Descargar documento completo 4MB - Sociedad Española de ...

Capítulo XVI • Principios de seguridad de la información en entornos de salud
CEPAL
• Realización de un inventario de activos en el que se detallan los
distintos activos de la organización que están relacionados con
el tratamiento de información: datos empleados, soportes físicos,
dispositivos, aplicaciones informáticas y personal, entre otros. Estos
activos se clasifican en diferentes categorías según su naturaleza
y se valora la importancia que cada uno de ellos tiene para
la organización. En un servicio de salud los ejemplos más claros
de activos serían el archivo de historias clínicas, los ordenadores
que utilizan los profesionales clínicos, los servidores hardware,
las aplicaciones de historia clínica electrónica, el fichero maestro
de pacientes, las líneas de comunicaciones e incluso el propio
personal de la organización.
• Realización de un análisis de riesgos en el que se evalúan separadamente
las amenazas a las que cada activo está expuesto y
el impacto que tendría sobre él la ocurrencia de dicha amenaza,
estableciéndose después unos límites asumibles para cada riesgo.
Es decir, el resultado del análisis de riesgos permite conocer y
cuantificar los peligros a los que está expuesto cada activo y priorizar
la aplicación de medidas de seguridad, comenzando por los
activos con mayor riesgo. Por ejemplo, el archivo de historias clínicas
no está expuesto a los mismos riesgos que la base de datos
de proveedores o el calendario de guardias de un servicio médico,
y el impacto que un incidente tendría sobre la organización tampoco
es el mismo en todos los casos. La pérdida de información
contenida en las historias clínicas podría causar una merma en la
calidad de la asistencia que se presta al paciente, mientras que el
robo de estos datos sería una violación flagrante de su derecho
a la intimidad. Sin embargo, en el caso de la base de datos de
proveedores o el calendario de guardias, tanto la pérdida como el
robo de información causarían un problema transitorio de operatividad
en la organización, pero en ningún caso se trataría de una
brecha en la confidencialidad de los datos, ya que no se trata de
información especialmente sensible.
• Planificación de medidas de seguridad orientadas a la contención
de los riesgos, manteniéndolos dentro de los límites establecidos
anteriormente: implantación de controles de seguridad
y definición de procedimientos de actuación, entre otros.
• Definición de roles y responsabilidades para la aplicación de las
medidas diseñadas, pudiéndose asignar tareas a prácticamente
cualquier miembro de la organización.
• Asignación de recursos suficientes para la aplicación de las medidas
diseñadas.
340