A ciberseguridade sanitaria: Leccións do sector público galego

Retos globais: a sanidade baixo presión dixital

A dixitalización da atención sanitaria mellorou a rapidez e a coordinación do coidado, pero tamén multiplicou as superficies de ataque. Historias de interrupcións de servizos e fugas de información comezan a formar parte do repertorio do sector en todo o mundo. Fronte a ese escenario xorde unha pregunta clave: como se equilibra a axilidade asistencial coa necesidade de protexer datos extremadamente sensibles?

Unha estratexia integral, máis alá da tecnoloxía

Algunhas administracións autonómicas apostaron por enfoques holísticos. Non abonda con despregar ferramentas; é preciso deseñar políticas, procesos e roles claros. A xestión de identidades, a segmentación de redes, copias de seguridade fóra de liña e plans de recuperación son partes dunha caixa de ferramentas imprescindible. Ademais, a compra pública e os contratos con provedores deben incorporar cláusulas de seguridade e auditorías periódicas para evitar vulnerabilidades por terceiros.

A formación e a cultura organizativa ocupan un lugar central: o persoal sanitario manexa información crítica e é o primeiro filtro ante intentos de suplantación ou correos maliciosos. O investimento en capacitación sistemática reduce o risco humano, que segue a ser a principal porta de entrada de moitos incidentes.

Protección de datos clínicos: implicacións prácticas e xurídicas

Os historiais médicos e outros rexistros clínicos non son simples arquivos: conteñen información que pode afectar á privacidade, á seguridade e á dignidade das persoas. Unha filtración ten consecuencias que van dende a fraude ata o dano reputacional da institución e a perda de confianza da poboación. No ámbito europeo, o cumprimento do marco de protección de datos obriga ás administracións a adoptar medidas proporcionadas, realizar avaliacións de impacto e notificar incidentes en prazos establecidos.

Por iso, moitas institucións públicas traballan en certificacións e auditorías externas que avalen os seus controis. A transparencia informada, con protocolos claros sobre que se comunica á cidadanía tras un incidente, tamén forma parte do deber de responsabilidade.

Cooperación e transferencia de coñecemento

O coñecemento técnico e operativo compártese cada vez máis entre administracións e co sector privado. Foros rexionais e nacionais facilitan a comparación de respostas, as probas de concepto e a elaboración de normas comúns. Ademais, a colaboración con universidades e centros tecnolóxicos impulsa a investigación aplicada: detección temperá de ameazas, análise forense e desenvolvemento de ferramentas adaptadas ao entorno sanitario.

Ese intercambio non é só técnico: inclúe exercicios conxuntos de resposta a incidentes (simulacros) que poñen a proba os plans de continxencia e melloran a coordinación entre hospitais, servizos centrais e forzas de seguridade.

Riscos emerxentes e realidades concretas

A sofisticación dos atacantes aumenta: dende campañas masivas de phishing ata operacións dirixidas de extorsión e explotación de vulnerabilidades en equipos médicos conectados. A isto súmanse os retos da cadea de subministración: software e servizos de terceiros poden introducir fallos que afecten a toda a rede sanitaria. A resposta esixe unha gobernanza que combine prevención técnica, vixilancia continua e contratos que obriguen aos provedores a estándares mínimos de seguridade.

Tamén xorden debates sobre mecanismos complementarios, como a póliza de ciberseguro para institucións públicas, e sobre se a responsabilidade debe repartirse entre aseguradoras, provedores tecnolóxicos e administracións.