ISO 27799: Guía de Implementación para Centros Sanitarios

Qué es la ISO 27799 y por qué importa

La ISO 27799 es una extensión de la ISO 27001 específicamente diseñada para el sector sanitario. Define cómo aplicar los controles de seguridad de la información al contexto de los datos de salud, teniendo en cuenta las particularidades de hospitales, clínicas, laboratorios y otros centros sanitarios.

Diferencias con ISO 27001

• Contexto sanitario: Adapta cada control al flujo de datos clínicos, desde la admisión del paciente hasta el alta y el archivo.
• Dispositivos médicos: Incluye requisitos específicos para equipos conectados (PACS, monitores, bombas de infusión).
• Consentimiento del paciente: Define controles adicionales para la gestión del consentimiento informado digital.
• Interoperabilidad: Considera la seguridad en el intercambio de datos entre sistemas (HL7, FHIR, DICOM).

Controles clave de la ISO 27799

1. Control de acceso basado en roles clínicos: Médicos, enfermería, administrativos y técnicos deben tener accesos diferenciados y auditables.
2. Cifrado de datos de pacientes: En reposo (bases de datos, backups) y en tránsito (comunicaciones entre sistemas).
3. Gestión de dispositivos médicos conectados: Inventario, parcheo, segmentación de red y monitorización.
4. Trazabilidad de accesos: Logs detallados de quién accede a qué historia clínica, cuándo y desde dónde.
5. Continuidad del servicio clínico: Planes de continuidad que garanticen la atención al paciente durante incidentes de seguridad.
6. Gestión de terceros: Requisitos de seguridad para proveedores tecnológicos, mantenimiento de equipos y servicios cloud.

Roadmap de implementación en 6 meses

Mes 1-2: Análisis y planificación

Gap analysis respecto a ISO 27799, inventario de activos sanitarios, evaluación de riesgos y definición del alcance.

Mes 3-4: Implementación de controles

Despliegue de controles técnicos prioritarios: segmentación de red, cifrado, control de acceso, EDR y backup. Redacción de políticas y procedimientos.

Mes 5: Formación y concienciación

Formación del personal sanitario en las nuevas políticas. Simulaciones de phishing y ejercicios de respuesta a incidentes.

Mes 6: Auditoría interna y mejora

Auditoría interna, corrección de no conformidades y preparación para certificación o verificación externa.

Costes estimados

• Clínica pequeña (10-50 empleados): 15.000 - 30.000 euros (consultoría + tecnología)
• Hospital mediano (50-200 empleados): 40.000 - 80.000 euros
• Hospital grande (200+ empleados): 80.000 - 150.000 euros

Estos costes se amortizan rápidamente considerando que una sola multa RGPD por datos de salud puede superar los 100.000 euros.

Conclusión

Implementar la ISO 27799 no es solo obtener un sello: es construir una cultura de seguridad que protege a tus pacientes y a tu organización. Con un roadmap claro y el apoyo de un MSSP especializado en sanidad, cualquier centro sanitario puede alcanzar un nivel de madurez adecuado en 6 meses.