahora que los ataques se han vuelto tan frecuentes. 

Para hacerlo es clave contar con el apoyo y compromiso de la alta dirección, que debe entender la seguridad de la información como una prioridad estratégica para la prestación oportuna y de calidad de los servicios y para la protección de los datos personales de los pacientes y de la misma entidad.

Igualmente, se debe contar con un área especializada para la gestión de la seguridad de la información, área que entre otras funciones debe realizar el inventario de activos informáticos de la organización, identificar y gestionar los riesgos asociados a estos, implementar controles, planes de acción y capacitar constantemente a todo el personal para que usen correctamente los activos y los datos a los que tienen acceso, así como que sepan qué hacer en caso de un ataque. 

Consecuencias de no gestionar la seguridad de la información

La falta de un Sistema de Gestión de Seguridad de la Información puede facilitar en las entidades de salud la materialización de incidentes y ciberataques como ransomware o secuestro de datos, robo de datos, phishing, ataques a los dispositivos médicos, entre otros. 

Ser víctima de un ciberataque en el sector salud puede traer consecuencias como:

• Interrupción de los sistemas de información y en muchos casos de la prestación oportuna de los servicios médicos.
• Exposición y divulgación de información confidencial del paciente (datos personales, registros médicos, información financiera).
• Robo y suplantación de identidad.
• Altos gastos económicos y pérdidas financieras.
• Pérdida de confianza por parte de los usuarios y pacientes, así como tener una mala imagen y reputación.
• Poner en riesgo el bienestar y en casos extremos la vida del paciente.

Por todo lo anterior, es fundamental implementar un adecuado SGSI en las entidades de salud para prevenir en lo posible la materialización de ataques cibernéticos y si se llegan a presentar, actuar con rapidez para mitigar los impactos causados.

Gestión de la seguridad de la información con Pirani

A través de una herramienta tecnológica como el sistema de gestión de seguridad de la información ISMS de Pirani las organizaciones del sector salud pueden gestionar de forma simple y eficiente sus activos de información y los riesgos a los que están expuestos, protegiendo así la confidencialidad, integridad y disponibilidad de la información que manejan.

¿Qué permite ISMS de Pirani a las entidades de salud?

Los hospitales, clínicas y entidades prestadoras de servicios de salud con ISMS de Pirani podrán:

• Identificar, crear y visualizar todos los procesos de la entidad. Los procesos pueden ser estratégicos, misionales o de apoyo.

• Identificar todos los activos de información con los que cuenta la entidad, por ejemplo, ordenadores de escritorio y portátiles, tablets, equipos médicos que estén conectados a internet, televisores, entre otros, y valorar la criticidad de cada uno de estos teniendo en cuenta su confidencialidad, integridad y disponibilidad. Cada activo puede asociarse fácilmente a procesos, riesgos y responsables.

• Identificar y crear los riesgos de seguridad de la información y asociarlos a los activos, además, cada riesgo puede ser valorado en su impacto y frecuencia. 

• Establecer los controles que sirvan para disminuir la probabilidad de ocurrencia de los riesgos así como el impacto que estos tendrían en la prestación de los servicios si llegan a materializarse. Los controles pueden ser preventivos, detectivos o correctivos y se pueden asociar tanto a los riesgos identificados como a los activos y asignarles responsables de su ejecución. 
  
  
• Reportar los incidentes de seguridad de la información que se presenten.

• Crear planes de acción para dar respuesta a los incidentes reportados. Estos planes deben incluir una fecha de inicio y finalización, un responsable y las actividades a desarrollar. 

• Generar fácilmente reportes del perfil de riesgo organizacional tanto inherente como residual, además de otros reportes como el mapa de calor y la solidez de los controles.

• Crear los objetivos y los indicadores de cumplimiento para hacer un seguimiento eficaz de la gestión realizada.

• Evaluar y monitorear periódicamente los riesgos identificados y los controles implementados, facilitando así la implementación de acciones que permitan la mejora continua para lograr proteger en todo momento la información y evitar, en lo posible, ser víctima de los cibercriminales. 

¿Quieres saber más de cómo Pirani acompaña a las entidades de salud a gestionar de manera simple sus activos de información y los riesgos a los que están expuestos? Crea tu cuenta ahora y prueba gratis todas las funcionalidades de nuestro sistema ISMS o agenda una cita con uno de nuestros expertos para tener información más detallada.