1. Introducción y Contextualización

1.1. Encaje en el Temario y Conexión con Otros Temas

Este Tema 35 se articula de forma natural con varios temas del temario específico. Vamos a verlo claro para que entiendas cómo todo encaja:

1.2. ¿Por Qué es Crítico en el SAS?

El Servicio Andaluz de Salud gestiona información sensibilísima. Estamos hablando de:

• ✅ 8.5 millones de historias clínicas digitales en Diraya
• ✅ 150 millones de recetas electrónicas anuales
• ✅ Datos genéticos, oncológicos, de salud mental (categoría especial RGPD)
• ✅ Más de 100,000 profesionales accediendo a sistemas corporativos
• ✅ 1,500 centros sanitarios conectados a la Red Corporativa
• ✅ Sistemas críticos 24/7: urgencias, UCI, quirófanos, laboratorios

Un fallo de seguridad en el SAS no es solo un problema técnico. Puede significar:

2. Objetivos, Estrategias y Políticas de Seguridad

2.1. Los Cinco Objetivos Fundamentales

La seguridad de la información persigue proteger cinco dimensiones fundamentales. Y aquí viene algo importante: el Esquema Nacional de Seguridad (ENS) define exactamente estas cinco dimensiones para categorizar los sistemas. Las tienes que memorizar porque caen constantemente en exámenes:

2.2. Estrategias de Seguridad: Enfoque por Capas (Defensa en Profundidad)

Una estrategia de seguridad eficaz no se basa en una única barrera, sino en múltiples capas de defensa. Es como un castillo medieval: no solo tiene murallas exteriores, también tiene foso, torres de vigilancia, puertas fortificadas, guardias en el interior… Si un atacante supera una capa, aún quedan otras.

2.3. Política de Seguridad: El Marco de Gobernanza

La política de seguridad es el documento estratégico de más alto nivel que define qué se protege, por qué, cómo y quién es responsable. En el SAS existe una Política de Seguridad de las Tecnologías de la Información y Comunicaciones aprobada por la Dirección Gerencia que establece:

• 📜 Principios rectores: seguridad desde el diseño, mínimo privilegio, segregación de funciones
• 🎯 Objetivos de seguridad: alineados con el ENS y con la misión asistencial del SAS
• 👥 Roles y responsabilidades: quién es responsable de qué (RACI)
• 📊 Métricas y KPIs: cómo se mide el nivel de seguridad
• ⚖️ Cumplimiento normativo: ENS, RGPD, normas sectoriales
• 🔄 Revisión y mejora continua: actualización periódica de la política

2.4. Organización de la Seguridad: Roles y Responsabilidades

El ENS (artículo 10) define claramente los roles de seguridad. Es MUY importante que los conozcas porque suelen caer preguntas específicas en el examen:

3. Esquema Nacional de Seguridad (ENS)

Vamos con el bloque fuerte. El ENS es, sin exagerar, uno de los pilares de este tema y del examen. Es de aplicación obligatoria para todas las administraciones públicas, incluido el SAS. Y no solo eso: su cumplimiento es auditable y sancionable.

3.1. ¿Qué es el ENS y Por Qué Existe?

El Esquema Nacional de Seguridad es el marco normativo que establece la política de seguridad en la utilización de medios electrónicos en el sector público español. Se aprobó inicialmente mediante Real Decreto 3/2010, y actualmente está vigente la versión actualizada del Real Decreto 311/2022, de 3 de mayo.

3.2. Ámbito de Aplicación

El ENS se aplica a:

• ✅ Administración General del Estado y sus organismos públicos
• ✅ Administraciones de las Comunidades Autónomas (incluida Junta de Andalucía y SAS)
• ✅ Entidades que integran la Administración Local
• ✅ Entidades de Derecho Público vinculadas o dependientes

Esto significa que TODOS los sistemas de información del SAS están sujetos al ENS: Diraya, BPS, receta electrónica, INFOWEB, sistemas de gestión económica, recursos humanos, etc.

3.3. Principios Básicos del ENS

El artículo 5 del RD 311/2022 establece 14 principios básicos. Para el examen, es fundamental que conozcas los más importantes:

3.4. Categorización de Sistemas según el ENS

Este apartado es CRÍTICO y cae constantemente en exámenes. La categorización determina el nivel de medidas de seguridad que hay que aplicar.

3.4.1. Niveles de Seguridad por Dimensión

Para cada una de las 5 dimensiones (C-I-D-A-T), el ENS establece 3 niveles según el impacto de un incidente:

3.4.2. Categoría del Sistema = MAX(niveles de sus 5 dimensiones)

3.5. Declaración de Aplicabilidad y Conformidad

3.6. Auditorías de Seguridad ENS

El artículo 31 del RD 311/2022 establece la obligatoriedad de auditorías regulares:

4. MAGERIT: Metodología de Análisis y Gestión de Riesgos

MAGERIT es la metodología oficial del sector público español para el análisis y gestión de riesgos de los sistemas de información. Está desarrollada por el CCN-CERT (Centro Criptológico Nacional) y es la herramienta fundamental para cumplir con el principio ENS de «gestión de riesgos».

4.1. ¿Qué es MAGERIT?

4.2. Conceptos Fundamentales de MAGERIT

4.3. Tipos de Análisis de Riesgos en MAGERIT

MAGERIT contempla dos enfoques según la categoría ENS del sistema:

4.4. PILAR: Herramienta de Apoyo a MAGERIT

PILAR es la aplicación informática desarrollada por el CCN-CERT para facilitar la aplicación de MAGERIT. Permite:

• ✓ Modelar el sistema de información (activos, relaciones)
• ✓ Seleccionar amenazas del catálogo CCN-CERT
• ✓ Valorar activos en las 5 dimensiones ENS (C-I-D-A-T)
• ✓ Calcular riesgos automáticamente
• ✓ Proponer salvaguardas según ENS
• ✓ Generar informes de análisis de riesgos

4.5. Proceso de Análisis de Riesgos MAGERIT (Paso a Paso)

5. Medidas de Seguridad (Físicas, Técnicas, Organizativas y Legales)

El Anexo II del ENS establece 75 controles de seguridad organizados en 3 grandes marcos y múltiples familias. Estas medidas son de aplicación obligatoria según la categoría del sistema. Vamos a verlas de forma estructurada porque es un apartado denso pero muy preguntado en exámenes.

5.1. Estructura de las Medidas ENS

5.2. Medidas de Seguridad Organizativas (org)

5.2.1. Marco Organizativo (org)

5.3. Medidas de Seguridad Operacionales (op)

5.3.1. Planificación (op.pl)

5.3.2. Control de Acceso (op.acc)

5.4. Medidas de Protección (mp)

5.4.1. Protección de Equipos (mp.eq)

5.4.2. Protección de Comunicaciones (mp.com)

VLAN 10 - Red Clínica Diraya          → Acceso a HIS, PACS, LIS
VLAN 20 - Red Administrativa          → ERP, RRHH, email corporativo
VLAN 30 - Red de Gestión              → Acceso a switches, routers, SAI
VLAN 40 - Red WiFi Profesionales      → Acceso a intranet y Diraya
VLAN 50 - Red WiFi Pacientes          → Internet filtrado, sin acceso interno
VLAN 60 - Red IoT Médico              → Monitores, bombas infusión, ventiladores
VLAN 99 - Red Cuarentena              → Equipos con malware detectado

Firewall inter-VLAN: Reglas explícitas de qué puede hablar con qué
IDS/IPS: Monitorización tráfico anómalo entre VLANs

5.4.3. Protección de la Información (mp.info)

5.4.4. Protección de las Aplicaciones (mp.sw)

5.5. Clasificación de Medidas según Categoría del Sistema

Las medidas ENS tienen diferentes niveles de aplicación según la categoría del sistema:

5.6. Medidas de Seguridad Física

Aunque el ENS integra la seguridad física dentro de las medidas técnicas y organizativas, es importante destacar aspectos específicos críticos en el SAS:

5.7. Medidas de Seguridad Legales

El cumplimiento normativo es una medida de seguridad en sí misma. En el ámbito sanitario del SAS, confluyen múltiples marcos legales:

6. Planes de Contingencia y Recuperación ante Desastres

Un Plan de Contingencia es el conjunto de procedimientos diseñados para responder ante situaciones de emergencia que puedan afectar la disponibilidad de los sistemas de información. En el SAS, donde la disponibilidad de Diraya puede significar literalmente vida o muerte, estos planes son críticos.

6.1. Conceptos Fundamentales

6.2. Fases del Plan de Contingencia

6.3. Estructura del Plan de Contingencia SAS

El Plan de Contingencia TIC del SAS debe incluir obligatoriamente:

1. Alcance y Objetivos: Sistemas incluidos (Diraya, BDU, Receta XXI, etc.), RTO/RPO por sistema
2. Análisis de Impacto al Negocio (BIA): Criticidad de cada sistema, dependencias entre sistemas
3. Identificación de Amenazas: Incendio CPD, ciberataque ransomware, fallo eléctrico prolongado, terremoto, inundación
4. Estrategias de Recuperación: Hot site, warm site, cold site, cloud DR
5. Procedimientos Operativos: Paso a paso qué hacer en cada escenario
6. Equipos y Responsabilidades: Matriz RACI clara, cadena de mando, números contacto 24/7
7. Recursos Necesarios: HW alternativo, SW licencias, enlaces comunicaciones respaldo
8. Plan de Comunicación: Cómo informar a dirección, profesionales, pacientes, prensa
9. Pruebas y Mantenimiento: Simulacros anuales, actualización trimestral documentación

6.4. Tipos de Sitios de Recuperación

6.5. Pruebas del Plan de Contingencia

El ENS obliga a realizar pruebas periódicas del plan. Tipos de pruebas:

7. Respaldo y Continuidad de Negocio

Mientras que el Plan de Contingencia se centra en la recuperación TIC tras un desastre, el Plan de Continuidad de Negocio (BCP – Business Continuity Plan) tiene una visión más amplia: cómo la organización sanitaria SAS puede seguir prestando asistencia sanitaria cuando los sistemas TIC fallen.

7.1. Diferencia entre DR y BC

7.2. Estrategia de Copias de Seguridad (Backup)

Las copias de seguridad son la piedra angular de cualquier estrategia de recuperación. En el SAS manejamos datos altamente sensibles (salud) con requisitos legales estrictos de conservación.

7.2.1. Tipos de Backup

7.2.2. Regla 3-2-1 (Best Practice Backup)

COPIA 1 - Producción:
  └─ BD Oracle Diraya en cabina NetApp (RAID 10, doble controladora)

COPIA 2 - Backup Primario (Mismo CPD):
  ├─ Snapshot cabina NetApp cada 4 horas (retención 48h)
  ├─ Backup incremental diario → Disco DEDUP (Data Domain)
  └─ Backup full domingos → Disco DEDUP

COPIA 3 - Backup Secundario (Off-site):
  ├─ Replicación asíncrona a CPD Sevilla (RPO 15 min)
  └─ Copia cinta LTO-9 mensual → Búnker externo

COPIA 4 - Backup Offline (Air-gapped):
  └─ Copia cinta LTO-9 trimestral → Caja fuerte banco (protección ransomware)

Retención Legal (Ley 41/2002):
  └─ Historia clínica: Mínimo 5 años desde alta
  └─ Informes críticos: 15 años
  └─ Datos menores: Hasta mayoría edad + 5 años

7.2.3. Pruebas de Restore (Lo Más Importante)

7.3. Alta Disponibilidad vs. Continuidad

Hay confusión frecuente entre estos conceptos. Aclaremos:

7.4. Niveles de Disponibilidad

7.5. Procedimientos Modo Degradado

Cuando Diraya cae, ¿qué hacemos? No podemos decirle al infarto que espere 4 horas. El Plan de Continuidad incluye procedimientos en modo degradado:

8. Política de Seguridad TIC en Junta de Andalucía y SAS

La Política de Seguridad TIC es el documento de más alto nivel que define los principios, objetivos y responsabilidades en materia de seguridad de la información. En el caso del SAS, existe una política corporativa de la Junta de Andalucía que luego se concreta en directrices específicas para el ámbito sanitario.

8.1. Marco Normativo de la Política de Seguridad

8.2. Estructura de la Política de Seguridad TIC

Una Política de Seguridad TIC completa debe incluir:

8.2.1. Elementos Obligatorios según ENS

1. Objeto y Alcance: A qué sistemas, datos y personas aplica
2. Roles y Responsabilidades:
   • Responsable de la Información: Dirección Asistencial (propietaria de datos clínicos)
   • Responsable del Sistema: Director TIC SAS
   • Responsable de Seguridad (RSI): Jefe Servicio Seguridad TIC
   • Responsable del Servicio: Jefes aplicación (Diraya, Receta XXI, etc.)
   • Administradores de Sistemas: Técnicos con acceso privilegiado
   • Usuarios: 100.000+ profesionales SAS
3. Marco Normativo de Referencia: ENS, RGPD, ISO 27001, normativa sanitaria
4. Principios Básicos de Seguridad:
   • Seguridad como proceso continuo, no producto puntual
   • Prevención, detección, respuesta y recuperación
   • Defensa en profundidad (múltiples capas seguridad)
   • Mínimo privilegio
   • Segregación de funciones
   • Gestión del riesgo como enfoque central
5. Categorización de Sistemas: Metodología MAGERIT para clasificar según dimensiones (C, I, D, A, T)
6. Declaración Aplicabilidad (SOA): Qué medidas ENS se aplican y cuáles no (con justificación)
7. Análisis de Riesgos: Obligación de realizar MAGERIT formal en sistemas ALTA
8. Gestión de Incidentes: Procedimiento notificación, escalado, resolución
9. Plan de Concienciación: Formación obligatoria anual en seguridad para todos los empleados
10. Auditorías y Revisiones: Auditoría bienal sistemas MEDIA/ALTA
11. Mejora Continua: Ciclo PDCA (Plan-Do-Check-Act)

8.3. Organismos de Gobernanza de Seguridad en SAS

8.4. Políticas Específicas Derivadas

De la Política General de Seguridad TIC se derivan políticas específicas por áreas:

• Política de Control de Acceso: Gestión identidades, autenticación, autorización, RBAC
• Política de Contraseñas: Complejidad (12 caracteres, mayúsculas+minúsculas+números+símbolos), caducidad 90 días, no reutilización últimas 5
• Política de Uso Aceptable: Qué pueden/no pueden hacer usuarios con recursos TIC corporativos
• Política de Backup y Recuperación: Frecuencia, retención, pruebas restore
• Política de Gestión de Parches: Críticos < 48h, Importantes < 7 días, Opcionales < 30 días
• Política de Cifrado: TLS 1.3 obligatorio, AES-256 para datos reposo, gestión claves (HSM)
• Política BYOD: Dispositivos personales en red corporativa (contenedor trabajo, MDM, borrado remoto)
• Política Trabajo Remoto: VPN obligatoria, 2FA, no WiFi públicas sin VPN
• Política Desarrollo Seguro: OWASP, análisis estático código, pentest pre-producción
• Política Contratación TIC: Requisitos seguridad en pliegos, cláusulas SLA/penalizaciones

8.5. Concienciación y Formación

El factor humano es el eslabón más débil. El 90% de brechas de seguridad tienen componente de error humano (phishing, ingeniería social, contraseñas débiles).

9. Estrategias de Ciberseguridad: Europea, Nacional y Andaluza

La ciberseguridad es una prioridad estratégica a todos los niveles de gobierno. Vamos a analizar las estrategias desde la UE hasta Andalucía, porque en examen te pueden preguntar por cualquiera de ellas.

9.1. Estrategia Europea de Ciberseguridad

9.1.1. Directiva NIS2 (Network and Information Security)

La Directiva (UE) 2022/2555 (NIS2), que sustituye a NIS1 de 2016, es el marco legal europeo de ciberseguridad. España debe trasponerla antes de octubre 2024.

9.1.2. ENISA (Agencia Europea Ciberseguridad)

ENISA publica guías y recomendaciones técnicas de ciberseguridad. Documentos relevantes para sanidad:

• «Procurement Guidelines for Cybersecurity in Hospitals» (2020): Cómo comprar TIC segura para hospitales
• «Threat Landscape for the Healthcare Sector» (2023): Amenazas específicas sanitarias (ransomware hospital, robo datos pacientes)
• «Good Practices for Security of IoT» (2023): Especialmente relevante para dispositivos médicos conectados

9.2. Estrategia Nacional de Ciberseguridad (España)

9.2.1. Estrategia Nacional de Ciberseguridad 2019

Aprobada por Consejo de Seguridad Nacional el 28/11/2019. Ejes estratégicos:

1. Garantizar una Internet libre y segura para ciudadanos y empresas
2. Fortalecer capacidades ciberdefensa de instituciones públicas
3. Alcanzar autonomía tecnológica estratégica (reducir dependencia tech extranjera)
4. Colaboración público-privada en ciberseguridad
5. Impulsar I+D+i en tecnologías de ciberseguridad

9.2.2. Organismos Nacionales de Ciberseguridad

9.2.3. Guías CCN-STIC (Aplicables a SAS)

El CCN publica guías técnicas (CCN-STIC) de obligada aplicación en AAPP. Algunas especialmente relevantes para SAS:

9.3. Estrategia Andaluza de Ciberseguridad

Andalucía tiene su propia estrategia de ciberseguridad coordinada con la nacional pero adaptada a particularidades autonómicas.

9.3.1. Plan Director de Ciberseguridad de Andalucía (2021-2025)

Aprobado por Consejo de Gobierno en diciembre 2020. Ejes prioritarios:

1. Gobernanza y coordinación: Comité Autonómico Ciberseguridad liderado por Consejería Presidencia
2. Protección infraestructuras críticas: Sanidad (SAS), educación (universidades), emergencias (112)
3. Capacitación profesional: Creación Escuela Andaluza Ciberseguridad, 500 especialistas formados 2021-2025
4. Concienciación ciudadana: Campañas seguridad digital para población general
5. Fomento ecosistema ciberseguridad: Atracción empresas sector, startups, I+D

9.3.2. CSIRT-Andalucía

Creado en 2021, es el equipo de respuesta incidentes de la Junta de Andalucía. Funciones:

• Monitorización 24/7: SOC con herramientas SIEM (IBM QRadar) monitorizando tráfico de red, logs, alertas
• Coordinación con CCN-CERT: Recepción alertas nacionales, notificación incidentes críticos
• Respuesta incidentes: Soporte técnico a organismos afectados (incluyendo SAS)
• Análisis forense: Investigación post-incidente, identificación vectores ataque
• Threat intelligence: Compartir IoCs (Indicators of Compromise) entre organismos
• Ejercicios de ciberresiliencia: Simulacros coordinados (ej: «CyberEx Andalucía 2024» con hospitales)

9.3.3. Iniciativas Específicas Sanidad

10. Conclusiones

La seguridad de las tecnologías de la información en el Servicio Andaluz de Salud no es un lujo ni una opción, es una obligación legal, técnica y ética. Cada día, 8,5 millones de andaluces confían en que sus datos de salud más íntimos estén protegidos mientras accedemos a ellos para darles la mejor atención posible.

Ideas Clave para el Examen (Memoriza Esto):

Aplicabilidad Práctica en tu Futuro Puesto TFA-STI:

Como Técnico Especialista en Informática del SAS, la seguridad será parte integral de tu trabajo diario:

• Aplicarás hardening servidores según guías CCN-STIC
• Gestionarás copias de seguridad y verificarás su integridad
• Implementarás controles de acceso en Diraya (roles, permisos)
• Detectarás y responderás a incidentes de seguridad (malware, accesos indebidos)
• Participarás en auditorías ENS aportando evidencias técnicas
• Colaborarás en planes de contingencia (pruebas failover, restores)
• Formarás a usuarios en buenas prácticas de seguridad
• Evaluarás proveedores TIC desde perspectiva de seguridad

La seguridad no es solo «cosa de los de seguridad». Es responsabilidad de TODOS los profesionales TIC. Un solo fallo (contraseña débil, patch sin aplicar, backup sin probar) puede comprometer años de trabajo y, lo que es peor, poner en riesgo la privacidad de miles de pacientes y la continuidad asistencial.

Estrategia de Estudio Recomendada:

1. Primera lectura completa (3-4 horas): Comprensión global del tema, subrayar conceptos clave
2. Estudio por secciones (1 semana): Dominar cada sección antes de pasar a la siguiente. Hacer esquemas propios.
3. Memorización activa (3 días): Flashcards con definiciones (ENS, MAGERIT, RTO/RPO, NIS2…). Repasar mañana y noche.
4. Casos prácticos (2 días): Resolver los ejemplos del tema. Inventar tus propios casos similares.
5. Cuestionario (1 día): Hacer las 30 preguntas sin mirar. Analizar fallos. Repetir hasta 100% aciertos.
6. Repaso espaciado: Día 1, Día 3, Día 7, Día 14, Día 30 post-estudio inicial.
7. Conexión con otros temas: Relacionar con Tema 36 (ENS profundidad), Tema 37 (MAGERIT detallado), Tema 38 (RGPD), Tema 42 (sistemas SAS).

Recuerda: Este tema es MUY PREGUNTADO en oposiciones TFA-STI del SAS. Es transversal a casi todo el temario (normativa, tecnología, gestión). Dominarlo te dará ventaja competitiva real en el examen.

¡Ánimo con el estudio! La plaza merece el esfuerzo. 💪

11. Cuestionario de Autoevaluación (30 Preguntas)

A continuación encontrarás 30 preguntas tipo test basadas en exámenes reales de oposiciones TFA-STI del SAS y en el contenido desarrollado en este tema. Intenta responderlas sin consultar el material de estudio. Al final tienes las respuestas con explicaciones.

12. Mapa Conceptual del Tema

Este mapa conceptual en formato ASCII te ayudará a visualizar las relaciones entre los conceptos clave del tema:

╔════════════════════════════════════════════════════════════════════════════════════════╗
║                    SEGURIDAD DE LAS TECNOLOGÍAS DE LA INFORMACIÓN - SAS                ║
╚════════════════════════════════════════════════════════════════════════════════════════╝

                                    🎯 OBJETIVOS SEGURIDAD
                                            │
                    ┌───────────────┬───────┼───────┬───────────────┐
                    │               │       │       │               │
                ┌───▼───┐       ┌───▼───┐ │   ┌───▼───┐       ┌───▼───┐
                │   D   │       │   I   │ │   │   C   │       │   A   │
                │Disponi│       │Integri│ │   │Confide│       │Autenti│
                │bilidad│       │  dad  │ │   │nciali │       │  cidad│
                └───┬───┘       └───┬───┘ │   └───┬───┘       └───┬───┘
                    │               │     │       │               │
                    └───────────────┴─────┴───────┴───────────────┘
                                            │
                                        ┌───▼───┐
                                        │   T   │
                                        │Trazabi│
                                        │ lidad │
                                        └───┬───┘
                                            │
╔═══════════════════════════════════════════╧═══════════════════════════════════════════╗
║                              📋 MARCO NORMATIVO                                       ║
╠═══════════════════════════════════════════════════════════════════════════════════════╣
║                                                                                       ║
║    ┌─────────────────────────────────────────────────────────────────────────┐      ║
║    │ NIVEL EUROPEO: NIS2 (2022) → Sanidad = Operador Esencial                │      ║
║    └────────────────────────────────┬────────────────────────────────────────┘      ║
║                                     │                                                ║
║    ┌─────────────────────────────────────────────────────────────────────────┐      ║
║    │ NIVEL NACIONAL: ENS (RD 311/2022) + Estrategia Ciberseguridad 2019      │      ║
║    │                                                                           │      ║
║    │  • 75 Medidas: org (Organizativas) / op (Operacionales) / mp (Protección)│      ║
║    │  • Categorización: BAJA / MEDIA / ALTA (según dimensiones D,I,C,A,T)    │      ║
║    │  • Auditoría bienal sistemas MEDIA/ALTA                                  │      ║
║    │  • CCN-CERT: Notificación incidentes CRÍTICOS < 1h                       │      ║
║    └────────────────────────────────┬────────────────────────────────────────┘      ║
║                                     │                                                ║
║    ┌─────────────────────────────────────────────────────────────────────────┐      ║
║    │ NIVEL AUTONÓMICO: Política Seguridad TIC Junta + CSIRT-Andalucía         │      ║
║    │                                                                           │      ║
║    │  • Plan Director Ciberseguridad Andalucía 2021-2025                      │      ║
║    │  • Programa "Hospitales Ciberseguros" (18M€, 45 hospitales SAS)          │      ║
║    └────────────────────────────────┬────────────────────────────────────────┘      ║
║                                     │                                                ║
║    ┌─────────────────────────────────────────────────────────────────────────┐      ║
║    │ SAS: Política Específica + Procedimientos Operativos                     │      ║
║    │                                                                           │      ║
║    │  • Diraya (ALTA), Receta XXI (ALTA), Portales (MEDIA)                    │      ║
║    │  • Comité Seguridad TIC, RSI, CSIRT-SAS, DPO                             │      ║
║    └───────────────────────────────────────────────────────────────────────────      ║
║                                                                                       ║
╚═══════════════════════════════════════════════════════════════════════════════════════╝

╔═══════════════════════════════════════════════════════════════════════════════════════╗
║                            🔍 ANÁLISIS Y GESTIÓN DE RIESGOS                          ║
╠═══════════════════════════════════════════════════════════════════════════════════════╣
║                                                                                       ║
║                        ┌─────────────────────────────────┐                           ║
║                        │   METODOLOGÍA MAGERIT + PILAR   │                           ║
║                        └──────────────┬──────────────────┘                           ║
║                                       │                                               ║
║           ┌───────────────────────────┼───────────────────────────┐                  ║
║           │                           │                           │                  ║
║      ┌────▼─────┐              ┌─────▼──────┐             ┌──────▼─────┐            ║
║      │ ACTIVOS  │              │  AMENAZAS  │             │ VULNERABI  │            ║
║      │          │              │            │             │  LIDADES   │            ║
║      │ [D01] BD │──────────────│ [T.5] Fallo│─────────────│ Falta RAID│            ║
║      │ Diraya   │   Afecta a   │ hardware   │  Explota    │ Falta backup            ║
║      │ Valor:100│              │ Prob: 50   │             │ Config débil            ║
║      └────┬─────┘              └─────┬──────┘             └──────┬─────┘            ║
║           │                          │                            │                  ║
║           └──────────────┬───────────┴────────────────────────────┘                  ║
║                          │                                                           ║
║                     ┌────▼──────┐                                                    ║
║                     │  IMPACTO  │ = Valor activo × Degradación                       ║
║                     └────┬──────┘                                                    ║
║                          │                                                           ║
║                     ┌────▼──────┐                                                    ║
║                     │  RIESGO   │ = Impacto × Frecuencia amenaza                     ║
║                     └────┬──────┘                                                    ║
║                          │                                                           ║
║                     ┌────▼──────────┐                                                ║
║                     │ SALVAGUARDAS  │ (Medidas de seguridad)                         ║
║                     │               │                                                ║
║                     │ • [op.exp.4]  │ Backup diario                                  ║
║                     │ • [mp.eq.4]   │ RAID 10 + HA                                   ║
║                     │ • [op.cont.1] │ Plan continuidad                               ║
║                     └────┬──────────┘                                                ║
║                          │                                                           ║
║                     ┌────▼──────────┐                                                ║
║                     │ RIESGO        │ (Reducido tras salvaguardas)                   ║
║                     │ RESIDUAL      │                                                ║
║                     │               │                                                ║
║                     │ ¿Aceptable?   │ ──> SÍ: Producción / NO: Más medidas          ║
║                     └───────────────┘                                                ║
║                                                                                       ║
╚═══════════════════════════════════════════════════════════════════════════════════════╝

╔═══════════════════════════════════════════════════════════════════════════════════════╗
║                              🛡️ MEDIDAS DE SEGURIDAD                                 ║
╠═══════════════════════════════════════════════════════════════════════════════════════╣
║                                                                                       ║
║    ┌──────────────────┬──────────────────┬──────────────────┬──────────────────┐    ║
║    │     FÍSICAS      │    TÉCNICAS      │  ORGANIZATIVAS   │     LEGALES      │    ║
║    ├──────────────────┼──────────────────┼──────────────────┼──────────────────┤    ║
║    │ • CPD seguro     │ • Firewall       │ • Política Seg.  │ • ENS (RD 311)   │    ║
║    │ • Control acceso │ • IDS/IPS        │ • Normativa      │ • RGPD + LOPDGDD │    ║
║    │ • Biometría      │ • Cifrado        │ • Procedimientos │ • Ley 41/2002    │    ║
║    │ • Videovigilancia│ • Antivirus/EDR  │ • Roles          │ • NIS2           │    ║
║    │ • Extinción gas  │ • Backup         │ • Formación      │ • Ley 39/2015    │    ║
║    │ • SAI + Grupo    │ • VPN            │ • Auditorías     │ • ENI            │    ║
║    │ • Climatización  │ • 2FA/MFA        │ • Comités        │                  │    ║
║    └──────────────────┴──────────────────┴──────────────────┴──────────────────┘    ║
║                                                                                       ║
║                          Medidas ENS (75 controles)                                  ║
║                                    │                                                 ║
║              ┌─────────────────────┼─────────────────────┐                           ║
║              │                     │                     │                           ║
║         ┌────▼────┐           ┌────▼────┐           ┌────▼────┐                     ║
║         │   org   │           │   op    │           │   mp    │                     ║
║         │Organiza │           │Operacio │           │Protección                     ║
║         │  tivas  │           │  nales  │           │         │                     ║
║         │         │           │         │           │         │                     ║
║         │27 medid │           │24 medid │           │24 medid │                     ║
║         └─────────┘           └─────────┘           └─────────┘                     ║
║                                                                                       ║
╚═══════════════════════════════════════════════════════════════════════════════════════╝

╔═══════════════════════════════════════════════════════════════════════════════════════╗
║                   💾 RESPALDO Y CONTINUIDAD (BACKUP + DR + BC)                        ║
╠═══════════════════════════════════════════════════════════════════════════════════════╣
║                                                                                       ║
║   ┌─────────────────────────────────────────────────────────────────────────┐        ║
║   │                     ESTRATEGIA BACKUP 3-2-1-1-0                          │        ║
║   │                                                                           │        ║
║   │     3 Copias → Producción + 2 backups                                    │        ║
║   │     2 Soportes → Disco + Cinta                                           │        ║
║   │     1 Off-site → CPD alternativo o búnker                                │        ║
║   │     1 Offline → Air-gapped (anti-ransomware)                             │        ║
║   │     0 Errores → Pruebas restore trimestrales obligatorias                │        ║
║   └───────────────────────────────────────────────────────────────────────────        ║
║                                                                                       ║
║   ┌─────────────────────────────────────────────────────────────────────────┐        ║
║   │                    TIPOS DE BACKUP                                       │        ║
║   │                                                                           │        ║
║   │  Full (Completo) ──────> Todo           ┌──> Domingos 00:00              │        ║
║   │  Incremental ──────────> Δ desde último └──> Lunes-Sábado 02:00          │        ║
║   │  Diferencial ──────────> Δ desde full   ──> Alternativa a incremental    │        ║
║   │  Snapshot (SAN) ───────> Instantáneo    ──> Antes de cambios críticos    │        ║
║   └───────────────────────────────────────────────────────────────────────────        ║
║                                                                                       ║
║   ┌─────────────────────────────────────────────────────────────────────────┐        ║
║   │                 PLAN DE CONTINGENCIA TIC (DR)                            │        ║
║   │                                                                           │        ║
║   │  RPO (Recovery Point Objective)  ──> Dato perdido tolerable (ej: 15 min)│        ║
║   │  RTO (Recovery Time Objective)   ──> Tiempo restauración (ej: 4 horas)  │        ║
║   │                                                                           │        ║
║   │  Hot Site  ─> CPD duplicado + replicación real-time ──> RTO < 1h        │        ║
║   │  Warm Site ─> CPD preparado + restore backup    ──> RTO 4-12h           │        ║
║   │  Cold Site ─> Espacio físico básico              ──> RTO > 72h           │        ║
║   └───────────────────────────────────────────────────────────────────────────        ║
║                                                                                       ║
║   ┌─────────────────────────────────────────────────────────────────────────┐        ║
║   │           ALTA DISPONIBILIDAD (HA) vs CONTINUIDAD (BC)                  │        ║
║   │                                                                           │        ║
║   │  HA: Minimizar downtime componente  │ BC: Operar tras desastre mayor    │        ║
║   │      Clustering, failover, RAID     │     CPD alternativo, papel backup  │        ║
║   │      99.99% = 52 min/año downtime   │     RTO/RPO del negocio           │        ║
║   └───────────────────────────────────────────────────────────────────────────        ║
║                                                                                       ║
╚═══════════════════════════════════════════════════════════════════════════════════════╝

╔═══════════════════════════════════════════════════════════════════════════════════════╗
║                      🌐 ESTRATEGIAS DE CIBERSEGURIDAD                                ║
╠═══════════════════════════════════════════════════════════════════════════════════════╣
║                                                                                       ║
║   EUROPA: NIS2 (2022) ──────> Sanidad = Operador Esencial                            ║
║           ENISA         ──────> Guías técnicas ciberseguridad hospitales              ║
║                                                                                       ║
║   ESPAÑA: Estrategia Nacional Ciberseguridad 2019                                    ║
║           CCN-CERT ──────────> Sector público (SAS reporta aquí)                     ║
║           INCIBE-CERT ───────> Ciudadanos/empresas privadas                          ║
║           Guías CCN-STIC ────> 804 (MEDIA), 805 (ALTA), 807 (Cripto), 817 (Incid.) ║
║                                                                                       ║
║   ANDALUCÍA: Plan Director Ciberseguridad 2021-2025                                  ║
║              CSIRT-Andalucía ──> SOC 24/7, respuesta incidentes                      ║
║              Programa "Hospitales Ciberseguros" ──> 18M€, 45 hospitales, NIS2 ready  ║
║                                                                                       ║
║   SAS: Política Seguridad TIC específica                                             ║
║        Comité Seguridad TIC (trimestral)                                             ║
║        CSIRT-SAS (permanente)                                                        ║
║        Formación obligatoria anual (100.000+ profesionales)                          ║
║        Simulacros phishing trimestrales                                              ║
║                                                                                       ║
╚═══════════════════════════════════════════════════════════════════════════════════════╝

              ┌──────────────────────────────────────────────────┐
              │         🎯 OBJETIVO FINAL: SEGURIDAD             │
              │                 INTEGRAL SAS                      │
              │                                                  │
              │  Proteger D,I,C,A,T de sistemas que sostienen    │
              │  asistencia sanitaria a 8,5M andaluces           │
              │                                                  │
              │  Cumplimiento ENS + NIS2 + RGPD                  │
              │  Disponibilidad 99.99% sistemas críticos         │
              │  Respuesta incidentes < 1h (CRÍTICOS)            │
              │  RPO Diraya: 15 min | RTO Diraya: 4h            │
              │                                                  │
              │  ► Prevenir ► Detectar ► Responder ► Recuperar  │
              └──────────────────────────────────────────────────┘

13. Referencias Normativas y Bibliográficas

Normativa Española

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS). BOE núm. 106, de 4 de mayo de 2022.
• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. BOE núm. 236, de 2 de octubre de 2015.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. BOE núm. 236, de 2 de octubre de 2015.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). BOE núm. 294, de 6 de diciembre de 2018.
• Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. BOE núm. 274, de 15 de noviembre de 2002.
• Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. BOE núm. 22, de 26 de enero de 2021.
• Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (ENS v1, derogado pero referencia histórica).

Normativa Europea

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD). DOUE L 119/1, de 4 de mayo de 2016.
• Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (Directiva NIS2). DOUE L 333/80, de 27 de diciembre de 2022.
• Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (eIDAS). DOUE L 257/73, de 28 de agosto de 2014.

Normativa Andaluza

• Decreto 534/2021, de 13 de julio, por el que se aprueba el Reglamento de la Administración Electrónica del Servicio Andaluz de Salud. BOJA núm. 136, de 16 de julio de 2021.
• Orden de 21 de febrero de 2005, por la que se aprueba la Política de Seguridad de las Tecnologías de la Información y Comunicaciones en la Administración de la Junta de Andalucía. BOJA núm. 48, de 9 de marzo de 2005 (actualizada).
• Decreto 611/2020, de 24 de junio, por el que se desarrolla el régimen jurídico de las organizaciones del Sistema Sanitario Público de Andalucía. BOJA núm. 122, de 26 de junio de 2020.

Guías Técnicas CCN-STIC (Centro Criptológico Nacional)

• CCN-STIC 804: Guía de Implantación del ENS - Categoría MEDIA. Versión 3.1, octubre 2023.
• CCN-STIC 805: Guía de Implantación del ENS - Categoría ALTA. Versión 3.1, octubre 2023.
• CCN-STIC 807: Criptología de Empleo en el Esquema Nacional de Seguridad. Versión 2.6, agosto 2023.
• CCN-STIC 808: Verificación del cumplimiento de las medidas del ENS. Versión 2.2, junio 2023.
• CCN-STIC 817: Gestión de Ciberincidentes. Versión 4.1, febrero 2023.
• CCN-STIC 825: Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información. Versión 1.0, diciembre 2018.
• MAGERIT v3.0: Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información. Ministerio de Hacienda y Función Pública, 2012 (con actualizaciones).

Normas Técnicas ISO/IEC

• ISO/IEC 27001:2022 - Sistemas de gestión de seguridad de la información. Requisitos.
• ISO/IEC 27002:2022 - Código de buenas prácticas para controles de seguridad de la información.
• ISO/IEC 27005:2022 - Gestión de riesgos de seguridad de la información.
• ISO 27799:2016 - Gestión de la seguridad de la información en la salud usando ISO/IEC 27002.
• ISO/IEC 20000-1:2018 - Gestión de servicios de tecnologías de la información (ITSM).
• ISO 22301:2019 - Sistemas de gestión de continuidad del negocio. Requisitos.

Documentación ENISA (Agencia Europea Ciberseguridad)

• ENISA (2020): "Procurement Guidelines for Cybersecurity in Hospitals". Diciembre 2020.
• ENISA (2023): "ENISA Threat Landscape for the Healthcare Sector". Junio 2023.
• ENISA (2023): "Good Practices for Security of Internet of Things in the context of Smart Manufacturing". Marzo 2023 (aplicable IoT médico).

Bibliografía General de Seguridad Informática

• Kim, G. et al. (2019). "The Phoenix Project: A Novel about IT, DevOps, and Helping Your Business Win". IT Revolution Press.
• Anderson, R. (2020). "Security Engineering: A Guide to Building Dependable Distributed Systems". 3rd Edition. Wiley.
• Shostack, A. (2014). "Threat Modeling: Designing for Security". Wiley.
• Stallings, W. & Brown, L. (2023). "Computer Security: Principles and Practice". 5th Edition. Pearson.
• NIST (2020). "Framework for Improving Critical Infrastructure Cybersecurity". Version 1.1.

Recursos Online SAS y Junta de Andalucía

• Portal SAS: https://www.sspa.juntadeandalucia.es
• Consejería Salud Andalucía: https://www.juntadeandalucia.es/organismos/saludyconsumo.html
• CCN-CERT: https://www.ccn-cert.cni.es
• INCIBE-CERT: https://www.incibe.es
• ENISA: https://www.enisa.europa.eu
• AEPD (Agencia Española Protección Datos): https://www.aepd.es