| |
Titulo: Seguridad, Información y Salud.
Autores:
Lic. María Vidal Ledo* , Lic. Gonzalo García Pierrot
**, Tec. Guillermo Cazes ***
* Lic. Cibernética - Matemática. Prof. Auxiliar, ISCM
- LH /CECAM y ENSAP, email: mvidal@infomed.sld.cu
** Lic. Cibernética - Matemática. Resp. Seguridad
Informática. ACERPROT.
*** Especialista en Análisis de Sistema. Centro de Desarrollo
Informático de Salud Pública. CeDiSap.
Índice
general
Resumen
Dada la complejidad
del Sistema de Salud Cubano y la estrategia de Informatización
que el Sector está llevando a cabo la actividad de Seguridad
Informática se plantea como un objetivo principal, teniendo
en cuenta que cada dato a proteger no es simplemente un dato estadístico
o una anotación, es un paciente reflejado en un sistema informático.
El trabajo define como elementos fundamentales de la Seguridad Informática
en la Salud la confidencialidad, integridad y disponibilidad de
los datos que unido la autenticidad y otros le conceden una importancia
primordial debido a la información altamente sensible que
se procesa desde el punto de vista del paciente, la toma de decisiones
en cuánto al diagnóstico y seguimiento de los procesos
y actividades de la salud, que conforman los Sistemas de Información
en Salud, tanto clínicos como de dirección operacional.
En el mismo se conceptualiza cada uno de estos elementos, su papel
en los procesos de la Salud y los aspectos a tener en cuenta en
su seguridad.
Se enfatiza la importancia de la política de Seguridad Institucional
y algunas de sus reglas básicas que constituye una premisa
para elaborar el Plan de Seguridad y Contingencias Informáticas,
y los elementos que intervienen. Finalmente se brindan un conjunto
de recomendaciones prácticas que siempre deben estar presentes
y se alerta que "No existe ningún sistema completamente
seguro", por lo que hay que definir un plan de contingencia
para cuando falle el sistema, no por si falla el sistema,
profundizándose en los elementos para una pronta recuperación
en caso de fallo.
Finalmente se aboga por lograr una cultura de seguridad en los trabajadores
de la salud que integre a su conducta cotidiana, el cumplimiento
de política institucional y las medidas del Plan de Seguridad
de manera útil y funcional, lo cual equivale a garantizar
la "salud" de los datos que constituyen la "vida"
del Sistema Nacional de Salud.
Introducción
En la actividad de Seguridad Informática en la Salud, el
principal objetivo es tomar conciencia con respecto a que cada dato
a proteger no es simplemente un dato estadístico o una anotación,
es un paciente reflejado en un sistema informático con el
objetivo de que, apoyándose en las nuevas Tecnologías,
su estudio y curación sean mas rápidos y seguros.
Es por ello importante definir la política que ha de seguir
cada institución, los principios que la rigen, el análisis
y gestión de riesgos que debemos trabajar y las medidas que
deben prevalecer en cada lugar donde exista un equipo en función
de la salud de nuestros país, ya que los propósitos
pueden ser múltiples pero cada uno se entrelaza en una misma
función.
Aunque pueda
parecer esto simple, la complejidad de nuestro Sistema de Salud
dadas sus características de universalidad, cobertura, gratuidad
y accesibilidad, permiten que un ciudadano se atienda por diferentes
instituciones en función de su salud, ya sea en el Consultorio,
Policlínico, Hospital, Clínica Estomatológica,
Farmacia, u otro tipo de institución en el cual genera información
que se integra a los diferentes Sistemas de Información en
Salud, para la toma de decisión clínica o para el
proceso de dirección en salud en los diferentes niveles.
El desarrollo
alcanzado en la aplicación de equipos Inteligentes o por
estados comparativos de diagnóstico, con variables como tensión
arterial, parámetros circulatorios, pruebas Hemodinámicas
y otras arrojan un resultado objetivo del estado de salud del paciente
que permite establecer un diagnóstico, seguir su evolución
y trazar el tratamiento en cada caso; así como realizar estudios
sobre el diagnóstico de salud de la población. Es
por ello necesario la toma de conciencia por parte de nuestros profesionales,
técnicos y trabajadores en general, sobre el cuidado y proceso
de estos datos, sobre todo cuando el tratamiento es electrónico.
Seguridad
Informática.
No existe una definición estricta de lo que se entiende por
seguridad informática, puesto que ésta abarca múltiples
y muy diversas áreas relacionadas con los Sistemas de Información.
Áreas que van desde la protección física del
ordenador como componentes hardware, de su entorno, hasta la protección
de la información que contiene o de las redes que lo comunican
con el exterior.
Tampoco es único el objetivo de la seguridad. Son muy diversos
los tipos de amenazas contra los que debemos protegernos. Desde
amenazas físicas, como los cortes eléctricos, hasta
errores no intencionados de los usuarios, pasando por los virus
informáticos o el robo, destrucción o modificación
de la información.
No obstante sí hay tres aspectos fundamentales que definen
la seguridad informática:
- Confidencialidad.
- Integridad.
- Disponibilidad.
En la salud la importancia de estos tres factores es primordial
e incluso entran en juego otros elementos como la autenticidad o
el no repudio, dada la información altamente sensible que
se procesa, desde el punto de vista individual en cuanto al paciente,
como para la toma de decisiones en cuánto al diagnóstico
y seguimiento de los procesos y actividades de la salud, conformando
los Sistemas de Información en Salud, tanto clínicos
como de dirección operacional.
Existe un consenso y conciencia general sobre la importancia de
la Seguridad de los Sistemas de Información (SSI). Los SSI
están relacionados con la disponibilidad, confidencialidad
e integridad de la información tratada por los ordenadores
y las redes de comunicación. Independientemente del término
que se use, seguridad de la información, seguridad de los
ordenadores, seguridad de datos o protección de la información
los cuales, en esencia, tienen el mismo significado, esta actividad
merece la mayor prioridad por parte de todos los involucrados.
Podríamos considerar que un Sistema Informático es
seguro si podemos contar con que su hardware y su software se comporten
como se espera de ellos.
Confidencialidad
Se entiende por confidencialidad el servicio de seguridad, o condición,
que asegura que la información no pueda estar disponible
o ser descubierta por o para personas, entidades o procesos no autorizados.
La confidencialidad, a veces denominada secreto o privacidad, se
refiere a la capacidad del sistema para evitar que personas no autorizadas
puedan acceder a la información almacenada en él.
En la salud, las normas éticas, técnicas y de procesos
aseguran que los usuarios pueden acceder solo a la información
asistencial que les está permitida en base a su nivel de
autoridad o jerarquía, normalmente impuestas por disposiciones
legales, administrativas o del servicio que brinda.
En entornos de administrativos o dirección, la confidencialidad
asegura la protección en base a disposiciones legales o criterios
estratégicos de información privada, tal como datos
de las nóminas de los empleados, documentos internos sobre
estrategias, situaciones inusuales en el estado de salud de la población,
que son requeridos en la toma de decisiones.
Algunos de los mecanismos utilizados para salvaguardar la confidencialidad
de los datos son, por ejemplo:
- El uso de técnicas de control de acceso a los sistemas.
- El cifrado de la información confidencial o de las comunicaciones.
Integridad
Se entiende por integridad el servicio de seguridad que garantiza
que la información es modificada, incluyendo su creación
y borrado, sólo por el personal autorizado.
Suelen integrarse varios conceptos análogos en este segundo
aspecto de la seguridad:
- precisión (accuracy)
- integridad (integrity)
- autenticidad (auntenticity).
El concepto de integridad significa que el sistema no debe modificar
o corromper la información que almacene, o permitir que alguien
no autorizado lo haga.
Esta propiedad permite asegurar que no se ha falseado la información.
Por ejemplo, que los datos recibidos o recuperados son exactamente
los que fueron enviados o almacenados, sin que se haya producido
ninguna modificación, adición o borrado.
De hecho el problema de la integridad no sólo se refiere
a modificaciones intencionadas, sino también a cambios
accidentales o no intencionados.
En el ámbito de las redes y las comunicaciones, un aspecto
o variante de la integridad es la autenticidad. Se trata
de proporcionar los medios para verificar que el origen de los datos
es el correcto, quién los envió y cuándo fueron
enviados y recibidos.
En los procesos de salud normalmente es muy importante mantener
la integridad y precisión de los datos ya que de acuerdo
a ellos se actúa, ya sea en la toma de decisión médico
- paciente, como en la toma de decisión de dirección
del Sistema, en cuanto a los procesos involucrados en la salud y
calidad de vida de la población.
En el campo de la criptografía hay diversos métodos
para mantener/asegurar la autenticidad de los mensajes y la precisión
de los datos recibidos. Se usan para ello códigos/firmas
añadidos a los mensajes en origen y recalculadas/comprobadas
en el destino. Este método puede asegurar no sólo
la integridad de los datos (lo enviado es igual a lo recibido),
sino la autenticidad de la misma (quién lo envía es
quien dice que es).
Disponibilidad
Se entiende por disponibilidad
- El grado en que un dato está en el lugar, momento y forma
en que es requerido por el usuario autorizado.
- La situación que se produce cuando se puede acceder a un
Sistema Informático en un periodo de tiempo considerado aceptable.
Un sistema seguro debe mantener la información disponible
para los usuarios. Disponibilidad significa que el sistema, tanto
hardware como software, se mantienen funcionando eficientemente
y que es capaz de recuperarse rápidamente en caso de fallo.
Lo opuesto a disponibilidad, y uno de los posibles métodos
de ataque a un sistema informático, se denomina "denegación
de servicio" (denial of service). Una denegación
de servicio significa que los usuarios no pueden obtener del sistema
los recursos deseados:
- El ordenador puede estar estropeado o haber una caída del
Sistema Operativo.
- No hay suficiente memoria para ejecutar los programas.
- Los discos, cintas o impresoras no están disponibles o
están llenos.
- No se puede acceder a la información.
De hecho, muchos ataques, como el famoso caso del gusano de 1988,
no buscaban borrar, robar, o modificar la información, sino
bloquear el sistema creando nuevos procesos que saturaban recursos,
lo cual es muy peligroso en el caso de la salud, sobre todo en las
áreas de atención a pacientes.
Estos principios deben formar parte de la política de seguridad
de la institución.
Política
de Seguridad Institucional
La política se refleja en una serie de normas, reglamentos
y protocolos a seguir, donde se definen las distintas medidas a
tomar para proteger la seguridad del sistema, las funciones y responsabilidades
de los distintos componentes de la organización y los mecanismos
para controlar su correcto funcionamiento.
Son los directivos, junto con los expertos en tecnologías
de la información, quienes deben definir los requisitos de
seguridad, identificando y priorizando la importancia de los distintos
elementos de la actividad realizada, con lo cual los procesos más
importantes recibirán la protección adecuada. La seguridad
debe considerarse como parte de la cultura, ética y procedimientos
habituales, no como algo extra que se añade a la labor cotidiana.
El compromiso de la Dirección con la Seguridad de los Sistemas
de Información debe tomar la forma de una política
de seguridad formalmente acordada y documentada. Dicha política
tiene que ser consistente con las prácticas de seguridad
de todas las áreas, puesto que muchas amenazas (incendio,
inundación) son comunes a otras actividades de la organización.
Algunas reglas básicas a la hora de establecer una política
de seguridad.
- Toda política de seguridad debe ser holística, es
decir, debe cubrir todos los aspectos relacionados con el sistema.
- Debe proteger el sistema en todos los niveles: físico,
humano, lógico y logístico.
- Debe tener en cuenta no sólo los distintos componentes
del sistema, tales como el hardware, software, entorno físico
y usuarios, sino también la interacción entre los
mismos.
- Debe tener en cuenta el entorno del sistema, esto es, el tipo
de entidad y sus interrelaciones con otras ( Policlínico,
Hospital, Farmacia, ...).
- La política de seguridad debe adecuarse a nuestras necesidades
y recursos, el valor que se le da a los recursos y a la información,
el uso que se hace del sistema en todos los departamentos.
- Deben evaluarse los riesgos, el valor del sistema protegido y
el coste de atacarlo. Las medidas de seguridad tomadas deben ser
proporcionales a estos valores.
- Toda política de seguridad debe basarse fundamentalmente
en el sentido común. Es necesario:
- El conocimiento del sistema
a proteger y de su entorno.
- El conocimiento y experiencia
en la evaluación de riesgos y el establecimiento de medidas
de seguridad.
- El conocimiento de la naturaleza
humana, de los usuarios y de sus posibles motivaciones.
Una vez conformada la política institucional, elaborar el
Plan de Seguridad y Contingencias Informáticas, basado en
la identificación y análisis de riesgos, en cuánto
a la vulnerabilidad en los puntos o aspectos que hacen al Sistema
Informático susceptible de ser atacado, que no son mas que
las debilidades o aspectos falibles o atacables en el sistema informático.
Las amenazas precisadas en cuánto a los posibles ataques
de personas, programas malignos, sucesos naturales o de otra índole
y las medidas técnicas de protección frente a las
amenazas identificadas.
La seguridad informática se encarga de la identificación
de las vulnerabilidades del sistema y del establecimiento de contramedidas
que eviten que las distintas amenazas posibles exploten dichas vulnerabilidades.
En Cuba existe una metodología muy completa para la elaboración
del Plan de Seguridad Informática, de manera que puede aplicarse
en todas las Instituciones y Servicios informatizados. Sin embargo,
dada la importancia del tema de seguridad en la información,
aún cuando no esté informatizado el proceso, se recomienda
realizar el análisis de riesgos en aquellos lugares como
Archivos de Historias Clínicas, Imagenología, Biblioteca
y otros, donde se archiva y custodia información sensible
y que a mediano o largo plazo debe ser objeto de atención
en el proceso de Informatización del Sector.
Una máxima de la seguridad informática es que: "No
existe ningún sistema completamente seguro". Existen
sistemas más o menos seguros y más o menos vulnerables,
pero la seguridad nunca es absoluta. Es por ello que insistimos
en un conjunto de aspectos importantes que siempre deben estar presentes.
Recomendación
1- El personal que tiene asignado un equipo debe mantener este con
todas las condiciones que se establecen en el plan de seguridad,
que son las mas elementales: los password en el Setup, Red, y Refrescante
de pantalla, como medida preventiva estas claves deben estar en
sobre sellado en la dirección, ya que ante cualquier situación
especial o de contingencia, se pueda hacer uso del equipo, la función
de la actividad de Salud.
2- Mantener
y tener instalado un Antivirus de acuerdo a los lineamentos o normas
establecidas, siendo lo mas importante tener constantemente la actualización
dado que pueden recibirse ataques que persiguen afectar la salud
de las personas, la economía, las investigaciones, la toma
de decisión o los servicios en general, ya que existe el
riesgo de penetrar al equipo y robar información que puede
ser sensible o clasificada.
3- En el orden
de las comunicaciones es necesario controlar o supervisar estos
medios a través de las trazas orientando también su
uso, explicando la necesidad de mantener este recurso lo mas optimo
y no congestionado para que su acceso sea lo mas rápido posible
y no se sobrecarguen las Redes, líneas telefónicas
y servidores, con mensajes y correos no objetivos para nuestra actividad.
Se hace necesario incluir en el código de ética adecuado
a cada nivel de estructura de acuerdo a su actividad especifica,
las conductas que se integren a la cultura requerida en el desempeño
de las funciones..
4- Es necesario
mantener actualizados los estudios de vulnerabilidad, que deben
ser dinámicos ya que nos permite tener un control de los
medios y la técnica de la cual disponemos en nuestro centro
y dar conocimiento a los niveles superiores para que a su vez se
retroalimente el proceso de decisión y se pueda efectuar
las mejoras en los equipos y los software con las nuevas necesidades,
así como conocer los puntos críticos y estar preparados
para cualquier situación emergente.
5- Las condiciones
eléctricas y climatización son muy necesarias en el
cuidado y conservación de la técnica. Detectar donde
los recursos deben estar por su importancia y tomar las medidas
de protección física y lógica, sobre los equipos
y la información contenida en ellos, dado que se puede provocar
alteración de información por caída de voltaje
y rotura del mismo.
6- Conservación
y custodia, mediante métodos de almacenamiento y compactación
que permitan clasificar y guardar la información en el mas
mínimo espacio dentro de una carpeta o varias carpetas, organizadas
y clasificadas por grupos de referencia para su mas rápido
acceso de forma compactada y protegida de acuerdo a su nivel de
confiabilidad. Realizar las salvas físicas periódicas
y ubicarlas en lugares apropiados fuera del área donde se
originan, ya que en caso de contingencia puede restaurarse la información
hasta la fecha de la última salva de los datos.
Aunque hasta
el momento se han planteado medidas que se refieren a la prevención
ante posibles amenazas. Sin embargo, dado que como ya hemos comentado
anteriormente, "ningún sistema es completamente seguro",
hay que definir una estrategia a seguir en caso de fallo o desastre.
De hecho los expertos de seguridad afirman sutilmente que hay que
definir un plan de contingencia para cuando falle el sistema,
no por si falla el sistema.
La clave de una buena recuperación en caso de fallo es una
preparación adecuada. Por recuperación entendemos
tanto la capacidad de seguir trabajando en un plazo mínimo
después de que se haya producido el problema, como la posibilidad
de volver a la situación anterior al mismo habiendo reemplazado
o recuperado el máximo de los recursos en equipos e información.
Adicionalmente existen otros aspectos relacionados con la recuperación
como son la detección del fallo, la identificación
del origen del ataque y de los daños causados al sistema
y la toma de medidas a posteriori contra el atacante. Todo ello
se basa en buena medida en el uso de una adecuada política
de monitorización y auditoria del sistema.
La recuperación de la información se basa en el uso
de una política de copias de seguridad adecuada, mientras
la recuperación del funcionamiento del sistema se basa en
la preparación de recursos alternativos.
Una buena política de copias de seguridad debe contemplar
los siguientes aspectos:
- Qué tipos de backups se realizan: completos o incrementales.
- Con qué frecuencia se realiza cada tipo de backup.
- Cuántas copias se realizan y dónde se guardan.
- Durante cuánto tiempo se guardan las copias.
Dependiendo
del tipo de entidad puede ser necesario recuperar el funcionamiento
en un plazo más o menos breve Las entidades pueden mantener
o contratar dos tipos de instalaciones alternativas: frías
(cold site) o calientes (hot site), de acuerdo al Sistema o Proceso
de salud al que sirve.
Una instalación
fría consiste en un lugar con las medidas de seguridad física
disponibles, donde poder instalar el hardware y el software y funcionar
en menos de una semana. Una instalación caliente incluye
además ordenadores, periféricos, líneas de
comunicaciones y otros medios e incluso personal para volver a funcionar
en unas pocas horas.
Los procesos
de la salud en general y aquellos dirigidos a la atención
directa a pacientes, como son los de apoyo al diagnóstico,
atención y tratamiento, son altamente sensibles y es por
ello que su seguridad es una constante preocupación en el
proceso de informatización del Sector, lo cual ha motivado
que esta sea una de las principales estrategias maestras de desarrollo.
De ahí que sus objetivos se encaminen a lograr una cultura
de seguridad en los trabajadores de la salud que integre a su conducta
cotidiana, el cumplimiento de política institucional y las
medidas del Plan de Seguridad de manera útil y funcional,
lo cual equivale a garantizar la "salud" de los datos
que constituyen la "vida" del Sistema Nacional de Salud....
entonces, atendámoslo y cuidémoslo con el médico
lo hace con su paciente.
Bibliografia
(1) RODRIGUEZ, R. J. , GATTINI, C., ALMEIDA, G. Et col. El establecimiento
de Sistemas de información en servicios de atención
de salud. Guía para el análisis de requisitos, especificación
de las aplicaciones y adquisición. Pan American Health Organization.
Washington, D.C.: PAHO, 1999. ISBN 92 75 12266 0. 1999. Sección
A1. p.8
(2) Vidal L, M. Cazes, G. Seguridad, datos y salud. CD Tecnología
de Salud. Información Informática y Estadística
de Salud. CDS. ISBN 959-7158-08-6. 2004.
(3) García P, G. Seguridad Informática. Folleto docente.
Tema 1. Introducción a la Seguridad Informática. CD
Tecnología de Salud. Información Informática
y Estadística de Salud. CDS. ISBN 959-7158-08-6. 2004. p.
1-26.
(4) Vidal L, M. Seguridad Informática. Términos relacionados.
Folleto docente. Tema 1. Introducción a la Seguridad Informática.
CD Tecnología de Salud. Información Informática
y Estadística de Salud. CDS. ISBN 959-7158-08-6. 2004. p.
1-11.
(5) Gost G, J. Gestión Sanitaria y Tecnologías de
la Información. Servicio de Medicina Preventiva. Hospital
de Navarra, España. CD Biblioteca Virtual para formación
postgraduada de directivos del Sector Salud. ISBN 959-7158-13-2
V.2004. p.14
|
