Titulo: Seguridad, Información y Salud.

Autores:
Lic. María Vidal Ledo* , Lic. Gonzalo García Pierrot **, Tec. Guillermo Cazes ***

* Lic. Cibernética - Matemática. Prof. Auxiliar, ISCM - LH /CECAM y ENSAP, email: mvidal@infomed.sld.cu
** Lic. Cibernética - Matemática. Resp. Seguridad Informática. ACERPROT.
*** Especialista en Análisis de Sistema. Centro de Desarrollo Informático de Salud Pública. CeDiSap.

Índice general


Resumen

Dada la complejidad del Sistema de Salud Cubano y la estrategia de Informatización que el Sector está llevando a cabo la actividad de Seguridad Informática se plantea como un objetivo principal, teniendo en cuenta que cada dato a proteger no es simplemente un dato estadístico o una anotación, es un paciente reflejado en un sistema informático.
El trabajo define como elementos fundamentales de la Seguridad Informática en la Salud la confidencialidad, integridad y disponibilidad de los datos que unido la autenticidad y otros le conceden una importancia primordial debido a la información altamente sensible que se procesa desde el punto de vista del paciente, la toma de decisiones en cuánto al diagnóstico y seguimiento de los procesos y actividades de la salud, que conforman los Sistemas de Información en Salud, tanto clínicos como de dirección operacional. En el mismo se conceptualiza cada uno de estos elementos, su papel en los procesos de la Salud y los aspectos a tener en cuenta en su seguridad.
Se enfatiza la importancia de la política de Seguridad Institucional y algunas de sus reglas básicas que constituye una premisa para elaborar el Plan de Seguridad y Contingencias Informáticas, y los elementos que intervienen. Finalmente se brindan un conjunto de recomendaciones prácticas que siempre deben estar presentes y se alerta que "No existe ningún sistema completamente seguro", por lo que hay que definir un plan de contingencia para cuando falle el sistema, no por si falla el sistema, profundizándose en los elementos para una pronta recuperación en caso de fallo.
Finalmente se aboga por lograr una cultura de seguridad en los trabajadores de la salud que integre a su conducta cotidiana, el cumplimiento de política institucional y las medidas del Plan de Seguridad de manera útil y funcional, lo cual equivale a garantizar la "salud" de los datos que constituyen la "vida" del Sistema Nacional de Salud.

Arriba

Introducción

En la actividad de Seguridad Informática en la Salud, el principal objetivo es tomar conciencia con respecto a que cada dato a proteger no es simplemente un dato estadístico o una anotación, es un paciente reflejado en un sistema informático con el objetivo de que, apoyándose en las nuevas Tecnologías, su estudio y curación sean mas rápidos y seguros. Es por ello importante definir la política que ha de seguir cada institución, los principios que la rigen, el análisis y gestión de riesgos que debemos trabajar y las medidas que deben prevalecer en cada lugar donde exista un equipo en función de la salud de nuestros país, ya que los propósitos pueden ser múltiples pero cada uno se entrelaza en una misma función.

Aunque pueda parecer esto simple, la complejidad de nuestro Sistema de Salud dadas sus características de universalidad, cobertura, gratuidad y accesibilidad, permiten que un ciudadano se atienda por diferentes instituciones en función de su salud, ya sea en el Consultorio, Policlínico, Hospital, Clínica Estomatológica, Farmacia, u otro tipo de institución en el cual genera información que se integra a los diferentes Sistemas de Información en Salud, para la toma de decisión clínica o para el proceso de dirección en salud en los diferentes niveles.

El desarrollo alcanzado en la aplicación de equipos Inteligentes o por estados comparativos de diagnóstico, con variables como tensión arterial, parámetros circulatorios, pruebas Hemodinámicas y otras arrojan un resultado objetivo del estado de salud del paciente que permite establecer un diagnóstico, seguir su evolución y trazar el tratamiento en cada caso; así como realizar estudios sobre el diagnóstico de salud de la población. Es por ello necesario la toma de conciencia por parte de nuestros profesionales, técnicos y trabajadores en general, sobre el cuidado y proceso de estos datos, sobre todo cuando el tratamiento es electrónico.

Seguridad Informática.
No existe una definición estricta de lo que se entiende por seguridad informática, puesto que ésta abarca múltiples y muy diversas áreas relacionadas con los Sistemas de Información. Áreas que van desde la protección física del ordenador como componentes hardware, de su entorno, hasta la protección de la información que contiene o de las redes que lo comunican con el exterior.
Tampoco es único el objetivo de la seguridad. Son muy diversos los tipos de amenazas contra los que debemos protegernos. Desde amenazas físicas, como los cortes eléctricos, hasta errores no intencionados de los usuarios, pasando por los virus informáticos o el robo, destrucción o modificación de la información.
No obstante sí hay tres aspectos fundamentales que definen la seguridad informática:
- Confidencialidad.
- Integridad.
- Disponibilidad.
En la salud la importancia de estos tres factores es primordial e incluso entran en juego otros elementos como la autenticidad o el no repudio, dada la información altamente sensible que se procesa, desde el punto de vista individual en cuanto al paciente, como para la toma de decisiones en cuánto al diagnóstico y seguimiento de los procesos y actividades de la salud, conformando los Sistemas de Información en Salud, tanto clínicos como de dirección operacional.
Existe un consenso y conciencia general sobre la importancia de la Seguridad de los Sistemas de Información (SSI). Los SSI están relacionados con la disponibilidad, confidencialidad e integridad de la información tratada por los ordenadores y las redes de comunicación. Independientemente del término que se use, seguridad de la información, seguridad de los ordenadores, seguridad de datos o protección de la información los cuales, en esencia, tienen el mismo significado, esta actividad merece la mayor prioridad por parte de todos los involucrados.
Podríamos considerar que un Sistema Informático es seguro si podemos contar con que su hardware y su software se comporten como se espera de ellos.

Confidencialidad
Se entiende por confidencialidad el servicio de seguridad, o condición, que asegura que la información no pueda estar disponible o ser descubierta por o para personas, entidades o procesos no autorizados.
La confidencialidad, a veces denominada secreto o privacidad, se refiere a la capacidad del sistema para evitar que personas no autorizadas puedan acceder a la información almacenada en él.
En la salud, las normas éticas, técnicas y de procesos aseguran que los usuarios pueden acceder solo a la información asistencial que les está permitida en base a su nivel de autoridad o jerarquía, normalmente impuestas por disposiciones legales, administrativas o del servicio que brinda.
En entornos de administrativos o dirección, la confidencialidad asegura la protección en base a disposiciones legales o criterios estratégicos de información privada, tal como datos de las nóminas de los empleados, documentos internos sobre estrategias, situaciones inusuales en el estado de salud de la población, que son requeridos en la toma de decisiones.
Algunos de los mecanismos utilizados para salvaguardar la confidencialidad de los datos son, por ejemplo:
- El uso de técnicas de control de acceso a los sistemas.
- El cifrado de la información confidencial o de las comunicaciones.

Integridad
Se entiende por integridad el servicio de seguridad que garantiza que la información es modificada, incluyendo su creación y borrado, sólo por el personal autorizado.
Suelen integrarse varios conceptos análogos en este segundo aspecto de la seguridad:
- precisión (accuracy)
- integridad (integrity)
- autenticidad (auntenticity).
El concepto de integridad significa que el sistema no debe modificar o corromper la información que almacene, o permitir que alguien no autorizado lo haga.
Esta propiedad permite asegurar que no se ha falseado la información. Por ejemplo, que los datos recibidos o recuperados son exactamente los que fueron enviados o almacenados, sin que se haya producido ninguna modificación, adición o borrado.
De hecho el problema de la integridad no sólo se refiere a modificaciones intencionadas, sino también a cambios accidentales o no intencionados.
En el ámbito de las redes y las comunicaciones, un aspecto o variante de la integridad es la autenticidad. Se trata de proporcionar los medios para verificar que el origen de los datos es el correcto, quién los envió y cuándo fueron enviados y recibidos.
En los procesos de salud normalmente es muy importante mantener la integridad y precisión de los datos ya que de acuerdo a ellos se actúa, ya sea en la toma de decisión médico - paciente, como en la toma de decisión de dirección del Sistema, en cuanto a los procesos involucrados en la salud y calidad de vida de la población.
En el campo de la criptografía hay diversos métodos para mantener/asegurar la autenticidad de los mensajes y la precisión de los datos recibidos. Se usan para ello códigos/firmas añadidos a los mensajes en origen y recalculadas/comprobadas en el destino. Este método puede asegurar no sólo la integridad de los datos (lo enviado es igual a lo recibido), sino la autenticidad de la misma (quién lo envía es quien dice que es).

Disponibilidad
Se entiende por disponibilidad
- El grado en que un dato está en el lugar, momento y forma en que es requerido por el usuario autorizado.
- La situación que se produce cuando se puede acceder a un Sistema Informático en un periodo de tiempo considerado aceptable.
Un sistema seguro debe mantener la información disponible para los usuarios. Disponibilidad significa que el sistema, tanto hardware como software, se mantienen funcionando eficientemente y que es capaz de recuperarse rápidamente en caso de fallo.
Lo opuesto a disponibilidad, y uno de los posibles métodos de ataque a un sistema informático, se denomina "denegación de servicio" (denial of service). Una denegación de servicio significa que los usuarios no pueden obtener del sistema los recursos deseados:
- El ordenador puede estar estropeado o haber una caída del Sistema Operativo.
- No hay suficiente memoria para ejecutar los programas.
- Los discos, cintas o impresoras no están disponibles o están llenos.
- No se puede acceder a la información.
De hecho, muchos ataques, como el famoso caso del gusano de 1988, no buscaban borrar, robar, o modificar la información, sino bloquear el sistema creando nuevos procesos que saturaban recursos, lo cual es muy peligroso en el caso de la salud, sobre todo en las áreas de atención a pacientes.
Estos principios deben formar parte de la política de seguridad de la institución.

Política de Seguridad Institucional
La política se refleja en una serie de normas, reglamentos y protocolos a seguir, donde se definen las distintas medidas a tomar para proteger la seguridad del sistema, las funciones y responsabilidades de los distintos componentes de la organización y los mecanismos para controlar su correcto funcionamiento.
Son los directivos, junto con los expertos en tecnologías de la información, quienes deben definir los requisitos de seguridad, identificando y priorizando la importancia de los distintos elementos de la actividad realizada, con lo cual los procesos más importantes recibirán la protección adecuada. La seguridad debe considerarse como parte de la cultura, ética y procedimientos habituales, no como algo extra que se añade a la labor cotidiana.
El compromiso de la Dirección con la Seguridad de los Sistemas de Información debe tomar la forma de una política de seguridad formalmente acordada y documentada. Dicha política tiene que ser consistente con las prácticas de seguridad de todas las áreas, puesto que muchas amenazas (incendio, inundación) son comunes a otras actividades de la organización.
Algunas reglas básicas a la hora de establecer una política de seguridad.
- Toda política de seguridad debe ser holística, es decir, debe cubrir todos los aspectos relacionados con el sistema.
- Debe proteger el sistema en todos los niveles: físico, humano, lógico y logístico.
- Debe tener en cuenta no sólo los distintos componentes del sistema, tales como el hardware, software, entorno físico y usuarios, sino también la interacción entre los mismos.
- Debe tener en cuenta el entorno del sistema, esto es, el tipo de entidad y sus interrelaciones con otras ( Policlínico, Hospital, Farmacia, ...).
- La política de seguridad debe adecuarse a nuestras necesidades y recursos, el valor que se le da a los recursos y a la información, el uso que se hace del sistema en todos los departamentos.
- Deben evaluarse los riesgos, el valor del sistema protegido y el coste de atacarlo. Las medidas de seguridad tomadas deben ser proporcionales a estos valores.
- Toda política de seguridad debe basarse fundamentalmente en el sentido común. Es necesario:
      - El conocimiento del sistema a proteger y de su entorno.
      - El conocimiento y experiencia en la evaluación de riesgos y el establecimiento de medidas de seguridad.
      - El conocimiento de la naturaleza humana, de los usuarios y de sus posibles motivaciones.

Una vez conformada la política institucional, elaborar el Plan de Seguridad y Contingencias Informáticas, basado en la identificación y análisis de riesgos, en cuánto a la vulnerabilidad en los puntos o aspectos que hacen al Sistema Informático susceptible de ser atacado, que no son mas que las debilidades o aspectos falibles o atacables en el sistema informático. Las amenazas precisadas en cuánto a los posibles ataques de personas, programas malignos, sucesos naturales o de otra índole y las medidas técnicas de protección frente a las amenazas identificadas.
La seguridad informática se encarga de la identificación de las vulnerabilidades del sistema y del establecimiento de contramedidas que eviten que las distintas amenazas posibles exploten dichas vulnerabilidades.
En Cuba existe una metodología muy completa para la elaboración del Plan de Seguridad Informática, de manera que puede aplicarse en todas las Instituciones y Servicios informatizados. Sin embargo, dada la importancia del tema de seguridad en la información, aún cuando no esté informatizado el proceso, se recomienda realizar el análisis de riesgos en aquellos lugares como Archivos de Historias Clínicas, Imagenología, Biblioteca y otros, donde se archiva y custodia información sensible y que a mediano o largo plazo debe ser objeto de atención en el proceso de Informatización del Sector.
Una máxima de la seguridad informática es que: "No existe ningún sistema completamente seguro". Existen sistemas más o menos seguros y más o menos vulnerables, pero la seguridad nunca es absoluta. Es por ello que insistimos en un conjunto de aspectos importantes que siempre deben estar presentes.


Arriba

 


Recomendación

1- El personal que tiene asignado un equipo debe mantener este con todas las condiciones que se establecen en el plan de seguridad, que son las mas elementales: los password en el Setup, Red, y Refrescante de pantalla, como medida preventiva estas claves deben estar en sobre sellado en la dirección, ya que ante cualquier situación especial o de contingencia, se pueda hacer uso del equipo, la función de la actividad de Salud.

2- Mantener y tener instalado un Antivirus de acuerdo a los lineamentos o normas establecidas, siendo lo mas importante tener constantemente la actualización dado que pueden recibirse ataques que persiguen afectar la salud de las personas, la economía, las investigaciones, la toma de decisión o los servicios en general, ya que existe el riesgo de penetrar al equipo y robar información que puede ser sensible o clasificada.

3- En el orden de las comunicaciones es necesario controlar o supervisar estos medios a través de las trazas orientando también su uso, explicando la necesidad de mantener este recurso lo mas optimo y no congestionado para que su acceso sea lo mas rápido posible y no se sobrecarguen las Redes, líneas telefónicas y servidores, con mensajes y correos no objetivos para nuestra actividad. Se hace necesario incluir en el código de ética adecuado a cada nivel de estructura de acuerdo a su actividad especifica, las conductas que se integren a la cultura requerida en el desempeño de las funciones..

4- Es necesario mantener actualizados los estudios de vulnerabilidad, que deben ser dinámicos ya que nos permite tener un control de los medios y la técnica de la cual disponemos en nuestro centro y dar conocimiento a los niveles superiores para que a su vez se retroalimente el proceso de decisión y se pueda efectuar las mejoras en los equipos y los software con las nuevas necesidades, así como conocer los puntos críticos y estar preparados para cualquier situación emergente.

5- Las condiciones eléctricas y climatización son muy necesarias en el cuidado y conservación de la técnica. Detectar donde los recursos deben estar por su importancia y tomar las medidas de protección física y lógica, sobre los equipos y la información contenida en ellos, dado que se puede provocar alteración de información por caída de voltaje y rotura del mismo.

6- Conservación y custodia, mediante métodos de almacenamiento y compactación que permitan clasificar y guardar la información en el mas mínimo espacio dentro de una carpeta o varias carpetas, organizadas y clasificadas por grupos de referencia para su mas rápido acceso de forma compactada y protegida de acuerdo a su nivel de confiabilidad. Realizar las salvas físicas periódicas y ubicarlas en lugares apropiados fuera del área donde se originan, ya que en caso de contingencia puede restaurarse la información hasta la fecha de la última salva de los datos.

Aunque hasta el momento se han planteado medidas que se refieren a la prevención ante posibles amenazas. Sin embargo, dado que como ya hemos comentado anteriormente, "ningún sistema es completamente seguro", hay que definir una estrategia a seguir en caso de fallo o desastre. De hecho los expertos de seguridad afirman sutilmente que hay que definir un plan de contingencia para cuando falle el sistema, no por si falla el sistema.
La clave de una buena recuperación en caso de fallo es una preparación adecuada. Por recuperación entendemos tanto la capacidad de seguir trabajando en un plazo mínimo después de que se haya producido el problema, como la posibilidad de volver a la situación anterior al mismo habiendo reemplazado o recuperado el máximo de los recursos en equipos e información.
Adicionalmente existen otros aspectos relacionados con la recuperación como son la detección del fallo, la identificación del origen del ataque y de los daños causados al sistema y la toma de medidas a posteriori contra el atacante. Todo ello se basa en buena medida en el uso de una adecuada política de monitorización y auditoria del sistema.
La recuperación de la información se basa en el uso de una política de copias de seguridad adecuada, mientras la recuperación del funcionamiento del sistema se basa en la preparación de recursos alternativos.
Una buena política de copias de seguridad debe contemplar los siguientes aspectos:
- Qué tipos de backups se realizan: completos o incrementales.
- Con qué frecuencia se realiza cada tipo de backup.
- Cuántas copias se realizan y dónde se guardan.
- Durante cuánto tiempo se guardan las copias.

Dependiendo del tipo de entidad puede ser necesario recuperar el funcionamiento en un plazo más o menos breve Las entidades pueden mantener o contratar dos tipos de instalaciones alternativas: frías (cold site) o calientes (hot site), de acuerdo al Sistema o Proceso de salud al que sirve.

Una instalación fría consiste en un lugar con las medidas de seguridad física disponibles, donde poder instalar el hardware y el software y funcionar en menos de una semana. Una instalación caliente incluye además ordenadores, periféricos, líneas de comunicaciones y otros medios e incluso personal para volver a funcionar en unas pocas horas.

Los procesos de la salud en general y aquellos dirigidos a la atención directa a pacientes, como son los de apoyo al diagnóstico, atención y tratamiento, son altamente sensibles y es por ello que su seguridad es una constante preocupación en el proceso de informatización del Sector, lo cual ha motivado que esta sea una de las principales estrategias maestras de desarrollo. De ahí que sus objetivos se encaminen a lograr una cultura de seguridad en los trabajadores de la salud que integre a su conducta cotidiana, el cumplimiento de política institucional y las medidas del Plan de Seguridad de manera útil y funcional, lo cual equivale a garantizar la "salud" de los datos que constituyen la "vida" del Sistema Nacional de Salud.... entonces, atendámoslo y cuidémoslo con el médico lo hace con su paciente.

 


Arriba


Bibliografia


(1) RODRIGUEZ, R. J. , GATTINI, C., ALMEIDA, G. Et col. El establecimiento de Sistemas de información en servicios de atención de salud. Guía para el análisis de requisitos, especificación de las aplicaciones y adquisición. Pan American Health Organization. Washington, D.C.: PAHO, 1999. ISBN 92 75 12266 0. 1999. Sección A1. p.8

(2) Vidal L, M. Cazes, G. Seguridad, datos y salud. CD Tecnología de Salud. Información Informática y Estadística de Salud. CDS. ISBN 959-7158-08-6. 2004.

(3) García P, G. Seguridad Informática. Folleto docente. Tema 1. Introducción a la Seguridad Informática. CD Tecnología de Salud. Información Informática y Estadística de Salud. CDS. ISBN 959-7158-08-6. 2004. p. 1-26.

(4) Vidal L, M. Seguridad Informática. Términos relacionados. Folleto docente. Tema 1. Introducción a la Seguridad Informática. CD Tecnología de Salud. Información Informática y Estadística de Salud. CDS. ISBN 959-7158-08-6. 2004. p. 1-11.

(5) Gost G, J. Gestión Sanitaria y Tecnologías de la Información. Servicio de Medicina Preventiva. Hospital de Navarra, España. CD Biblioteca Virtual para formación postgraduada de directivos del Sector Salud. ISBN 959-7158-13-2 V.2004. p.14

 

Arriba

 

WWW:CECAM.SLD.CU