Descargar documento completo 4MB - Sociedad Española de ...

Manual de salud electrónica para directivos de servicios y sistemas de salud
• Implantación de los controles y medidas de seguridad de
acuerdo con lo estipulado en los procedimientos de actuación
definidos. Estos controles pueden clasificarse en los siguientes
grupos:
– Control de accesos: asignación y revocación de autorizaciones
de usuario para el acceso a las instalaciones y a los sistemas
de información de la organización. Por ejemplo, en esta área
se llevarían a cabo el alta, baja y modificación de usuarios de
aplicaciones informáticas, la gestión de contraseñas y otros.
Para ello es necesario que estén previamente definidos los
perfiles y roles de los usuarios del sistema; es decir, no solo
quién puede acceder, sino también a qué información puede
tener acceso y qué operaciones puede realizar con estos datos
(Garbayo y otros, 2003).
– Seguridad física: medidas de restricción del acceso físico a
determinadas zonas y de mantenimiento de la infraestructura
física de las instalaciones. En este grupo se incluyen, por
ejemplo, la instalación de cerraduras, el acondicionamiento
ambiental de puestos de trabajo y la redundancia de suministro
eléctrico, entre otros.
– Seguridad lógica: medidas de restricción del acceso lógico a
activos de la información y de gestión de la capacidad de las
infraestructuras. Por ejemplo, algunas medidas de seguridad
lógica son la instalación de software antivirus y de cortafuegos,
o la disponibilidad de espacio libre en los sistemas de
almacenamiento de datos.
– Copia de seguridad: realización de copias de seguridad para
minimizar el riesgo de pérdida de información en caso de accidente
o ataque. Asimismo, es necesario realizar simulacros
periódicos de recuperación de la información a fin de comprobar
que el proceso de copia de seguridad se está llevando
a cabo correctamente.
– Incidentes de seguridad: registro de la información relativa a
incidentes que afecten a los activos, con vistas a su subsanación
y su posterior estudio. Por ejemplo, debe registrarse la
hora y fecha de ocurrencia del incidente, los activos afectados,
el impacto sufrido, las medidas concretas aplicadas para su
resolución y otros. Un registro de este tipo permite además
identificar los incidentes más frecuentes y tomar medidas concretas
para su prevención.
341