Ciberseguridad en el ámbito sanitario

TRABAJO DE FINAL DE GRADO G ado en Ingenie ía Biomédica CIBERSEGURIDAD EN EL ÁMBITO SANITARIO Memo ia y Anexos Au o /a: Ca men Galán Luce ón Di ec o /a: Ja ie Fa e es De La Mo ena Con oca o ia: Junio 2023 Cibe segu idad en el ámbi o sani a io i Resumen El sec o sani a io es uno de los más ulne ables y a ec ados po los inciden es cibe né icos, que pueden pone en iesgo la segu idad de los pacien es, la con idencialidad de los da os y la con inuidad de los se icios. Po es a azón, es necesa io sensibiliza sob e la impo ancia de la cibe segu idad en es e ámbi o y adop a medidas p e en i as y co ec i as pa a mi iga y educi los posibles daños. En es e abajo de in de es udios se p e ende ealiza un análisis mul idisciplina del es ado ac ual de la cibe segu idad en el sec o sani a io, a pa i de una e isión bibliog á ica exhaus i a que aba ca los siguien es aspec os: los cos os asociados a los inciden es cibe né icos, la discusión sob e la conciliación de los undamen os de la deon ología médica y la aplicación de las TIC en el sec o , la no ma i a igen e a ni el nacional e in e nacional, los iesgos más comunes y las buenas p ác icas pa a e i a los, y dos casos eales ecien es de hospi ales que han sido íc imas de a aques cibe né icos, en los que se mos a an las lecciones ap endidas. Con ello, se p e ende alcanza el obje i o p incipal de es e abajo, que es conciencia sob e el impac o que los inciden es cibe né icos p esen an en la ac ualidad sob e el sec o sani a io y o ece ecomendaciones pa a mejo a la p o ección y la esiliencia de las o ganizaciones sani a ias en e a las amenazas cibe né icas. Memo ia ii Resum El sec o sani a i és un dels més ulne ables i a ec a s pels inciden s cibe nè ics, que poden posa en isc la segu e a dels pacien s, la con idenciali a de les dades i la con inuï a dels se eis. Pe aques a aó, cal sensibili za sob e la impo ància de la cibe segu e a en aques àmbi i adop a mesu es p e en i es i co ec i es pe mi iga i edui els possibles danys. En aques eball de i d'es udis es p e én e una anàlisi mul idisciplinà ia de l'es a ac ual de la cibe segu e a al sec o sani a i, a pa i d'una e isió bibliog à ica exhaus i a que abas a els aspec es següen s: els cos os associa s als inciden s cibe nè ics, la discussió sob e la conciliació dels onamen s de la deon ologia mèdica i l'aplicació de les TIC al sec o , la no ma i a igen a ni ell nacional i in e nacional, els iscos més comuns i les bones p àc iques pe e i a - los, i dos casos eals ecen s d'hospi als que han es a íc imes d'a acs cibe nè ics, en què es mos en les lliçons ap eses. Amb això, es p e én assoli l'objec iu p incipal d'aques eball, que és consciencia sob e l'impac e que els inciden s cibe nè ics p esen en ac ualmen sob e el sec o sani a i i o e i ecomanacions pe millo a la p o ecció i la esiliència de les o gani zacions sani à ies da an de les amenaces cibe nè iques . Cibe segu idad en el ámbi o sani a io iii Abs ac The heal hca e sec o is one o he mos ulne able and a ec ed by cybe inciden s, which can jeopa dise pa ien sa e y, da a con iden iali y and con inui y o se ices. Fo his eason, i is necessa y o aise awa eness o he impo ance o cybe secu i y in his a ea and o adop p e en i e and co ec i e measu es o mi iga e and educe po en ial damage. The aim o his hesis is o ca y ou a mul idisciplina y analysis o he cu en s a e o cybe secu i y in he heal hca e sec o , based on a comp ehensi e li e a u e e iew co e ing he ollowing aspec s: he cos s associa ed wi h cybe inciden s, he discussion on he econcilia ion o he undamen als o medical e hics and he applica ion o ICT in he sec o , he cu en na ional and in e na ional egula ions, he mos common isks and good p ac ices o a oid hem, and wo ecen eal cases o hospi als ha ha e been ic ims o cybe a acks, in which he lessons lea ned will be shown. This is in ended o achie e he main objec i e o his wo k, which is o aise awa eness o he impac ha cybe inciden s cu en ly ha e on he heal hca e sec o and o o e ecommenda ions o imp o e he p o ec ion and esilience o heal hca e o ganisa ions in he ace o cybe h ea s. Memo ia i Ag adecimien os Me gus a ía exp esa mi más since o ag adecimien o a las pe sonas que han hecho posible la ealización de es e abajo. En p ime luga , a mi u o Ja ie Fa e es De La Mo ena, po con ia en mí y guia me en el desa ollo del p oyec o, así como suge i me el in e esan e caso del Hospi al Clínic como obje o de es udio. En segundo luga , a Xa ie Pas o , je e del depa amen o de in o má ica médica po concede me la opo unidad de en e is a le y compa i conmigo sus expe iencias sob e el inciden e ocu ido en el cen o. Po úl imo, a Ne ea Palacios, sec e a ia del Doc o Pas o , po acili a me la ges ión y coo dinación de la en e is a, a endiendo a las indicaciones que he ido equi iendo. A odos ellos, les es oy p o undamen e ag adecida po su colabo ación y apoyo. Cibe segu idad en el ámbi o sani a io Glosa io Té mino Siglas Desc ición Agencia de Cibe segu idad de Ca aluña ACC O ganismo enca gado de ga an iza la segu idad cibe né ica en Ca aluña. Agencia Eu opea de Cibe segu idad ENISA Agencia de la Unión Eu opea que iene como obje i o omen a la cibe segu idad en Eu opa. Au en i icación de dos ac o es 2FA Mé odo de au en i icación que equie e de dos o mas di e en es de iden i icación. Cen e Hospi alie Uni e si ai e CHU Hospi al uni e si a io en F ancia que ambién puede e e i se a o os hospi ales en países ancó onos. Cen o C ip ológico Nacional CCN Cen o español enca gado de la c ip og a ía y la segu idad in o má ica. Cen o Nacional de P o ección de In aes uc u as C í icas CNPIC O ganismo español enca gado de p o ege las in aes uc u as c í icas del país. Cen o de p oceso de da os CPD Ins alación que albe ga los se ido es y los sis emas de almacenamien o de una o ganización. Con ol de acceso basado en oles RBAC Sis ema de con ol de acceso que o o ga pe misos de acue do con el ol del usua io. Depa amen o de Segu idad Nacional DNS O ganismo es adounidense enca gado de p o ege el país de amenazas ex e nas. Elec onic Heal h Reco d EHR Regis o elec ónico de una in o mación médica de un pacien e. Elec onic Medical Reco d EMR Regis o elec ónico de la in o mación médica de un pacien e en un solo cen o de salud. Equipo de espues a a inciden es de cibe segu idad de la Unión Eu opea CERT-UE Equipo de espues a a inciden es de cibe segu idad de la Unión Eu opea. Equipo de espues a a inciden es de segu idad in o má ica CSIRT Equipo enca gado de esponde a inciden es de segu idad in o má ica en una o ganización. His o ia clínica elec ónica HCE Regis o elec ónico de la in o mación médica de un pacien e en un hospi al. Ins i u o Nacional de Cibe segu idad INCIBE Cen o español enca gado de la cibe segu idad en el país. Plani icación de Recu sos Emp esa iales ERP Sis ema de ges ión emp esa ial que in eg a p ocesos y da os en una sola pla a o ma. Reglamen o Gene al de P o ección de Da os RGPD Regulación de la Unión Eu opea que p o ege los da os pe sonales de los ciudadanos. Sis ema de Eme gencias Médicas SEM Se icio enca gado de esponde a eme gencias médicas y de anspo e sani a io. Sis ema de In o mación Sani a ia HIS Sis ema de ges ión de la in o mación médica de un hospi al. Sis ema Ope a i o SO So wa e que con ola el ha dwa e y pe mi e que o os p og amas se ejecu en en un o denado . Memo ia i Sis emas de adminis ación de in o mación y e en os de segu idad SIEM He amien a de cibe segu idad que ecopila y analiza in o mación de e en os en iempo eal. Tecnología de la In o mación TI Conjun o de he amien as, p ocesos y écnicas u ilizados pa a p ocesa y ansmi i in o mación. Tecnologías de la in o mación y la comunicación TIC Conjun o de ecnologías u ilizadas pa a p ocesa , almace na , ansmi i y ecibi in o mación. Cibe segu idad en el ámbi o sani a io ii Índice RESUMEN _____________________________________________________________ I RESUM _______________________________________________________________ II ABSTRACT ___________________________________________________________ III AGRADECIMIENTOS _________________________________________________ IV GLOSARIO ____________________________________________________________ V INTRODUCCIÓN ______________________________________________________ 1 1.1. Obje i os ............................................................................................................... 3 1.2. Plani icación ......................................................................................................... 3 1.3. Re isión del Es ado del a e ................................................................................. 9 ANÁLISIS FINANCIERO Y ÉTICO-SOCIAL _____________________________ 12 2.1. Análisis inancie o .............................................................................................. 12 2.2. Análisis é ico-social ............................................................................................ 15 REGULACIÓN ESPAÑOLA DE LA CIBERSEGURIDAD EN ENTORNOS HOSPITALARIOS ________________________________________________ 19 RIESGOS DE CIBERSEGURIDAD EN ENTORNOS HOSPITALARIOS ____ 24 4.1. El cibe espacio Hospi ala io ............................................................................... 25 4.2. Vulne abilidades en el sec o sani a io ............................................................. 28 4.3. Vec o es de a aque en el sec o sani a io .......................................................... 30 4.4. P e ención de iesgos ......................................................................................... 32 PRESENTACIÓN DE LOS CASOS ______________________________________ 37 5.1. Caso del Hospi al Clínic ..................................................................................... 37 5.2. Caso del Hospi al Sain Pie e ........................................................................... 40 ANÁLISIS DE LOS CASOS DE ESTUDIO _______________________________ 43 6.1. P ocedimien o de ges ión de inciden es ............................................................. 44 6.2. Análisis del caso de es udio I ............................................................................. 47 6.3. Compa a i a de los casos de es udio.................................................................. 51 CONCLUSIONES _____________________________________________________ 54 BIBLIOGRAFÍA _______________________________________________________ 57 Pág. 6 Memo ia 6 Ilus ación 4. Lis ado de a eas y sub a eas pa a la plani icación de la segunda pa e del p oyec o. Ilus ación 5. Diag ama de Gan de las a eas y sub a eas de la segunda pa e del p oyec o. Realizado con Gan PRO. En la e ce a pa e o hi o se incluyen las a eas elacionadas con el desa ollo y análisis de dos casos eales, lo que si e pa a pone en p ác ica los conocimien os eó icos adqui idos. Es as a eas se han plani icado pa a que sean ealizadas en el pe iodo de iempo comp endido en e el 15/05/2023 y el 01/06/2023. Cibe segu idad en el ámbi o sani a io 7 Ilus ación 6. Lis ado de a eas y sub a eas pa a la plani icación de la e ce a pa e del p oyec o. Ilus ación 7. Diag ama de Gan de las a eas y sub a eas de la e ce a pa e del p oyec o. Realizado con Gan PRO. En la cua a pa e o hi o se incluyen las a eas elacionadas con la inalización y la en ega del p oyec o. Es as a eas se han plani icado pa a que sean ealizadas en el pe iodo de iempo comp endido en e el 01/06/2023 y el 13/06/2023. Ilus ación 8. Lis ado de a eas y sub a eas pa a la plani icación de la cua a pa e del p oyec o. Pág. 8 Memo ia 8 Ilus ación 9. Diag ama de Gan de las a eas y sub a eas de la cua a pa e del p oyec o. Realizado con Gan PRO. En la quin a pa e o hi o se incluyen las a eas elacionadas con la o ganización y ealización de la p esen ación o al del p oyec o. Es as a eas se han plani icado pa a que sean ealizadas en el pe iodo de iempo comp endido en e el 14/06/2023 y el 07/07/2023. Ilus ación 10. Lis ado de a eas y sub a eas pa a la plani icación de la quin a pa e del p oyec o. Ilus ación 11. Diag ama de Gan de las a eas y sub a eas de la quin a pa e del p oyec o. Realizado con Gan PRO Cibe segu idad en el ámbi o sani a io 9 1.3. Re isión del Es ado del a e El sec o sani a io es un sec o c í ico que maneja la in o mación pe sonal y sensible de los pacien es, po lo que la cibe segu idad es de i al impo ancia pa a ga an iza la p i acidad y segu idad de la in o mación con idencial. En el p esen e apa ado se ha ealizado un análisis del es ado del a e en cuan o a la cibe segu idad en el ámbi o de la salud, a ando el ma co egulado de la Unión Eu opea (UE) así como el mecanismo de ce i icación ac ual de los p oduc os y se icios digi ales en el sec o de es udio. En la ac ualidad, la Unión Eu opea ha adop ado un ma co eglamen a io pa a la cibe segu idad que es á con o mado po a ias no ma i as y en idades que buscan ga an iza la iabilidad de los sis emas c í icos así como una espues a ápida y coo dinada en e a inciden es de segu idad. El Reglamen o (UE) 2019/881 del Pa lamen o Eu opeo y del Consejo, de 17 de ab il de 2019, [7] se a a de un aspec o ele an e en cuan o a la no ma i a en ma e ia ya que iene como obje i o e o za la cibe segu idad en la Unión Eu opea. El Reglamen o es ablece dos elemen os p incipales: una Agencia de la Unión Eu opea pa a la Cibe segu idad (ENISA) con un manda o pe manen e y un ma co pa a la ce i icación de la cibe segu idad de las ecnologías de la in o mación y la comunicación (TIC). ENISA es una agencia descen alizada que apoya a las au o idades nacionales y a las ins i uciones de la UE en el desa ollo y la aplicación de polí icas y medidas de cibe segu idad. Se enca ga de con ibui a la p e ención, de ección y espues a a las cibe amenazas; omen a la coope ación y el in e cambio de in o mación en e los Es ados miemb os; o ece aseso amien o cien í ico y écnico sob e cues iones de cibe segu idad; y p omo e la sensibilización y la o mación en ma e ia de cibe segu idad. [8] El ma co de ce i icación de la cibe segu idad de la UE pa a los p oduc os de TIC p opo ciona sis emas de ce i icación adap ados y basados en el ni el de iesgo. La ce i icación juega un papel undamen al pa a a ianza la segu idad de los p oduc os y se icios digi ales. De hecho, en la ac ualidad exis en a ios sis emas de ce i icación di e en es en la UE pa a los p oduc os TIC, lo que puede gene a agmen ación y ba e as en e los Es ados miemb os. [9] Pa a abo da es a si uación, se ha p opues o un ma co o mado po el conjun o comple o de no mas, equisi os écnicos y p ocedimien os de ce i icación. El ma co Pág. 10 Memo ia 10 se basa en un acue do a escala de la UE sob e la e aluación de las p opiedades de segu idad de un p oduc o o se icio TIC, lo que demues a que los p oduc os y se icios que han sido ce i icados cumplen con los equisi os especi icados. Los ni eles de ga an ía u ilizados in o ma án a los usua ios del iego de cibe segu idad de un p oduc o ya que end án clasi icados como básicos, sus anciales o al os. Así, es e ce i icado se á econocido en odos los Es ados miemb os de la UE, lo que acili a á a las emp esas come cia y a los comp ado es en ende las ca ac e ís icas de segu idad del p oduc o o se icio. [9] Como p ime mecanismo de ce i icación se ha c eado Eu op i acy, [10] pa a asegu a el cumplimien o del Reglamen o Gene al de P o ección de Da os (RGPD). El RGPD es de especial ele ancia en el sec o de es udio, ya que se es ablecen las bases legales pa a el a amien o de da os pe sonales en las o ganizaciones sani a ias que incluyen el consen imien o del pacien e, la obligación legal y el in e és público en la p o ección de la salud pública. Conc e amen e, Eu op i acy puede u iliza se pa a: • E alua el cumplimien o de las ac i idades de p ocesamien o de da os. • Selecciona p ocesado es de da os. • E alua la idoneidad de las ans e encias de da os ans on e izas. • Ga an iza a los ciudadanos y clien es el a amien o adecuado de los da os pe sonales. Po lo an o, el sello puede ayuda a mejo a la p o ección de da os en el sec o sani a io y ga an iza el cumplimen o de las no mas de p o ección de da os ya que pe mi e iden i ica y educi sus iesgos, demos a y e alua su con o midad con las no mas nacionales complemen a ias de p o ección de da os. Po o o lado, cabe des aca la p opues a sob e el p oyec o del Reglamen o de la Comisión de ma zo de 2022, [11] des inado a ga an iza un ele ado ni el común de cibe segu idad en odas las ins i uciones, ó ganos y o ganismos de la UE. Pa a ello, incluye el o alecimien o del manda o y la inanciación del Equipo de Respues a a Eme gencias In o má icas de las ins i uciones de la Unión Eu opea (CERT-UE), la c eación de un Consejo In e ins i ucional de Cibe segu idad pa a guia y supe isa la implemen ación del nue o eglamen o y la p omoción de la coo dinación y coope ación en la espues a a inciden es cibe né icos. Cibe segu idad en el ámbi o sani a io 11 El CERT-UE, se a a de un equipo de expe os en segu idad in o má ica de las ins i uciones y los ó ganos de la UE. El equipo ecopila, ges iona, analiza y compa e in o mación con las ins i uciones, los ó ganos y las agencias de la UE sob e amenazas, ulne abilidades e inciden es elacionados con in aes uc u as de TIC no clasi icadas. [12] En el Reglamen o ambién se incluye la ac ualización del ma co legal sob e la segu idad de las edes y sis emas de in o mación (Di ec i a NIS 2) o Di ec i a (UE) 2022/2555 del Pa lamen o Eu opeo y del Consejo de 14 de diciemb e de 2022 ela i a a las medidas des inadas a ga an iza un ele ado ni el común de cibe segu idad en la UE. [13] Tiene como obje i o e o za la esiliencia y la capacidad de espues a de los Es ados miemb os y de la UE an e amenazas y los inciden es cibe né icos. Pa a ello, es ablece una se ie de disposiciones que aba can los siguien es aspec os: • A ículo 7. La coope ación en e los Es ados miemb os y la UE en ma e ia de cibe segu idad, median e la coo dinación en e las au o idades compe en es nacionales y eu opeas, así como el desa ollo de planes nacionales y eu opeos de ges ión de c isis cibe né icas. • A ículo 4. La iden i icación y el es ablecimien o de equisi os de segu idad pa a los ope ado es de se icios esenciales y los p o eedo es de se icios digi ales que p es an se icios en el me cado in e io , así como pa a los p oduc os, se icios y p ocesos TIC que se conside en c í icos pa a la segu idad de la UE. Pág. 12 Memo ia 12 Análisis inancie o y é ico-social 2.1. Análisis inancie o En es e subapa ado se lle a a cabo un análisis del impac o inancie o de los inciden es cibe né icos en unción de los di e en es ipos de cos es que pueden a ec a a las o ganizaciones hospi ala ias. En conc e o, se examinan los cos es de de ección y escalado, los cos es de pé dida de negocio, cos es de no i icación y espues a y o os cos es adicionales. Además, pa a p opo ciona una e aluación igu osa del es udio, se apo an da os ex aídos del in o me de 2022 sob e el cos e de la il ación de da os ealizado po IBM en colabo ación con el Ins i u o Ponemon. [14] Las b echas de segu idad en el sec o sani a io se han con e ido en una p eocupación g a e a ni el inancie o, pues se a a del sec o c í ico más ca o donde el cos e medio po in acción ha alcanzado los 10,10 millones de dóla es. G á ico 1. Cos e medio de una iolación de da os di idido en cua o segmen os. [14] Como se mues a en el G á ico 1 la mayo pa e de los cos es po iolación de da os en 2022 se co esponde a la ase de de ección y escalado, pues han ascendido a 1,44 millones de dóla es, lo que ep esen a un aumen o del 16,1% con espec o al año an e io . En es e ipo de cos es se incluyen ac i idades que pe mi en la Cibe segu idad en el ámbi o sani a io 13 iden i icación emp ana de la in acción como la implemen ación de ecnologías de segu idad a anzadas, la con a ación de expe os en cibe segu idad y la ealización de audi o ías de segu idad egula es. En el in o me, se demues a como el es ablecimien o de ecnologías de in eligencia a i icial y au oma ización de segu idad supone un aho o del 65,2% en e a o ganizaciones que ca ecen de dichos sis emas. Además, con a con un CERT que lle e a cabo un plan de espues a an e inciden es ambién p esen a un aho o signi ica i o de 2,66 millones de dóla es. Respec o a los cos es po pé dida de negocio, se e ie en a los daños inancie os que una o ganización puede su i debido a la disminución de p oduc i idad, a la pé dida de ing esos po la caída del sis ema y a la pé dida de clien es po epu ación. En el G á ico 1 se ap ecia como es e ipo de cos es han descendido con espec o al año an e io pe o aún suponen 1,42 millones de dóla es. G á ico 2. Cos e medio de una iolación de da os según el ciclo de ida. IBM Secu i y. (2022).[14] En el G á ico 2 se hace e iden e como un ciclo de ida más co o de la iolación de da os se asocia a unos cos es más bajos. Conc e amen e se e leja un aho o de cos es del 26,5% en ciclos de ida in e io es a 200 días en e a ciclos de ida supe io es a 200 días. Po an o, en los cos es po pé dida de negocio ambién in luye la disposición de ecnología de segu idad a anzada, así como la p esencia de un equipo expe o, pues si las o ganizaciones se encuen an mejo p epa adas, el iempo de ac uación se á más emp ano y como consecuencia, el impac o inancie o se á menos ag esi o. De hecho, en las o ganizaciones con IA y au oma ización de la segu idad se a da una media de 181 días en iden i ica la Pág. 14 Memo ia 14 il ación de da os y 68 días en con ene la, lo que supone un ciclo de ida o al de 249 días, mien as que las o ganizaciones que no cuen an con los sis emas mencionados a dan una media de 235 días en iden i ica la il ación y 88 días en con ene la, lo que supone un ciclo de 323 días. En e los cos es de no i icación y espues a, se encuen an la epa ación o eemplazo de los disposi i os in ec ados y los cos es de es au ación y comunicación de los da os pe didos o dañados. Es os ipos de cos es pueden a ia en unción del impac o del a aque, así como el ipo y la can idad de disposi i os a ec ados, ya que no es lo mismo eemplaza un ha dwa e cos oso de equipos de imagen médica, que o denado es de esc i o io. Sin emba go el conjun o de cos e p omedio de es os gas os oscila en e los 1.49 millones de dóla es . Respec o a los cos es adicionales de i ados de una in acción de cibe segu idad, se mues a las o ganizaciones con al os ni eles de incumplimien o de no ma i a pueden en en a se a un cos e medio de 5,57 millones de dóla es. Po o o lado, con a con pe sonal insu icien e en ma e ia de cibe segu idad puede supone un aho o medio de 550.000 dóla es. A pa i de los esul ados ac ualizados y ex aídos del in o me se concluye que es indispensable ealiza in e siones an o pa a la adopción de ecnología a anzada en segu idad, como en el desa ollo de un equipo al amen e compe en e en la ma e ia. De es a mane a se pod án mi iga los impac os de i ados de una iolación de da os y educi el conjun o de cos es an ele ados que es e inciden e conlle a. La aplicación de medidas p e en i as y co ec i as ambién ayuda á a aumen a la e iciencia y calidad de los se icios sani a ios y con ello, se mejo a á la epu ación del sec o . Cibe segu idad en el ámbi o sani a io 15 2.2. Análisis é ico-social La implemen ación de las TIC en el sec o sani a io ha inco po ado la p o ección de los da os pe sonales, la p o ección de los sis emas de in o mación y la p o ección de los disposi i os médicos. No obs an e, su despliegue en la asis encia sani a ia plan ea p eocupaciones é icas, pues los a aques cibe né icos suponen amenazas que pueden pone en pelig o la calidad y e iciencia de los se icios, la p o ección de la con idencialidad y segu idad de los pacien es y la usabilidad de los sis emas y disposi i os. Po es a azón, es undamen al ga an iza la iabilidad de las TIC a a és de medidas de cibe segu idad, ya que pe mi en asegu a la p o ección de la p i acidad y segu idad de los pacien es. Sin emba go, la implemen ación de es as medidas puede a ec a a la usabilidad de los sis emas y disposi i os médicos, lo que a su ez puede comp ome e la calidad y e iciencia de los se icios. Po an o, es esencial encon a un equilib io en e la cibe segu idad y la usabilidad, pa a ga an iza la segu idad y p i acidad de los pacien es sin comp ome e la calidad y e iciencia de los se icios sani a ios. En es e subapa ado se lle a a cabo un análisis é ico-social de la cibe segu idad en el sec o sani a io apoyado en las conclusiones del a ículo [15], pa a conoce la elación exis en e en e los p incipios de la é ica médica con la deside a a esul an e de la implemen ación de las TIC y las uncionalidades cla e de la cibe segu idad en el en o no de es udio. Con ello, se p e ende comp ende los desa íos é icos y sociales que su gen de la implemen ación de medidas de cibe segu idad en la asis encia sani a ia. Los p incipios de la é ica médica son cua o, se de inen a con inuación y se elacionan con la deside a a de la implemen ación de las TIC y las uncionalidades de la cibe segu idad en el en o no de es udio como se mues a en la Ilus ación 12. • Bene icencia, en endido como la mane a de ac ua en bene icio del pacien e. • No male icencia, o no hace daño al pacien e y ela po su salud. • Au onomía, se a a del de echo del pacien e a la oma de decisiones sob e su salud p e iamen e in o madas. • Jus icia, en endido como el a o equi a i o e impa cial del médico hacia los pacien es. Memo ia 22 Pa a lle a a cabo los p ocesos de e aluación y e i icación del ni el de segu idad de los sis emas de in o mación y las edes de comunicación de las o ganizaciones sani a ias, se ealizan audi o ias. Las audi o ías de cibe segu idad dedicadas al sec o sani a io siguen las no mas y es ánda es nacionales e in e nacionales aplicables, así como las ecomendaciones y buenas p ác icas del sec o pa a iden i ica las ulne abilidades, los iesgos y las medidas de mejo a necesa ias. De es a o ma, se ga an iza la p o ección de los da os y la con inuidad del se icio sani a io, así como el cumplimien o del ma co no ma i o español. Po ello, las audi o ias ambién se basan en es ablece medidas p e en i as, eac i as y co ec i as: • Finalidad p e en i a. Las audi o ias pe mi en de ec a y p e eni posibles inciden es o a aques cibe né icos que puedan a ec a a la segu idad de los da os o se icios sani a ios, así como es ablece planes de con ingencia y p o ocolos de ac uación an e posibles escena ios de c isis. • Finalidad eac i a. Las audi o ias esponden y ges ionan adecuadamen e los inciden es o a aques cibe né icos que se p oduzcan, minimizando su impac o y es ableciendo la no malidad lo an es posible, así como no i ica y coope a con las au o idades compe en es y los equipos CERT según lo es ablecido en el ma co no ma i o. • Finalidad co ec i a. Las audi o ias analizan y e alúan las causas y consecuencias de los inciden es o a aques cibe né icos, así como implemen a las acciones o mejo as necesa ias pa a e i a que se epi an en el u u o, cumpliendo con las medidas co ec o as o sanciones que pueda impone la au o idad de con ol compe en e según lo es ablecido en el ma co no ma i o. Algunas de las emp esas de mayo ele ancia en España que ealizan audi o ías de cibe segu idad pa a el sec o sani a io son Igaleno, Hiscox y Deloi e. La p o ección de da os es un de echo undamen al que a ec a a odos los sec o es, pe o especialmen e al sani a io, donde se a an da os sensibles de la salud de las pe sonas. Po an o, el cumplimien o del RGPD es imp escindible pa a ga an iza la con idencialidad, la segu idad y los de echos de los pacien es y los p o esionales sani a ios. Además, su cumplimien o ambién con ibuye a mejo a el ni el de segu idad y con ianza en el ámbi o sani a io digi al, así como a p e eni y mi iga los iesgos y amenazas que puedan a ec a a la con inuidad o calidad del se icio p es ado. Cibe segu idad en el ámbi o sani a io 23 Po lo an o, se hace imp escindible ealiza audi o ías pe iódicas que pe mi an e alua el ni el de cumplimien o y de ec a posibles iesgos o incumplimien os que puedan de i a en sanciones o b echas de segu idad, pues las audi o ías de p o ección de da os en el sec o sani a io son una he amien a e icaz pa a mejo a la cibe segu idad y la con ianza de los usua ios, así como pa a adap a se a las exigencias legales y é icas que igen el ámbi o de es udio. Memo ia 24 Riesgos de cibe segu idad en en o nos hospi ala ios La pandemia de la COVID-19 ha impulsado la ans o mación digi al del sec o sani a io, que ha enido que esponde a las nue as necesidades y expec a i as de pacien es y p o esionales. Es a e olución ha supues o una mejo a pa a el diagnós ico y a amien o de en e medades, g acias al uso de ecnologías como la IA, el Big Da a o la elemedicina, que apo an mayo p ecisión, apidez y pe sonalización. Asimismo, se ha mejo ado la asis encia sani a ia, al o ece se canales más lexibles, accesibles y e icien es pa a la comunicación y la ges ión clínica. No obs an e, la in e conexión de los sis emas y disposi i os médicos los hace más ulne ables a las cibe amenazas, comp ome iendo la in eg idad y con idencialidad de la in o mación. Además, los da os médicos son un obje i o a ac i o pa a los cibe delincuen es debido a su al o alo en el me cado neg o y la posibilidad de u iliza los pa a ines ilíci os como el aude, el chan aje o la ex o sión. Po ello, la ga an ía de la cibe segu idad en el sec o sani a io equie e una base écnica sólida, espaldada po c i e ios é icos y legales. El obje i o de es e apa ado es comp ende el uncionamien o del cibe espacio hospi ala io p opues o en el capí ulo Cybe Secu i y in Heal hca e Sys ems p oceden e del lib o Cybe Secu i y [27] , con el in de en ende su uncionamien o y sus implicaciones pa a la segu idad de los sis emas sani a ios. Asimismo, se ha á una ipología de las amenazas cibe né icas según las ulne abilidades y se desc ibi án los ec o es de a aque más ele an es en el sec o de es udio. Pa a ello, se ha de comp ende que amenaza, ulne abilidad y iesgo o man un odo en elazado en el mundo cibe né ico. En p ime luga , exis e un obje o ísico alioso, una compe encia o algún o o de echo inma e ial que necesi a p o ección y sal agua da. En segundo, se iden i ica: • Amenaza, como un acon ecimien o cibe né ico pe judicial que puede ocu i y su alo numé ico ep esen a su g ado de p obabilidad. • Vulne abilidad, como la debilidad inhe en e al sis ema o disposi i o, que aumen a la p obabilidad de que se p oduzca o ag a e el acon ecimien o. Puede es a elacionada con las ac i idades humanas, los p ocesos o las ecnologías. Cibe segu idad en el ámbi o sani a io 25 • Riesgo, como el alo del daño espe ado y es igual a la p obabilidad mul iplicada po la pé dida. Puede e alua se en unción de sus consecuencias económicas o de su pé dida. Finalmen e, se en iende po ec o de a aque la ía que u iliza un a acan e pa a accede de o ma no au o izada a una in aes uc u a de in o mación pa a ejecu a una acción o un esul ado malicioso. Con ello, los a acan es ap o echan las ulne abilidades del sis ema o disposi i o pa a lle a a cabo el inciden e cibe né ico. 4.1. El cibe espacio Hospi ala io El cibe espacio hospi ala io es un en o no complejo que se compone de a ias capas que in e ac úan en e sí. En el Esquema 7 se mues a el desglosamien o de cada ni el. Ilus ación 13. Capas del cibe mundo en pe spec i a hospi ala ia. [27] En la capa más ex e na o capa ísica, se encuen a la ed de in e ne que conec a al hospi al con el mundo ex e io . La siguien e capa o la capa sin ác ica, co esponde a la de la ed in e na del hospi al, que conec a odos los disposi i os y sis emas del hospi al. La siguien e capa o capa semán ica es la del sis ema de in o mación hospi ala ia, en la que se ges iona oda la in o mación clínica y adminis a i a del hospi al. La siguien e capa co esponde a los se icios públicos Memo ia 26 y come ciales y la capa cogni i a es el en o no de conciencia del pe sonal del hospi al. Es impo an e en ende que el sis ema de in o mación sani a ia (HIS) se compone a su ez de a ios p ocesos in e conec ados que se enca gan de ecopila , almacena y p ocesa la his o ia clínica elec ónica (HCE). Además, ambién se ha de ene en cuen a que una pe sona gene a al ededo de 1100 e aby es de da os sani a ios, 6 e aby es de da os genómicos y 0,4 e aby es de da os clínicos a lo la go de su ida. Los da os clínicos se encuen an dispe sos, lo que di icul a su análisis e in e cambio, especialmen e conside ando el ciclo de ida que sigue es e ipo de da o desde su gene ación has a su eliminación. El da o clínico se cap u a median e una in e az de usua io que pe mi e al p o esional de la salud in oduci la in o mación ele an e sob e el pacien e. Luego, el da o clínico se alida y codi ica según los es ánda es y no ma i as igen es. Después, el da o clínico se ansmi e a a és de la ed segu a y ci ada a un sis ema de ges ión de bases de da os, donde se almacena en la base de da os EMR/EHR, que man iene el his o ial del pacien e y se o ganiza en egis os. Finalmen e, el da o se puede consul a y analiza median e he amien as de isualización y mine ía de da os que pe mi e ex ae conocimien o e insigh s pa a mejo a la calidad asis encial y la oma de decisiones. Cibe segu idad en el ámbi o sani a io 27 Ilus ación 14. Ciclo de ida de un da o clínico. Los disposi i os médicos son o o conjun o c í ico del cibe espacio hospi ala io. Es os disposi i os es án conec ados a la ed in e na del hospi al y se u ilizan pa a moni o iza a los pacien es y ealiza p uebas médicas. Sin emba go, ambién pueden se ulne ables a cibe a aques, lo que pod ía ene consecuencias g a es, como la manipulación de los esul ados de las p uebas médicas o la al e ación de los disposi i os médicos implan ables. Además, un disposi i o in ec ado con malwa e iene el po encial, en el peo de los casos, de pa aliza las ope aciones del hospi al, expone in o mación sensible de los pacien es, comp ome e el uncionamien o de o os disposi i os y daña a los pacien es. Memo ia 28 4.2. Vulne abilidades en el sec o sani a io Las ulne abilidades en el sec o de es udio son una p eocupación que cada ez es á cob ando mayo ele ancia en la segu idad cibe né ica debido a la c ecien e dependencia de la conexión en e los disposi i os y sis emas, así como el su gimien o de ec o es de a aque cada ez más so is icados. En el cibe en o no hospi ala io las ulne abilidades pueden su gi en cualquie a de las 5 capas y un e o en una de ellas puede a ec a di ec amen e al es o. Po lo que es undamen al que se implemen en medidas de segu idad en cada una de es as capas. La Ilus ación 15 mues a las p incipales ulne abilidades que p esen an las dis in as capas del en o no cibe né ico hospi ala io. Ilus ación 15. Vulne abilidades en el cibe en o no hospi ala io.[27] En la capa ísica, las ulne abilidades es án elacionadas con allos de ci ado de la ed y disposi i os insegu os. Las ulne abilidades de la capa sin ác ica se asocian a un ni el bajo de segu idad del sis ema o una si uación cibe né ica écnica imp ecisa. Las ulne abilidades de la capa semán ica se co esponden con un sis ema de copias de segu idad de icien e y una p o ección de da os inadecuada. En e las ulne abilidades de se icio, se encuen a la p ác ica de con aseñas débiles y en la capa cogni i a, las ulne abilidades gene almen e se p oducen po al a de conocimien o, concienciación, cibe polí icas y cibe cul u a. Las ulne abilidades a las que se p esen a el sec o sani a io du an e la ecopilación, almacenamien o y p ocesamien o de la his o ia clínica elec ónica son di e sas y pueden a ec a a la calidad y la segu idad de la asis encia sani a ia. Du an e la gene ación del da o clínico, es impo an e ga an iza que el da o sea e az, comple o y p eciso, e iden i ique co ec amen e al pacien e y al p o esional Cibe segu idad en el ámbi o sani a io 29 que lo gene a. También es necesa io asegu a que el da o se egis e en el sis ema de in o mación adecuado y que se cumplan los equisi os legales y é icos sob e el consen imien o in o mado y la p o ección de da os pe sonales. Cuando se ansmi e la in o mación, es undamen al u iliza canales segu os y ci ados que e i en la in e cep ación, la al e ación o la pé dida de los da os du an e su en ío. También es imp escindible e i ica la iden idad y la au o ización de los emiso es y ecep o es de los da os, así como espe a el p incipio de minimización de da os; es deci , en ia solo los da os es ic amen e necesa ios pa a el in p e is o. En el almacenamien o, es cla e p o ege los sopo es del p opio almacenamien o en e a posibles daños, obos o accesos no au o izados, median e medidas écnicas (como copias de segu idad, an i i us o co a uegos) y o ganiza i as (como polí icas de segu idad, con ol de accesos o audi o ías). También es i al cumpli con las no ma i as igen es sob e el plazo y el modo de conse ación y eliminación de los da os. Finalmen e, cuando el da o se usa ya sea pa a ines asis enciales, adminis a i os, docen es o de in es igación, es esencial ga an iza que el da o sea accesible y comp ensible pa a los usua ios au o izados, y que se espe e el de echo del pacien e a la in o mación, a la ec i icación y a la oposición sob e sus da os. También es necesa io asegu a que el uso del da o se ajus e a los ines pa a los que ue ecabado y que se cumplan las obligaciones de con idencialidad y sec e o p o esional. Po o o lado, los disposi i os médicos son po encialmen e ulne ables y áciles de explo a , po lo que los cibe a aques son posibles y ac ibles. La inalidad de es os a aques puede se desde la in ención de daña a un pacien e conc e o, pasando po un a aque a un p o eedo sani a io especí ico (cibe andalismo, delincuencia) has a un a aque al sis ema sani a io en su conjun o (cibe e o ismo, sabo aje), o una ope ación mili a de apoyo a un a aque con encional o biológico. Se a a de si uaciones g a es. Además, como ya se ha mencionado, los disposi i os médicos se p esen an cada ez más suscep ibles debido a la adopción del In e ne de las Cosas (IoT). Una de las p incipales ulne abilidades es la dis ibución incon olada de con aseñas, que pe mi e que cualquie pe sona pueda accede a los sis emas sin la debida au o ización. Asimismo, la al a de ac ualización y pa ches de so wa e de segu idad pa a los se icios médicos, disposi i os y edes los hace suscep ibles a a aques ex e nos. Los pue os mal con igu ados o abie os ambién son un iesgo, Memo ia 30 ya que pueden se u ilizados po cibe delincuen es pa a accede a los disposi i os médicos. Asimismo, la al a de ci ado y au en i icación en los disposi i os médicos puede pe mi i que pe sonas no au o izadas accedan a la in o mación del pacien e, lo que pone en pelig o la p i acidad y la in eg idad de los da os clínicos, así como la ida del pacien e. 4.3. Vec o es de a aque en el sec o sani a io Un a acan e emplea los ec o es de a aque pa a accede ilíci amen e a un sis ema de in o mación y ob ene da os con idenciales, gene almen e con ines económicos. Pa a ello, explo a una ulne abilidad en la ed, el sis ema o en algún disposi i o médico. Es as amenazas suponen un iesgo pa a el sec o sani a io ales como la pé dida de con ianza en el cen o, el incumplimien o de la no ma i a de p o ección de da os, el aumen o de los cos es ope a i os y la disminución de la calidad asis encial. En la Tabla 2 se mues a la elación en e los ec o es de a aque y las ulne abilidades an e io men e mencionadas. Además, se de alla el mé odo de in ección y p opagación que lle an a cabo cada uno de los ec o es seleccionados, así como su obje i o. Po úl imo, ambién se especi ica a qué capas del cibe en o no hospi ala io a ec a la explo ación de cada conjun o de ulne abilidades. Cibe segu idad en el ámbi o sani a io 31 Vec o de a aque Mé odo de in ección y p opagación Obje i o Vulne abilidades Capa del cibe en o no hospi ala io Denegación de Se icios (DoS) A aque median e el en ío de un g an núme o de solici udes a un se ido pa a sob eca ga lo y e i a que esponda a solici udes legí imas El a acan e busca ago a los ecu sos del se ido pa a hace lo inope able. Ejemplo: A aque DDoS - Fallos de ci ado y au en i icación. - Disposi i os insegu os - Fal a de ac ualización del sis ema - Pue os mal con igu ados o abie os Física, Sin ác ica y Semán ica So wa e malicioso In ección de un sis ema a a és de co eos elec ónicos, si ios web esis en es, disposi i os USB o desca gas de so wa e malicioso El a acan e busca daña el sis ema o ecopila in o mación con idencial de usua io. Ejemplo: Ransomwa e - Fal a de ac ualización del sis ema - Disposi i os insegu os - Si uación cibe né ica écnica imp ecisa - Sis ema de copias de segu idad de icien e - P o ección de da os inadecuada - P ác ica de con aseñas débiles Física, Sin ác ica, Semán ica y de Se icio Ingenie ía social El a acan e manipula a los usua ios pa a ob ene in o mación con idencial como con aseñas o in o mación de inicio de sesión El a acan e u iliza la con ianza del usua io pa a ob ene acceso a sis emas o in o mación. Ejemplo: Phising - Fal a de conocimien o y concienciación - Cibe polí icas Cogni i a Gusanos El p og ama ap o echa las ulne abilidades de segu idad en los sis emas. Se duplica a sí mismo y se p opaga au omá icamen e sin la in e ención del usua io El a acan e busca daña los sis emas y ecopila in o mación con idencial. Ejemplo: WannaC y - Fal a de ac ualización del sis ema - Disposi i os insegu os - Pue os mal con igu ados o abie os - Fallos de ci ado y au en i icación. Física, Sin ác ica y Semán ica Homb e en el Medio (MITM) El a acan e in e cep a la comunicación en e dos disposi i os pa a modi ica la o moni o ea la. Puede se lle ado a cabo median e el uso de edes Wi-Fi públicas no segu as o el uso de malwa e El a acan e puede ob ene in o mación con idencial o modi ica los da os ansmi idi os. Ejemplo: modi icación de dosis de un medicamen o in e cep ando la comunicación en e médico y pacien e - Fallos de ci ado o au en i icación - Fal a de ac ualización del sis ema - Pue os mal con igu ados o abie os - P ác ica de con aseñas débiles - Fal a de conocimien o y concienciación Física, Sin ác ica, Semán ica, de Se icio y Cogni i a A aque c ip og á ico El a acan e explo a las debilidades en los algo i mos de ci ado o en la ges ión de cla es pa a accede a da os ci ados. Puede se lle ado a cabo median e el uso de ue za b u a o la explo ación de debilidades en el algo i mo de ac i ación. El a acan e puede desci a da os g abados y ob ene in o mación con idencial. Ejemplo: acceso a egis os médicos de un pacien e bloqueado - Fallos de ci ado y au en i icación - Disposi i os insegu os - Fal a de ac ualización del sis ema - P ác ica de con aseñas débiles Física, Sin ác ica, Semán ica y de Se icio Tabla 2. Clasi icación de los ec o es de a aque más comunes en el sec o sani a io en unción de las ulne abilidades que ex o sionan y la capa del cibe en o no que a ec an. Memo ia 38 su co eo elec ónico pa a pode in o ma sob e el es ado de la a ención médica. [30] Fue en onces cuando el di ec o del hospi al se coo dinó con los di ec o es de los p incipales hospi ales de Ba celona y el Sis ema de Eme gencias Médicas (SEM) pa a adminis a el aslado de los pacien es más c í icos que podían llega al Clínic, como los de códigos ic us e in a o. [30] Mien as an o, el pe sonal médico y de en e me ía u o que ecu i a p ocesos analógicos, como las ó denes y ece as en papel, pa a man ene la ac i idad asis encial .[29] El lunes día 6 de ma zo, la Gene ali a en colabo ación con la ACC y la di ección del cen o inicia on un abajo conjun o con los Mossos y la In e pol pa a conoce el alcance del secues o. Pos e io men e, se e i icó que el cibe a aque p o enía de ue a de España y que había a ec ado an o a las es sedes del hospi al en Villa oel, Pla ó y Ma e ni a , como a es cen os de a ención p ima ia en Ba celona: Casano a, Bo el y Les Co s. [31] Como esul ado, ese lunes se desp og ama on 150 in e enciones y se anula on en e 2.000 y 3.000 isi as y en e 300 y 400 analí icas. Sin emba go, a las 19.41 ho as, los écnicos del cen o sani a io log a on eac i a el acceso a una pa e de los sis emas de in o mación pe judicados. G acias a ello, pa a el ma es día 7 ya se ealiza on el 10% de las consul as ex e nas y el 40% de las ci ugías p og amadas. [32] En e el día 9 y 10 de ma zo el g upo de cibe delincuen es conocido como RansomHouse se puso en con ac o con el hospi al pa a pedi el esca e po 4,5 millones de dóla es (4,2 millones de eu os) a cambio de los da os secues ados. Se con i mó que e an los au o es del c imen po que apo a on una copia de ida, que es una imagen del á bol p incipal del se ido donde apa ecen odas las ca pe as .[33] Sin emba go, las au o idades ecomenda on no paga el esca e po es azones: • No hay ga an ía de que los cibe delincuen es de uel an los da os o los bo en después del pago y además pueden segui exigiendo más dine o o publica los en la Da k web. • Paga el esca e omen a el negocio de los cibe delincuen es y los anima a segui a acando a o as o ganizaciones sani a ias. Cibe segu idad en el ámbi o sani a io 39 • Paga el esca e puede supone una in acción de la ley de p o ección de da os, ya que implica la ans e encia de da os pe sonales a e ce os no au o izados. Asimismo se conside aba que había una al a p obabilidad de que los delincuen es publica an los da os an e la nega i a a paga el esca e, ya que los Ransomwa e son a aques que p esen an una doble ex o sión. P ime o se in oduce un código malicioso que bloquea al acceso a los da os. Luego se pide un esca e pa a libe a los y, si no se consigue, se ealiza una segunda ex o sión: se oban los da os y se amenaza con publica los o ende los a e ce os. [33] A día 10 ya se había ecupe ado el 90% de la ac i idad qui ú gica compleja, el 40% de la ac i idad qui ú gica menos compleja, el 70% de las consul as ex e nas y el código ic us e in a o. Además, el 15% de los se icios digi ales ya es aban ope a i os .[33] T es semanas después, la si uación seguía siendo c í ica y el hospi al oda ía ope aba sin acceso a in e ne y sin pode consul a los a chi os de los se ido es a ec ados. También se emi ió un comunicado donde se in o mó que los da os de los pacien es y los abajado es podían es a comp ome idos. [34] El 30 de ma zo, se di undie on enlaces en Teleg am que pe mi ían la desca ga de a chi os con in o mación iden i ica i a y de salud de pacien es, de abajado es y de p o eedo es. Es a in o mación suponía en e es y cua o gigas de in o mación de los cua o e aby es y medio que habían sido sus aídos. Como consecuencia, el Clínic modi icó la con aseña de 8.000 usua ios e implan ó el sis ema de la doble au en i icación pa a e o za la segu idad. [35] Como con aa aque, el 5 de ab il los Mossos log a on bloquea la web de los cibe delincuen es en la ed de TOR median e un a aque de denegación de se icio dis ibuido (DDOS). [36], [37] Pos e io men e, se en oca on en localiza dónde se encon aban las bases de da os que habían sido publicadas en la Da k web. [35] El 6 de ab il, los cibe a acan es amenaza on con il a in o mación pe sonal de pacien es con en e medades in ecciosas y además inci a on a los usua ios del cen o hospi ala io a denuncia la pé dida de sus da os pe sonales. [38] Las úl imas no i icaciones que se ienen sob e el caso son los comunicados po pa e del Hospi al Clínic de la de ección de nue as il aciones en la Da k web los días 17 y 27 de ab il de a ios da os de pacien es y p o esionales y se ha emi ido la ipología de los mismos el 21 de junio. [37] Memo ia 40 5.2. Caso del Hospi al Sain Pie e La p esen ación del segundo caso de es udio se basa en la in o mación expues a en el a ículo del pe iódico Le Soi , [39] ya que es el más comple o de los que abo dan el ema. En la mad ugada del ie nes 10 de ma zo, los in o má icos del hospi al uni e si a io Sain -Pie e de B uselas de ec a on una ac i idad ano mal en su ed in o má ica. Los se ido es comenza on a alen iza se g a emen e, lo que lle ó a los écnicos a ale a sob e la p obabilidad de un cibe a aque a las 4 de la mañana. Inmedia amen e se puso en ma cha el plan de eme gencia especí ico pa a esponde con a cibe a aques, que se había es ado elabo ando du an e los úl imos 18 meses en p e isión de posibles amenazas. Los se icios especializados de la Policía Fede al y el Minis e io Fiscal se unie on al hospi al pa a lle a a cabo el plan, que consis ía básicamen e en la desconexión de los se ido es, el des ío de ambulancias a o os hospi ales y la uel a a la comunicación en papel den o del hospi al. El uncionamien o de muchas aplicaciones se io a ec ado, incluidos los his o iales de los pacien es y las líneas ele ónicas. Aunque los equipos de los qui ó anos no se ie on pe judicados y en ningún momen o hubo p oblema con la a ención de los pacien es g acias a las soluciones p o isionales del plan de con ingencia. A úl ima ho a de la a de del sábado 11 de ma zo, los in o má icos log a on einicia los se ido es, lo que pe mi ió que el 100% de las aplicaciones in o má icas ol ie an a es a ope a i as. Aunque se desconoce el o igen y la inalidad del cibe a aque, mien as los se ido es in o má icos pe manecían aislados del mundo ex e io y el acceso a In e ne es aba desconec ado, se comp obó que no había más i us y se e i icó que no había ningún obo ni il ación de da os médicos. El lunes 13 de ma zo, odas las consul as y hospi alizaciones p og amadas se lle a on a cabo con no malidad, y el hospi al eab ió su se icio de u gencias ol iendo a es a ope a i o al 100%. T as expone oda la in o mación ele an e sob e los casos de es udio, se p ocede a la p esen ación de un diag ama c onológico pa a adqui i una isión gene al de los hechos de mane a más o denada y p ecisa. Cibe segu idad en el ámbi o sani a io 41 Ilus ación 16. Línea del iempo de los sucesos elacionados con los casos de los cibe a aques al Hospi al Clínic de Ba celona y al CHU Sain -Pie e de B uselas. Cibe segu idad en el ámbi o sani a io 43 Análisis de los casos de es udio En es e apa ado se p esen an los análisis de los casos de es udio seleccionados con el obje i o de iden i ica las buenas p ác icas y las lecciones ap endidas en la ges ión de inciden es de cibe segu idad en el ámbi o sani a io. Pa a ello, se segui á el siguien e esquema: • En p ime luga , se explica á b e emen e el p ocedimien o gene al de ges ión de inciden es de cibe segu idad, basado en la Guía nacional de no i icación y ges ión de inciden es. [40] Pa a cada e apa del p oceso, se plan ea án una se ie de p egun as que se i án como guía pa a ealiza pos e io men e un análisis más de allado de los casos de es udio. • En segundo luga , se lle a á a cabo el análisis del cibe a aque al Hospi al Clínic de Ba celona median e las cues iones p opues as y además se apoya á en una en e is a ealizada al je e del depa amen o de in o má ica médica del p opio hospi al. • Po úl imo, se ha á una compa a i a en e ambos casos de es udio, esal ando las simili udes y las di e encias en la ges ión de los inciden es. Con ello, se p e enden ex ae las ecomendaciones y lecciones ap endidas pa a mejo a la segu idad in o má ica en el sec o sani a io. Memo ia 44 6.1. P ocedimien o de ges ión de inciden es La ges ión de inciden es en cibe segu idad es el conjun o de ac i idades que se ealizan pa a p e eni , de ec a , con ene , e adica y ecupe a se de los a aques in o má icos que pueden a ec a a la segu idad de la in o mación de los pacien es y de los se icios sani a ios. El p oceso de ges ión de inciden es cons a de di e en es ases y, aunque odas son necesa ias, algunas pueden es a incluidas como pa e de o as o a a se de mane a simul ánea, como se ap ecia en la Ilus ación 17. Ilus ación 17. Fases de la ges ión de un cibe inciden e.[40] Cibe segu idad en el ámbi o sani a io 45 1) P epa ación. Consis e en es ablece polí icas, p ocedimien os, oles y ecu sos necesa ios pa a ges iona los inciden es de o ma e icaz y coo dinada. Incluye la ealización de análisis de iesgos, la ac ualización de las polí icas y p ocedimien os ela i os a la ges ión y la ac ualización de con ac o. También implica la o mación y concienciación del pe sonal sani a io sob e las buenas p ác icas de cibe segu idad y el uso segu o de los disposi i os y sis emas in o má icos. Las cues iones que se p oponen den o de la p ime a ase son las siguien es: 1. ¿Qué medidas p e en i as se aplican pa a p o ege los sis emas y da os clínicos? 2. ¿Cuál es su polí ica y plan de ges ión de cibe inciden es y con qué ecuencia se e isa y se ac ualiza? 3. ¿Cómo se o ma y se e alúa al pe sonal en ma e ia de conocimien os y p ocedimien os de ges ión de cibe inciden es? 2) Iden i icación. Consis e en de ec a y analiza los posibles inciden es que se p oduzcan en el en o no sani a io, median e el uso de he amien as de moni o ización, ale a y audi o ía. También implica la ansmisión de in o mación a o os equipos in e nos y ex e nos de o ma bidi eccional pa a mejo a las capacidades de de ección . Las p egun as p opues as pa a la segunda ase son las siguien es: 4. ¿Qué he amien as o mecanismos se u ilizan pa a la de ección de posibles cibe inciden es en los sis emas? 5. ¿Qué ipo de inciden e se ha p oducido? 6. ¿Qué ni el de pelig osidad e impac o iene? 3) Con ención. Consis e en aisla y limi a el alcance del inciden e pa a e i a que se p opague o cause más daños. Incluye la desconexión o bloqueo de los disposi i os o sis emas a ec ados, la p ese ación de las e idencias y la ecolección de in o mación si uacional que pe mi a de ec a anomalías . Las p egun as p opues as pa a la e ce a ase son las siguien es: 7. ¿Qué medidas se han omado pa a aisla y limi a el inciden e? 8. ¿Qué he amien as o p ocedimien os se han u ilizado pa a ecoge y almacena las e idencias del inciden e? Memo ia 46 4) Mi igación. Consis e en elimina o educi las causas y los e ec os del inciden e. Incluye la iden i icación y aplicación de las soluciones écnicas disponibles pa a elimina el malwa e, es au a los sis emas o ecupe a los da os. Las p egun as p opues as pa a la cua a ase son las siguien es: 9. ¿Qué soluciones écnicas se han aplicado pa a elimina o educi el inciden e? 10. ¿Qué he amien as o mé odos se han u ilizado pa a es ablece los sis emas y los da os a ec ado po el cibe inciden e? 5) Recupe ación. Consis e en es ablece el uncionamien o no mal de los se icios sani a ios a ec ados po el inciden e. Incluye la e i icación y alidación de los sis emas es au ados, la eliminación o sus i ución de los disposi i os o componen es dañados y la eanudación g adual de las ac i idades. 11. ¿Cómo se ha e i icado y alidado el uncionamien o de los se icios es au ados? 12. ¿Se han sus i uido o eliminado disposi i os o componen es del sis ema? 13. ¿Cómo se ha eanudado la ac i idad no mal de los se icios sani a ios as el cibe inciden e? 6) Ac uaciones pos s-inciden es. Consis e en ealiza un análisis de allado del inciden e pa a ex ae lecciones ap endidas y mejo a el p oceso de ges ión de inciden es. Incluye la elabo ación y di usión de un in o me inal del inciden e, con las acciones ealizadas, los esul ados ob enidos, las ecomendaciones p opues as y las medidas adop adas. 14. ¿Qué ulne abilidades o debilidades se han de ec ado en los sis emas o p ocesos del hospi al que pe mi ie on el inciden e? 15. ¿Qué lecciones ap endidas se han ex aído? 16. ¿Qué medidas co ec i as adicionales se ha implemen ado o se iene p e is o implemen a pa a p e eni o educi el iesgo de que se epi a un inciden e simila ? Cibe segu idad en el ámbi o sani a io 47 6.2. Análisis del caso de es udio I El cibe a aque al Hospi al Clínic se p odujo en medio de un p oceso de in eg ación del hospi al a la ACC, que había diseñado un plan especí ico pa a p o ege el sis ema sani a io ca alán desde sep iemb e de 2021 .[38] El cibe inciden e ala mó y po enció la acele ación del p oceso de in eg ación. Con lo que la ACC ealizó una p ueba de es és al Hospi al Clínic pa a e alua su ni el de segu idad y de ec a las posibles ulne abilidades que acili a on el a aque. El esul ado ue que el hospi al enía escasos ecu sos pa a in e eni an e una amenaza cibe né ica y que una c edencial débil pe mi ió el acceso de los cibe delincuen es al sis ema in o má ico.[38] Es os ap o echa on el allo de segu idad pa a acusa al hospi al de una mala ges ión de los da os y anima a los usua ios a eclama po ello. [36] Pa a con i ma las uen es de in o mación y ealiza un análisis más igu oso, se ha en e is ado al di ec o del depa amen o de in o má ica médica del hospi al Xa ie Pas o . La in o mación ecopilada se p esen a a con inuación en una se ie de ablas que con ienen las p egun as p opues as pa a cada una de las ases del p ocedimien o de ges ión de inciden es en ma e ia de cibe segu idad y sus espues as co espondien es. Memo ia 54 Conclusiones Como se ha hecho e iden e du an e odo el abajo, la cibe segu idad es un aspec o cla e pa a ga an iza la p o ección de los da os pe sonales y la con inuidad de los se icios sani a ios en un en o no cada ez más digi alizado y conec ado. En es e sen ido, se hace necesa io pone en ma cha la p opues a sob e el p oyec o del Reglamen o de la comisión de ma zo de 2022 des inado a ga an iza un ele ado ni el común de cibe segu idad en odas las ins i uciones, ó ganos y o ganismos de la UE, ya que aboga po un ma co no ma i o a monizado pa a e o za la esiliencia y la capacidad de espues a an e es e ipo de inciden es. Asimismo, se equie e una mayo inanciación an o pa a la adopción de ecnología más a anzada en segu idad, como pa a el desa ollo de un equipo al amen e compe en e en la ma e ia ya que , como se ha demos ado en el análisis inancie o, se a an de in e siones que inc emen an la e iciencia de los se icios sani a ios y con ello, ambién se aho a iempo y dine o. Además, se con ibuye a mejo a la con ianza y la sa is acción de los usua ios y los p o esionales sani a ios. O o aspec o undamen al es el de equilib a los cua o p incipios de la é ica biomédica pa a minimiza los e ec os sociales p oducidos po es e ipo de inciden es en el sec o . Pa a ello, se hace imp escindible conciencia y educa a odo el pe sonal sani a io, pa a hace en e al desa ollo ecnológico que cada ez exige una mayo in e conexión, lo que a o ece la op imización de los p ocesos y po an o, la bene icencia. De es a o ma, ambién se espe a el p incipio de au onomía de los pacien es, se e i a la no male icencia y se p omue e la jus icia dis ibu i a. Po úl imo, se ecomienda ealiza audi o ías pe iódicas pa a adap a se a las exigencias legales y é icas que pe mi an e alua el ni el de cumplimien o de la no ma i a y de ec a posibles iesgos o incumplimien os que puedan de i a en sanciones o b echas de segu idad. De igual modo, se debe es ablece una es a egia holís ica en ma e ia de cibe segu idad que ponga en ma cha las medidas p oac i as y p e en i as mencionadas en el conjun o de capas del cibe en o no hospi ala io. Dicha es a egia debe es a en ac ualización cons an e y ambién debe es udia se p e iamen e desde odos los escena ios posibles pa a ga an iza o al menos minimiza el impac o mul i acé ico que los inciden es de cibe segu idad p esen an en el ámbi o sani a io Cibe segu idad en el ámbi o sani a io 55 Cibe segu idad en el ámbi o sani a io 57 Bibliog a ía [1] «Wha is Cibe secu i y?», ibm.com. h ps://www.ibm.com/ opics/cybe secu i y (accedido 14 de ab il de 2023). [2] A. F. Figue oa U ibe, J. He nández Ramí ez, A. F. Figue oa U ibe, y J. He nández Ramí ez, «Segu idad hospi ala ia, una isión de segu idad mul idimensional», Re . Fac. Med. Humana, ol. 21, n.o 1, pp. 169-178, ene. 2021, doi: 10.25176/ mh. 21i1.3490. [3] «La no ena edición del In o me sob e el pano ama de amenazas de ENISA | Dando o ma al u u o digi al de Eu opa», 9 de no iemb e de 2021. h ps://digi al- s a egy.ec.eu opa.eu/en/news/9 h-edi ion-enisa- h ea -landscape- epo (accedido 16 de ab il de 2023). [4] «El aumen o de los a aques cibe né icos a las ins i uciones de salud mues a la necesidad de una mayo cibe segu idad». h ps://www. o bes.com/si es/ o bes echcouncil/2021/06/07/inc eased-cybe a acks- on-heal hca e-ins i u ions-shows- he-need- o -g ea e - cybe secu i y/?sh=320e9e 15650 (accedido 16 de ab il de 2023). [5] «05-08-2022-CS-Repo -Cybe Secu i y-Spagna-2Q2022-ES.pd ». Accedido: 16 de ab il de 2023. [En línea]. Disponible en: h ps://www.exp i ia.i /wp- con en /uploads/2022/08/05-08-2022-CS-Repo -Cybe Secu i y-Spagna-2Q2022- ES.pd [6] A. Cal o, «Cibe a aques a hospi ales, un p oblema g a e en auge», CORRECTA - Cibe segu idad | Robo ización | Sales Au oma ion | Social Lis ening, 1 de sep iemb e de 2021. h ps://www.co ec a.es/p oblema-cibe a aques-hospi ales/ (accedido 16 de ab il de 2023). [7] «BOE.es - DOUE-L-2019-80998 Reglamen o (UE) 2019/881 del Pa lamen o Eu opeo y del Consejo, de 17 de ab il de 2019, ela i o a ENISA (Agencia de la Unión Eu opea pa a la Cibe segu idad) y a la ce i icación de la cibe segu idad de las ecnologías de la in o mación y la comunicación y po el que se de oga el Reglamen o (UE) no Annexos 58 526/2013 (“Reglamen o sob e la Cibe segu idad”).» h ps://www.boe.es/busca /doc.php?id=DOUE-L-2019-80998 (accedido 10 de junio de 2023). [8] «Agencia de la Unión Eu opea pa a la Cibe segu idad | Unión Eu opea». h ps://eu opean-union.eu opa.eu/ins i u ions-law-budge /ins i u ions-and- bodies/ins i u ions-and-bodies-p o iles/enisa_es (accedido 16 de ab il de 2023). [9] «El ma co de ce i icación de la cibe segu idad de la UE | Con igu a el u u o digi al de Eu opa», 25 de mayo de 2023. h ps://digi al- s a egy.ec.eu opa.eu/es/policies/cybe secu i y-ce i ica ion- amewo k (accedido 10 de junio de 2023). [10] «F on Page», Ce i icación Eu op i acy. h ps://eu op i acy.o g/en/ on page (accedido 16 de ab il de 2023). [11] «La cibe segu idad en las ins i uciones, ó ganos y o ganismos de la UE: el Consejo adop a su posición sob e unas no mas comunes». h ps://www.consilium.eu opa.eu/es/p ess/p ess- eleases/2022/11/18/cybe secu i y- a - he-eu-ins i u ions-bodies-o ices-and-agencies-council-adop s-i s-posi ion-on- common- ules/ (accedido 10 de junio de 2023). [12] «Equipo de espues a a eme gencias in o má icas (CERT-UE) | Unión Eu opea». h ps://eu opean-union.eu opa.eu/ins i u ions-law-budge /ins i u ions-and- bodies/ins i u ions-and-bodies-p o iles/ce -eu_es (accedido 16 de ab il de 2023). [13] «BOE.es - DOUE-L-2022-81963 Di ec i a (UE) 2022/2555 del Pa lamen o Eu opeo y del Consejo de 14 de diciemb e de 2022 ela i a a las medidas des inadas a ga an iza un ele ado ni el común de cibe segu idad en oda la Unión, po la que se modi ican el Reglamen o (UE) no 910/2014 y la Di ec i a (UE) 2018/1972 y po la que se de oga la Di ec i a (UE) 2016/1148 (Di ec i a SRI 2).» h ps://www.boe.es/busca /doc.php?id=DOUE-L-2022-81963 (accedido 16 de ab il de 2023). [14] «Cos o a da a b each 2022», 10 de ab il de 2023. h ps://www.ibm.com/ epo s/da a- b each (accedido 16 de ab il de 2023). Cibe segu idad en el ámbi o sani a io 59 [15] M. Loi, M. Ch is en, N. Kleine, y K. Webe , «Cybe secu i y in heal h – disen angling alue ensions», J. In . Commun. E hics Soc., ol. 17, n.o 2, pp. 229-245, ene. 2019, doi: 10.1108/JICES-12-2018-0095. [16] «BOE.es - Código de De echo de la Cibe segu idad». h ps://www.boe.es/biblio eca_ju idica/codigos/codigo.php?modo=2&id=173_Codigo_ de_De echo_de_la_Cibe segu idad (accedido 27 de ab il de 2023). [17] Di ec i a (UE) 2019/1937 del Pa lamen o Eu opeo y del Consejo, de 23 de oc ub e de 2019, ela i a a la p o ección de las pe sonas que in o men sob e in acciones del De echo de la Unión, ol. 305. 2019. Accedido: 10 de junio de 2023. [En línea]. Disponible en: h p://da a.eu opa.eu/eli/di /2019/1937/oj/spa [18] «A . 33 GDPR – No i ica ion o a pe sonal da a b each o he supe iso y au ho i y», Gene al Da a P o ec ion Regula ion (GDPR). h ps://gdp -in o.eu/a -33-gdp / (accedido 27 de ab il de 2023). [19] «Sanciones y medidas co ec i as en ma e ia de p o ección de da os», ibe ley.es, 28 de ene o de 2019. h ps://www.ibe ley.es/ emas/sanciones-medidas-co ec i as- ma e ia-p o eccion-da os-62814 (accedido 27 de ab il de 2023). [20] «BOE-A-2002-22188 Ley 41/2002, de 14 de no iemb e, básica egulado a de la au onomía del pacien e y de de echos y obligaciones en ma e ia de in o mación y documen ación clínica.» h ps://www.boe.es/busca /ac .php?id=BOE-A-2002-22188 (accedido 27 de ab il de 2023). [21] Minis e io de la P esidencia, Real Dec e o 3/2010, de 8 de ene o, po el que se egula el Esquema Nacional de Segu idad en el ámbi o de la Adminis ación Elec ónica, ol. BOE-A-2010-1330. 2010, pp. 8089-8138. Accedido: 27 de ab il de 2023. [En línea]. Disponible en: h ps://www.boe.es/eli/es/ d/2010/01/08/3 [22] «BOE-A-2015-10389 Ley 36/2015, de 28 de sep iemb e, de Segu idad Nacional.» h ps://www.boe.es/busca /ac .php?id=BOE-A-2015-10389 (accedido 27 de ab il de 2023). Annexos 60 [23] «BOE-A-1995-25444 Ley O gánica 10/1995, de 23 de no iemb e, del Código Penal.» h ps://www.boe.es/busca /ac .php?id=BOE-A-1995-25444 (accedido 27 de ab il de 2023). [24] «BOE-A-2018-12257 Real Dec e o-ley 12/2018, de 7 de sep iemb e, de segu idad de las edes y sis emas de in o mación.» h ps://www.boe.es/busca /ac .php?id=BOE-A- 2018-12257 (accedido 27 de ab il de 2023). [25] «BOE-A-2015-3442 Ley O gánica 4/2015, de 30 de ma zo, de p o ección de la segu idad ciudadana.» h ps://www.boe.es/busca /ac .php?id=BOE-A-2015-3442 (accedido 27 de ab il de 2023). [26] Je a u a del Es ado, Ley O gánica 3/2018, de 5 de diciemb e, de P o ección de Da os Pe sonales y ga an ía de los de echos digi ales, ol. BOE-A-2018-16673. 2018, pp. 119788-119857. Accedido: 27 de ab il de 2023. [En línea]. Disponible en: h ps://www.boe.es/eli/es/lo/2018/12/05/3 [27] M. Leh o, P. Nei aanmäki, J. Pöyhönen, y A. Hummelholm, «Cybe Secu i y in Heal hca e Sys ems», Compu . Me hods Appl. Sci., 2022, doi: 10.1007/978-3-030- 91293-2_8. [28] J. T. Palacín, «El Clínic de Ba celona, un hospi al en la nube», inno aspain, 5 de julio de 2022. h ps://www.inno aspain.com/hospi al-clinic-de-ba celona-aws/ (accedido 20 de mayo de 2023). [29] C. Blancha , «El Hospi al Clínic de Ba celona su e un cibe a aque y desp og ama isi as y ci ugías mien as no se esuel a», El País, 5 de ma zo de 2023. h ps://elpais.com/espana/ca alunya/2023-03-05/el-hospi al-clinic-de-ba celona- ic ima-de-un-cibe a aque-que-a ec a-a-las-u gencias-el-labo a o io-y-la- a macia.h ml (accedido 20 de mayo de 2023). [30] J. M. Pascual Manuel G., «El cibe a aque al Hospi al Clínic de Ba celona, desde den o: “Ha sido como hace un iaje en el iempo”», El País, 12 de ma zo de 2023. h ps://elpais.com/ ecnologia/2023-03-12/el-cibe a aque-al-hospi al-clinic-de- ba celona-desde-den o-ha-sido-como-hace -un- iaje-en-el- iempo.h ml (accedido 20 de mayo de 2023). Cibe segu idad en el ámbi o sani a io 61 [31] «El cibe a aque que su e el Hospi al Clínic de Ba celona p ocede del ex anje o y obliga a anula 3.000 isi as | Ca aluña | EL PAÍS». h ps://elpais.com/espana/ca alunya/2023-03-06/el-cibe a aque-que-su e-el- hospi al-clinic-de-ba celona-p ocede-del-ex anje o.h ml (accedido 20 de mayo de 2023). [32] «El hospi al Clínic, 48 ho as después del cibe a aque: “Hacemos p uebas y lo esc ibimos en papel” | Ca aluña | EL PAÍS». h ps://elpais.com/espana/ca alunya/2023-03-07/el-hospi al-clinic-de-ba celona-48- ho as-despues-del-cibe a aque-hacemos-las-p uebas-y-lo-esc ibimos-en- papel.h ml#? el=mas_suma io (accedido 20 de mayo de 2023). [33] J. Mouzo, «Los cibe delincuen es que a aca on el Clínic piden 4,2 millones de eu os pa a libe a los da os», El País, 10 de ma zo de 2023. h ps://elpais.com/espana/ca alunya/2023-03-10/los-cibe delincuen es-que-a aca on- el-clinic-piden-45-millones-de-dola es-pa a-libe a -los-da os.h ml (accedido 20 de mayo de 2023). [34] «El hospi al Clínic econoce que el cibe a aque puede “comp ome e la con idencialidad” de los pacien es | Ca aluña | EL PAÍS». h ps://elpais.com/espana/ca alunya/2023-03-21/el-hospi al-clinic- econoce-aho a- que-el-cibe a aque-pod ia-comp ome e -la-con idencialidad-de-los-da os-de- pacien es-y- abajado es.h ml? el=buscado _no icias (accedido 20 de mayo de 2023). [35] R. Ca anco, «Los cibe delincuen es il an de mad ugada da os obados del Hospi al Clínic», El País, 30 de ma zo de 2023. h ps://elpais.com/espana/ca alunya/2023-03- 30/los-cibe delincuen es- il an-de-mad ugada-da os- obados-del-hospi al- clinic.h ml (accedido 20 de mayo de 2023). [36] B. Coll, «Los cibe delincuen es del Clínic con aa acan y amenazan con il a da os de pacien es con en e medades in ecciosas», El País, 6 de ab il de 2023. h ps://elpais.com/espana/ca alunya/2023-04-06/los-cibe delincuen es-del-clinic- con aa acan-y-amenazan-con- il a -da os-de-pacien es-con-en e medades- in ecciosas.h ml (accedido 20 de mayo de 2023). Annexos 62 [37] «Cibe a aque al hospi al Clínic de Ba celona | Hospi al Clínic Ba celona». h ps://www.clinicba celona.o g/p ensa/ul ima-ho a/cibe a aque-al-hospi al-clinic- de-ba celona (accedido 20 de mayo de 2023). [38] «Cibe a aque en el Clínic: ¿Po qué el hospi al no es aba in eg ado en la Agencia de cibe segu idad si exis ía un plan pa a ello? | Ca aluña | EL PAÍS». h ps://elpais.com/espana/ca alunya/2023-04-08/cibe a aque-en-el-clinic-po -que-el- hospi al-no-es aba-in eg ado-en-la-agencia-de-cibe segu idad-si-exis ia-un-plan- pa a-ello.h ml? el=buscado _no icias (accedido 20 de mayo de 2023). [39] «Re ou à la no male au CHU Sain -Pie e cible d’une cybe a aque», Le Soi , 11 de ma zo de 2023. h ps://www.lesoi .be/500384/a icle/2023-03-11/ e ou -la-no male- au-chu-sain -pie e-cible-dune- cybe a aque? e e e %3D%2Fa chi es%2F eche che%3Fda e il e %3Dlas yea %26 so %3Dda e%2520desc%26wo d%3DCHU%2520Sain -Pie e (accedido 11 de junio de 2023). [40] «Guía nacional de no i icación y ges ión de cibe inciden es».