TEI – Tema 35. La seguridad de las tecnologΓ­as de la informaciΓ³n: objetivos, estrategias, polΓ­ticas, organizaciΓ³n y planificaciΓ³n. La evaluaciΓ³n y certificaciΓ³n de la seguridad de las tecnologΓ­as de la informaciΓ³n. Medidas de seguridad (fΓ­sicas, tΓ©cnicas, organizativas y legales). Planes de contingencia y recuperaciΓ³n ante desastres. Respaldo y continuidad. PolΓ­tica de seguridad de las tecnologΓ­as de la informaciΓ³n y comunicaciones en la AdministraciΓ³n de la Junta de AndalucΓ­a y del Servicio Andaluz de Salud. Estrategia Europea, Nacional y Andaluza de Ciberseguridad.

Técnico/a Especialista InformÑtica Servicio Andaluz de Salud JUNTA DE ANDALUCÍA
Esteban Castro
Tema 35: Seguridad de las TecnologΓ­as de la InformaciΓ³n | SAS InformΓ‘tica

πŸ“š TEMA 35

La Seguridad de las TecnologΓ­as de la InformaciΓ³n

Esquema Nacional de Seguridad | MAGERIT | ISO 27001 | Ciberseguridad en el SAS

πŸ‘¨β€πŸ« Por Esteban Castro | Preparador de Oposiciones SAS

1. IntroducciΓ³n y ContextualizaciΓ³n

Β‘Bienvenido al Tema MΓ‘s CrΓ­tico de Tu OposiciΓ³n!

ΒΏPor quΓ© es tan importante este tema? Mira, te voy a ser sincero desde el principio. La seguridad de la informaciΓ³n no es solo otro tema mΓ‘s del temario. Es EL tema transversal que cruza todo lo que hace un TΓ©cnico Especialista en InformΓ‘tica del SAS. ΒΏRecuerdas el Tema 34 sobre bases de datos Oracle? Pues bien, sin seguridad, toda esa infraestructura de Diraya, BDU, receta electrΓ³nica… serΓ­a vulnerable a ataques que podrΓ­an comprometer datos de salud de 8.5 millones de andaluces.

PiΓ©nsalo asΓ­: cada vez que un mΓ©dico accede a Diraya para ver la historia clΓ­nica de un paciente, cada vez que se dispensa una receta electrΓ³nica, cada vez que se realiza una analΓ­tica y los resultados viajan por la Red Corporativa del SAS… la seguridad estΓ‘ ahΓ­, invisible pero absolutamente crΓ­tica. Y tΓΊ, como futuro TΓ©cnico Especialista, serΓ‘s uno de los guardianes de esa seguridad.

⚠️ DATO REAL DE EXÁMENES RECIENTES

En las ΓΊltimas convocatorias (2023-2025), entre el 15-20% de las preguntas del examen han versado sobre seguridad: ENS, MAGERIT, ISO 27001, RGPD, ciberseguridad… AdemΓ‘s, es habitual que caigan casos prΓ‘cticos completos sobre categorizaciΓ³n de sistemas segΓΊn el ENS o anΓ‘lisis de incidentes de seguridad. No es un tema para estudiar por encima.

1.1. Encaje en el Temario y ConexiΓ³n con Otros Temas

Este Tema 35 se articula de forma natural con varios temas del temario especΓ­fico. Vamos a verlo claro para que entiendas cΓ³mo todo encaja:

Tema Relacionado ConexiΓ³n con Seguridad (Tema 35) Ejemplo PrΓ‘ctico SAS
Tema 34 (SGBD Relacionales) Seguridad en bases de datos Oracle: cifrado TDE, auditorΓ­a, control de acceso RBAC, respaldos RMAN Cifrado de historias clΓ­nicas en Diraya, auditorΓ­a de accesos a datos de pacientes
Tema 36 (ENS) Desarrollo detallado del Esquema Nacional de Seguridad CategorizaciΓ³n de Diraya como sistema ALTO
Tema 37 (MAGERIT) AnΓ‘lisis y gestiΓ³n de riesgos AnΓ‘lisis de riesgos del sistema de receta electrΓ³nica
Tema 38 (RGPD) ProtecciΓ³n de datos personales de salud (categorΓ­a especial) EvaluaciΓ³n de impacto DPIA de la app ClicSalud+
Tema 32 (Seguridad en Redes) Firewalls, IDS/IPS, VPN, segmentaciΓ³n de red Acceso remoto seguro de profesionales a la Red Corporativa

πŸ’‘ CONCEPTO CLAVE: La seguridad de la informaciΓ³n es un proceso continuo, no un estado. Implica identificar activos, analizar riesgos, aplicar medidas, monitorizar, detectar incidentes, responder y mejorar. Es un ciclo PDCA (Plan-Do-Check-Act) aplicado a la protecciΓ³n de la informaciΓ³n.

1.2. ΒΏPor QuΓ© es CrΓ­tico en el SAS?

El Servicio Andaluz de Salud gestiona informaciΓ³n sensibilΓ­sima. Estamos hablando de:

  • βœ… 8.5 millones de historias clΓ­nicas digitales en Diraya
  • βœ… 150 millones de recetas electrΓ³nicas anuales
  • βœ… Datos genΓ©ticos, oncolΓ³gicos, de salud mental (categorΓ­a especial RGPD)
  • βœ… MΓ‘s de 100,000 profesionales accediendo a sistemas corporativos
  • βœ… 1,500 centros sanitarios conectados a la Red Corporativa
  • βœ… Sistemas crΓ­ticos 24/7: urgencias, UCI, quirΓ³fanos, laboratorios

Un fallo de seguridad en el SAS no es solo un problema tΓ©cnico. Puede significar:

  • 🚨 Riesgo para la vida de pacientes: si un ransomware cifra las historias clΓ­nicas durante una urgencia
  • βš–οΈ Responsabilidad legal: multas RGPD de hasta 20 millones de euros o 4% del presupuesto
  • πŸ“° DaΓ±o reputacional: pΓ©rdida de confianza de ciudadanos en el sistema sanitario
  • πŸ’° Coste econΓ³mico: recuperaciΓ³n de sistemas, indemnizaciones, pΓ©rdida de productividad

πŸ“Œ CASO REAL: Ataque Ransomware al SEPE (2021)

En marzo de 2021, el Servicio PΓΊblico de Empleo Estatal sufriΓ³ un ataque de ransomware Ryuk que dejΓ³ fuera de servicio todos sus sistemas durante semanas. El impacto:

  • ❌ 710 oficinas sin poder atender presencialmente
  • ❌ Prestaciones por desempleo retrasadas
  • ❌ Sistemas no recuperados completamente hasta mayo
  • πŸ’° Coste estimado: varios millones de euros

LecciΓ³n para el SAS: Este tipo de incidentes son reales y ocurren. La ciberseguridad en sanidad no es opcional, es existencial. Por eso el SAS invierte fuertemente en seguridad, planes de continuidad y formaciΓ³n continua.

2. Objetivos, Estrategias y PolΓ­ticas de Seguridad

2.1. Los Cinco Objetivos Fundamentales

La seguridad de la informaciΓ³n persigue proteger cinco dimensiones fundamentales. Y aquΓ­ viene algo importante: el Esquema Nacional de Seguridad (ENS) define exactamente estas cinco dimensiones para categorizar los sistemas. Las tienes que memorizar porque caen constantemente en exΓ‘menes:

DimensiΓ³n DefiniciΓ³n Ejemplo en el SAS Consecuencia de Fallo
1. CONFIDENCIALIDAD Solo acceden a la informaciΓ³n quienes estΓ‘n autorizados Un mΓ©dico solo puede ver historias de sus pacientes asignados ExposiciΓ³n datos salud β†’ RGPD β†’ multa + daΓ±o reputacional
2. INTEGRIDAD La informaciΓ³n no ha sido alterada de forma no autorizada Una analΓ­tica de glucosa no puede ser modificada por error o sabotaje Decisiones clΓ­nicas errΓ³neas β†’ riesgo paciente
3. DISPONIBILIDAD La informaciΓ³n estΓ‘ accesible cuando se necesita Diraya debe estar disponible 24/7 para urgencias Imposibilidad de atender pacientes β†’ paralizaciΓ³n asistencial
4. AUTENTICIDAD Se puede verificar la identidad de usuarios y origen de datos Firma electrΓ³nica de recetas por el mΓ©dico prescriptor SuplantaciΓ³n de identidad β†’ prescripciones fraudulentas
5. TRAZABILIDAD Se registran y pueden auditar acciones sobre la informaciΓ³n Logs de quiΓ©n accediΓ³ a quΓ© historia clΓ­nica y cuΓ‘ndo Imposibilidad de detectar accesos indebidos o investigar incidentes

🎯 TRUCO MNEMOTΓ‰CNICO

Para memorizar las 5 dimensiones del ENS, usa el acrΓ³nimo Β«CI-DATΒ»:

  • Confidencialidad
  • Integridad
  • Disponibilidad
  • Autenticidad
  • Trazabilidad

O si prefieres: «Cinco Ingenieros Desarrollan Aplicaciones Trazables» 😊

2.2. Estrategias de Seguridad: Enfoque por Capas (Defensa en Profundidad)

Una estrategia de seguridad eficaz no se basa en una ΓΊnica barrera, sino en mΓΊltiples capas de defensa. Es como un castillo medieval: no solo tiene murallas exteriores, tambiΓ©n tiene foso, torres de vigilancia, puertas fortificadas, guardias en el interior… Si un atacante supera una capa, aΓΊn quedan otras.

🏰 Modelo de Seguridad en Capas del SAS

Capa Controles de Seguridad ImplementaciΓ³n SAS
1. PerΓ­metro de Red Firewalls, IPS/IDS, Anti-DDoS Firewalls Palo Alto en CPD, segmentaciΓ³n VLAN, DMZ para servicios pΓΊblicos
2. Acceso a Aplicaciones AutenticaciΓ³n multifactor, SSO, control de acceso Sistema IDENTIC (LDAP corporativo), certificados digitales para profesionales
3. Datos Cifrado en reposo y trΓ‘nsito, enmascaramiento, DLP TDE en Oracle para Diraya, TLS 1.3 en comunicaciones, cifrado AES-256
4. Endpoints Antimalware, EDR, control de dispositivos, hardening McAfee EPO, control de USB, actualizaciΓ³n automΓ‘tica Windows
5. FΓ­sica Control de acceso fΓ­sico, videovigilancia, CCTV CPD Tier III en MΓ‘laga con biomΓ©tricos, tarjetas RFID, monitorizaciΓ³n 24/7
6. Personas FormaciΓ³n, concienciaciΓ³n, simulacros FormaciΓ³n anual obligatoria ENS, campaΓ±as anti-phishing, polΓ­ticas de uso aceptable

πŸ’‘ PRINCIPIO FUNDAMENTAL: La seguridad perfecta no existe. El objetivo es hacer que el coste de atacar sea superior al beneficio que obtendrΓ­a el atacante. Se trata de gestiΓ³n de riesgos, no de eliminaciΓ³n total del riesgo (que es imposible).

2.3. PolΓ­tica de Seguridad: El Marco de Gobernanza

La polΓ­tica de seguridad es el documento estratΓ©gico de mΓ‘s alto nivel que define quΓ© se protege, por quΓ©, cΓ³mo y quiΓ©n es responsable. En el SAS existe una PolΓ­tica de Seguridad de las TecnologΓ­as de la InformaciΓ³n y Comunicaciones aprobada por la DirecciΓ³n Gerencia que establece:

  • πŸ“œ Principios rectores: seguridad desde el diseΓ±o, mΓ­nimo privilegio, segregaciΓ³n de funciones
  • 🎯 Objetivos de seguridad: alineados con el ENS y con la misiΓ³n asistencial del SAS
  • πŸ‘₯ Roles y responsabilidades: quiΓ©n es responsable de quΓ© (RACI)
  • πŸ“Š MΓ©tricas y KPIs: cΓ³mo se mide el nivel de seguridad
  • βš–οΈ Cumplimiento normativo: ENS, RGPD, normas sectoriales
  • πŸ”„ RevisiΓ³n y mejora continua: actualizaciΓ³n periΓ³dica de la polΓ­tica

πŸ“‹ Marco Normativo de la PolΓ­tica de Seguridad SAS

  • πŸ”Ή Real Decreto 311/2022 – Esquema Nacional de Seguridad (ENS)
  • πŸ”Ή Reglamento UE 2016/679 – RGPD (datos de salud = categorΓ­a especial)
  • πŸ”Ή Ley OrgΓ‘nica 3/2018 – LOPDGDD
  • πŸ”Ή Ley 11/2007 – Acceso electrΓ³nico de los ciudadanos a los servicios pΓΊblicos
  • πŸ”Ή Decreto 534/2021 – AdministraciΓ³n ElectrΓ³nica del SAS
  • πŸ”Ή Estrategia Andaluza de Ciberseguridad 2022-2025
  • πŸ”Ή PolΓ­tica TIC de la Junta de AndalucΓ­a

2.4. OrganizaciΓ³n de la Seguridad: Roles y Responsabilidades

El ENS (artΓ­culo 10) define claramente los roles de seguridad. Es MUY importante que los conozcas porque suelen caer preguntas especΓ­ficas en el examen:

Rol ENS Responsabilidad En el SAS
Responsable de la InformaciΓ³n Define requisitos de la informaciΓ³n tratada (quΓ© necesita protegerse) DirecciΓ³n Asistencial (define que las historias clΓ­nicas son nivel ALTO)
Responsable del Servicio Define requisitos de los servicios prestados (disponibilidad, continuidad) DirecciΓ³n de Sistemas de InformaciΓ³n (garantiza que Diraya estΓ© 24/7)
Responsable del Sistema Define requisitos tΓ©cnicos y funcionales del sistema Jefe de Proyecto Diraya (arquitectura, tecnologΓ­a, operaciΓ³n)
Responsable de Seguridad SUPERVISA que se cumplen los requisitos de seguridad, coordina medidas, reporta CISO (Chief Information Security Officer) del SAS o Responsable de Seguridad TI

⚠️ PREGUNTA TÍPICA DE EXAMEN

El rol de SUPERVISIΓ“N en el ENS lo desempeΓ±a:

A) El responsable de la informaciΓ³n
B) El responsable del servicio
C) El responsable de la seguridad βœ… (CORRECTA)
D) El responsable del sistema

Esta pregunta cayΓ³ literalmente en el examen SAS 2023. El responsable de seguridad es quien supervisa el cumplimiento.

3. Esquema Nacional de Seguridad (ENS)

Vamos con el bloque fuerte. El ENS es, sin exagerar, uno de los pilares de este tema y del examen. Es de aplicaciΓ³n obligatoria para todas las administraciones pΓΊblicas, incluido el SAS. Y no solo eso: su cumplimiento es auditable y sancionable.

3.1. ΒΏQuΓ© es el ENS y Por QuΓ© Existe?

El Esquema Nacional de Seguridad es el marco normativo que establece la polΓ­tica de seguridad en la utilizaciΓ³n de medios electrΓ³nicos en el sector pΓΊblico espaΓ±ol. Se aprobΓ³ inicialmente mediante Real Decreto 3/2010, y actualmente estΓ‘ vigente la versiΓ³n actualizada del Real Decreto 311/2022, de 3 de mayo.

πŸ’‘ RAZΓ“N DE SER DEL ENS: Garantizar que los ciudadanos puedan confiar en que sus datos estΓ‘n protegidos cuando interactΓΊan electrΓ³nicamente con las administraciones. Sin esta confianza, la transformaciΓ³n digital del sector pΓΊblico serΓ­a imposible.

3.2. Ámbito de Aplicación

El ENS se aplica a:

  • βœ… AdministraciΓ³n General del Estado y sus organismos pΓΊblicos
  • βœ… Administraciones de las Comunidades AutΓ³nomas (incluida Junta de AndalucΓ­a y SAS)
  • βœ… Entidades que integran la AdministraciΓ³n Local
  • βœ… Entidades de Derecho PΓΊblico vinculadas o dependientes

Esto significa que TODOS los sistemas de informaciΓ³n del SAS estΓ‘n sujetos al ENS: Diraya, BPS, receta electrΓ³nica, INFOWEB, sistemas de gestiΓ³n econΓ³mica, recursos humanos, etc.

3.3. Principios BΓ‘sicos del ENS

El artΓ­culo 5 del RD 311/2022 establece 14 principios bΓ‘sicos. Para el examen, es fundamental que conozcas los mΓ‘s importantes:

Principio Significado AplicaciΓ³n SAS
1. Seguridad integral Se abordan aspectos organizativos, procedimentales, tΓ©cnicos y fΓ­sicos No basta con firewalls, tambiΓ©n hace falta formaciΓ³n, polΓ­ticas, CPD seguro
2. GestiΓ³n de riesgos La seguridad se basa en anΓ‘lisis de riesgos (MAGERIT) Se analizan amenazas a Diraya antes de definir medidas
3. PrevenciΓ³n, detecciΓ³n, respuesta y conservaciΓ³n Ciclo continuo: evitar incidentes, detectarlos rΓ‘pido, responder y preservar evidencias SIEM para detectar, equipo CSIRT para responder, backups para conservar
4. LΓ­neas de defensa MΓΊltiples capas de seguridad (defensa en profundidad) Firewall + IDS + antivirus + cifrado + autenticaciΓ³n multifactor
5. Vigilancia continua MonitorizaciΓ³n permanente 24/7 SOC (Security Operations Center) del SAS con monitorizaciΓ³n continua
6. ReevaluaciΓ³n periΓ³dica Las medidas de seguridad se revisan regularmente AuditorΓ­as ENS cada 2 aΓ±os (obligatorio para categorΓ­a MEDIA/ALTA)
7. DiferenciaciΓ³n de responsabilidades Roles claramente definidos y segregados Quien desarrolla no es quien despliega en producciΓ³n (DevOps con segregaciΓ³n)

πŸ“ PREGUNTA REAL – Examen TFA Medio 2025

Β«Indique cuΓ‘l de los siguientes es un principio bΓ‘sico del ENS:Β»

A) IdentificaciΓ³n, correcciΓ³n y protecciΓ³n
B) Monitoreo, intervenciΓ³n y preservaciΓ³n
C) Existencia de lΓ­neas de defensa βœ… (CORRECTA)
D) Vigilancia discontinua

La opciΓ³n D es una trampa: el ENS establece vigilancia CONTINUA, no discontinua.

3.4. CategorizaciΓ³n de Sistemas segΓΊn el ENS

Este apartado es CRÍTICO y cae constantemente en exÑmenes. La categorización determina el nivel de medidas de seguridad que hay que aplicar.

3.4.1. Niveles de Seguridad por DimensiΓ³n

Para cada una de las 5 dimensiones (C-I-D-A-T), el ENS establece 3 niveles segΓΊn el impacto de un incidente:

Nivel Impacto Ejemplos de Consecuencias
BAJO Perjuicio limitado, fΓ‘cilmente reparable Molestias menores, retrasos cortos, costes reducidos
MEDIO Perjuicio grave, reparable con esfuerzo DaΓ±o significativo, incumplimiento normativo, costes importantes
ALTO Perjuicio muy grave, difΓ­cilmente reparable Riesgo para vidas, pΓ©rdidas econΓ³micas mayores, daΓ±o irreversible

3.4.2. CategorΓ­a del Sistema = MAX(niveles de sus 5 dimensiones)

REGLA FUNDAMENTAL: La categorΓ­a del sistema es la del nivel MÁS ALTO de sus dimensiones. Si tienes 4 dimensiones en BAJO y 1 en ALTO β†’ el sistema es de categorΓ­a ALTA.

πŸ“Š EJEMPLO: CategorizaciΓ³n de Diraya (Historia ClΓ­nica Digital)

DimensiΓ³n Nivel JustificaciΓ³n
Confidencialidad ALTO Datos de salud = categorΓ­a especial RGPD. ExposiciΓ³n β†’ multa masiva + daΓ±o reputacional grave
Integridad ALTO AlteraciΓ³n de datos clΓ­nicos β†’ decisiones errΓ³neas β†’ riesgo vital pacientes
Disponibilidad ALTO CaΓ­da de Diraya en urgencias β†’ imposibilidad atender pacientes β†’ riesgo vital
Autenticidad ALTO SuplantaciΓ³n mΓ©dico β†’ prescripciones fraudulentas β†’ daΓ±o pacientes
Trazabilidad ALTO Sin logs β†’ imposible investigar accesos indebidos β†’ sanciΓ³n RGPD + imposibilidad probar responsabilidades

RESULTADO: Diraya es un sistema de categorΓ­a ALTA

Consecuencias:

  • βœ“ Requiere auditorΓ­a de seguridad cada 2 aΓ±os (art. 31 ENS)
  • βœ“ Necesita certificaciΓ³n de conformidad por organismo acreditado
  • βœ“ Debe aplicar todas las medidas ENS en nivel ALTO (75 controles)
  • βœ“ Obligatorio tener plan de continuidad documentado y probado

⚠️ CASO PRÁCTICO TÍPICO DE EXAMEN

Te van a dar un supuesto con las 5 dimensiones valoradas y tienes que determinar la categorΓ­a. Ejemplo real del examen TFA Agencia 2023:

Β«Un sistema tiene:

  • Confidencialidad: MEDIO (incumplimiento material norma jurΓ­dica)
  • Integridad: BAJO (reducciΓ³n apreciable capacidad organizaciΓ³n)
  • Disponibilidad: MEDIO (RTO de 1 dΓ­a)
  • Autenticidad: BAJO (perjuicio menor fΓ‘cilmente reparable)
  • Trazabilidad: MEDIO

ΒΏCuΓ‘l es la categorΓ­a del sistema?Β»

Respuesta: MEDIA (porque el nivel mΓ‘s alto es MEDIO en 3 dimensiones)

3.5. DeclaraciΓ³n de Aplicabilidad y Conformidad

CategorΓ­a DeclaraciΓ³n/CertificaciΓ³n QuiΓ©n la realiza Validez
BÁSICA Declaración de conformidad El propio responsable del sistema 2 años
MEDIA CertificaciΓ³n de conformidad Entidad de certificaciΓ³n acreditada ENAC 2 aΓ±os
ALTA CertificaciΓ³n de conformidad Entidad de certificaciΓ³n acreditada ENAC 2 aΓ±os

πŸ“ PREGUNTA REAL – TFA Agencia 2023

«¿CuÑl de las siguientes categorías requerirÑ un proceso de declaración de conformidad según el ENS?»

A) Sistemas de categorΓ­a BÁSICA βœ… (CORRECTA)
B) Sistemas de categorΓ­a MEDIA
C) Sistemas de categorΓ­a ALTA
D) Ninguno requiere declaraciΓ³n, todos necesitan certificaciΓ³n

Las categorías MEDIA y ALTA requieren certificación por entidad acreditada, solo BÁSICA requiere declaración.

3.6. AuditorΓ­as de Seguridad ENS

El artΓ­culo 31 del RD 311/2022 establece la obligatoriedad de auditorΓ­as regulares:

πŸ“‹ ArtΓ­culo 31: AuditorΓ­a Regular de la Seguridad

Β«Los sistemas de informaciΓ³n comprendidos en el Γ‘mbito de aplicaciΓ³n de este real decreto serΓ‘n objeto de una auditorΓ­a regular ordinaria que verifique el cumplimiento de los requisitos del ENS al menos cada dos aΓ±os, pudiendo extenderse durante tres meses adicionales cuando concurran impedimentos de fuerza mayor no imputables a la entidad.Β»

⚠️ PREGUNTA LITERAL – Examen TFA Medio 2025

Β«SegΓΊn el artΓ­culo 31 del Real Decreto 311/2022 (ENS), los sistemas deben ser auditados:Β»

A) Al menos cada 18 meses, extensiΓ³n de 6 meses
B) Al menos cada 2 aΓ±os, sin posibilidad de extensiΓ³n
C) Al menos cada 2 aΓ±os, extensiΓ³n de 3 meses βœ… (CORRECTA)
D) Al menos cada 12 meses, extensiΓ³n de 6 meses hasta mΓ‘ximo 36

4. MAGERIT: MetodologΓ­a de AnΓ‘lisis y GestiΓ³n de Riesgos

MAGERIT es la metodologΓ­a oficial del sector pΓΊblico espaΓ±ol para el anΓ‘lisis y gestiΓ³n de riesgos de los sistemas de informaciΓ³n. EstΓ‘ desarrollada por el CCN-CERT (Centro CriptolΓ³gico Nacional) y es la herramienta fundamental para cumplir con el principio ENS de Β«gestiΓ³n de riesgosΒ».

4.1. ΒΏQuΓ© es MAGERIT?

MAGERIT = MetodologΓ­a de AnΓ‘lisis y GestiΓ³n de Riesgos de los Sistemas de InformaciΓ³n de las Administraciones PΓΊblicas

Es un mΓ©todo sistemΓ‘tico para:

  • 1️⃣ Identificar los activos de informaciΓ³n
  • 2️⃣ Valorar su importancia para la organizaciΓ³n
  • 3️⃣ Identificar las amenazas a las que estΓ‘n expuestos
  • 4️⃣ Estimar el impacto y la probabilidad de materializaciΓ³n
  • 5️⃣ Calcular el riesgo (Impacto Γ— Probabilidad)
  • 6️⃣ Proponer medidas de seguridad (salvaguardas)
  • 7️⃣ Calcular el riesgo residual tras aplicar medidas

4.2. Conceptos Fundamentales de MAGERIT

Concepto DefiniciΓ³n Ejemplo en Diraya
ACTIVO Recurso del sistema de informaciΓ³n que tiene valor para la organizaciΓ³n Base de datos Oracle con historias clΓ­nicas, servidor de aplicaciΓ³n, datos de pacientes
AMENAZA Evento que puede causar un incidente de seguridad Ransomware, acceso no autorizado, fallo hardware, error humano
VULNERABILIDAD Debilidad que puede ser explotada por una amenaza Sistema operativo sin parchear, contraseΓ±a dΓ©bil, falta de cifrado
IMPACTO Consecuencia de que se materialice la amenaza ExposiciΓ³n de 10,000 historias clΓ­nicas β†’ multa RGPD + daΓ±o reputacional
RIESGO Probabilidad Γ— Impacto Si hay 30% probabilidad de ransomware e impacto de 1M€ β†’ riesgo = 300K€
SALVAGUARDA Medida de seguridad que reduce el riesgo Backup diario, antivirus, formaciΓ³n usuarios, firewall
RIESGO RESIDUAL Riesgo que queda tras aplicar salvaguardas Tras backup y antivirus, riesgo de ransomware baja de 300K€ a 50K€

4.3. Tipos de AnΓ‘lisis de Riesgos en MAGERIT

MAGERIT contempla dos enfoques segΓΊn la categorΓ­a ENS del sistema:

Tipo CaracterΓ­sticas CuΓ‘ndo se Usa Ejemplo
CUALITATIVO Usa escalas discretas (Muy Bajo, Bajo, Medio, Alto, Muy Alto) Sistemas categoría BÁSICA o MEDIA. AnÑlisis rÑpido. «El riesgo de fuga de datos es ALTO»
CUANTITATIVO Usa valores numΓ©ricos y monetarios (euros, probabilidades %) Sistemas categorΓ­a ALTA. Decisiones de inversiΓ³n en seguridad. Β«El riesgo de fuga de datos es 250,000€/aΓ±oΒ»
SEMIFORMAL Usa catΓ‘logo de amenazas, lenguaje especΓ­fico, semΓ‘ntica definida Nivel intermedio CatΓ‘logo CCN-CERT de amenazas
FORMAL Fundamento matemΓ‘tico reconocido (estadΓ­stica, teorΓ­a de probabilidades) Sistemas crΓ­ticos categorΓ­a ALTA AnΓ‘lisis de disponibilidad con modelos Markov

πŸ“ PREGUNTA REAL – TFA Agencia 2023

Β«Dado que el sistema ha sido categorizado como de categorΓ­a ALTA de acuerdo con el ENS, la medida de seguridad [op.pl.1] sobre AnΓ‘lisis de Riesgos requerirΓ‘:Β»

A) AnΓ‘lisis de riesgos informal, en lenguaje natural
B) AnΓ‘lisis semiformal con catΓ‘logo bΓ‘sico de amenazas
C) AnΓ‘lisis formal con fundamento matemΓ‘tico reconocido internacionalmente βœ… (CORRECTA)
D) Ninguna de las anteriores

Para categorΓ­a ALTA, el ENS exige anΓ‘lisis de riesgos FORMAL.

⚠️ PREGUNTA TÍPICA – Examen TFA Medio 2025

«¿Qué elemento distingue principalmente el anÑlisis cualitativo del cuantitativo en MAGERIT?»

A) El uso de escalas de valores discretos para valorar activos y amenazas βœ… (CORRECTA)
B) La implementaciΓ³n de controles de seguridad especΓ­ficos
C) El tiempo necesario para realizar el anΓ‘lisis
D) La necesidad de usar la herramienta PILAR

4.4. PILAR: Herramienta de Apoyo a MAGERIT

PILAR es la aplicaciΓ³n informΓ‘tica desarrollada por el CCN-CERT para facilitar la aplicaciΓ³n de MAGERIT. Permite:

  • βœ“ Modelar el sistema de informaciΓ³n (activos, relaciones)
  • βœ“ Seleccionar amenazas del catΓ‘logo CCN-CERT
  • βœ“ Valorar activos en las 5 dimensiones ENS (C-I-D-A-T)
  • βœ“ Calcular riesgos automΓ‘ticamente
  • βœ“ Proponer salvaguardas segΓΊn ENS
  • βœ“ Generar informes de anΓ‘lisis de riesgos

πŸ“ PREGUNTA REAL – Examen SAS 2023

«¿CuÑl de las siguientes dimensiones de seguridad es una en la que permite analizar los riesgos la solución PILAR?»

A) Continuidad
B) Resiliencia
C) Disponibilidad βœ… (CORRECTA)
D) Fiabilidad

PILAR permite analizar las 5 dimensiones ENS: Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad. Β«ContinuidadΒ» y Β«ResilienciaΒ» no son dimensiones ENS.

4.5. Proceso de AnΓ‘lisis de Riesgos MAGERIT (Paso a Paso)

πŸ“‹ CASO PRÁCTICO: AnΓ‘lisis de Riesgos del Sistema de Receta ElectrΓ³nica (Receta XXI)

PASO 1: IdentificaciΓ³n de Activos

  • [A01] Base de datos de medicamentos prescritos
  • [A02] Servidor de aplicaciΓ³n Receta XXI
  • [A03] Interfaz web para mΓ©dicos
  • [A04] Interfaz para farmacias
  • [A05] Sistema de firma electrΓ³nica
  • [A06] Comunicaciones (Red Corporativa SAS)

PASO 2: ValoraciΓ³n de Activos (dimensiones ENS)

Activo C I D A T
[A01] BD medicamentos ALTO ALTO ALTO ALTO ALTO
[A02] Servidor aplicaciΓ³n MEDIO ALTO ALTO MEDIO ALTO

PASO 3: IdentificaciΓ³n de Amenazas

  • [T.1] Errores de los usuarios (prescripciΓ³n errΓ³nea)
  • [T.5] AverΓ­as del sistema (caΓ­da servidor)
  • [T.9] Fuga de informaciΓ³n (acceso no autorizado a recetas)
  • [T.11] CΓ³digo malicioso (ransomware)
  • [T.15] ModificaciΓ³n no autorizada de informaciΓ³n (alteraciΓ³n recetas)

PASO 4: EstimaciΓ³n de Impacto y Probabilidad

Amenaza Activo Probabilidad Impacto Riesgo
[T.9] Fuga información [A01] BD Media (50) Muy Alto (100) 5000 (CRÍTICO)
[T.5] AverΓ­a sistema [A02] Servidor Media (50) Alto (80) 4000 (ALTO)
[T.1] Error usuario [A03] Interfaz Alta (75) Medio (50) 3750 (ALTO)

PASO 5: Propuesta de Salvaguardas

  • βœ“ [mp.com.2] Cifrado de comunicaciones (TLS 1.3)
  • βœ“ [mp.info.3] Cifrado de datos en BD (TDE Oracle)
  • βœ“ [op.exp.4] Backup diario con retenciΓ³n 30 dΓ­as
  • βœ“ [mp.per.4] FormaciΓ³n usuarios en prescripciΓ³n segura
  • βœ“ [op.cont.1] Plan de continuidad con RTO < 4 horas
  • βœ“ [mp.acc.6] Control de acceso basado en roles (RBAC)

PASO 6: CΓ‘lculo de Riesgo Residual

Amenaza Riesgo Inicial Salvaguardas Riesgo Residual
[T.9] Fuga informaciΓ³n 5000 Cifrado + RBAC 800 (BAJO)
[T.5] AverΓ­a 4000 Backup + Plan continuidad 600 (BAJO)

DECISIΓ“N: Los riesgos residuales son aceptables. Se aprueba el sistema para producciΓ³n con las salvaguardas propuestas.

5. Medidas de Seguridad (FΓ­sicas, TΓ©cnicas, Organizativas y Legales)

El Anexo II del ENS establece 75 controles de seguridad organizados en 3 grandes marcos y mΓΊltiples familias. Estas medidas son de aplicaciΓ³n obligatoria segΓΊn la categorΓ­a del sistema. Vamos a verlas de forma estructurada porque es un apartado denso pero muy preguntado en exΓ‘menes.

5.1. Estructura de las Medidas ENS

Marco Familias NΒΊ Medidas
org (Organizativas) OrganizaciΓ³n, OperaciΓ³n, Acceso, Continuidad 27 medidas
op (Operacionales) PlanificaciΓ³n, ExplotaciΓ³n, Control de acceso, Continuidad 24 medidas
mp (Medidas de ProtecciΓ³n) Equipos, Comunicaciones, Soportes, Aplicaciones, Personal, Servicios subcontratados 24 medidas

5.2. Medidas de Seguridad Organizativas (org)

5.2.1. Marco Organizativo (org)

CΓ³digo Medida AplicaciΓ³n SAS
[org.1] PolΓ­tica de seguridad PolΓ­tica de Seguridad TIC del SAS aprobada por DirecciΓ³n Gerencia
[org.2] Normativa de seguridad Procedimientos operativos, guΓ­as de configuraciΓ³n segura, manuales de usuario
[org.3] Procedimientos de seguridad Procedimiento de gestiΓ³n de incidentes, de alta/baja usuarios, de backup/restore
[org.4] Proceso de autorizaciΓ³n AutorizaciΓ³n formal antes de poner en producciΓ³n cualquier sistema o cambio relevante

5.3. Medidas de Seguridad Operacionales (op)

5.3.1. PlanificaciΓ³n (op.pl)

CΓ³digo Medida AplicaciΓ³n SAS
[op.pl.1] AnΓ‘lisis de riesgos MAGERIT con PILAR. CategorΓ­a ALTA β†’ anΓ‘lisis formal
[op.pl.2] Arquitectura de seguridad SegmentaciΓ³n red en DMZ/Interna/GestiΓ³n, defensa en profundidad
[op.pl.3] AdquisiciΓ³n de nuevos componentes Requisitos de seguridad en pliegos de contrataciΓ³n TIC
[op.pl.4] Dimensionamiento/GestiΓ³n de capacidad MonitorizaciΓ³n capacidad servidores, almacenamiento, red (prevenciΓ³n caΓ­das por saturaciΓ³n)

5.3.2. Control de Acceso (op.acc)

CΓ³digo Medida AplicaciΓ³n SAS
[op.acc.4] SegregaciΓ³n de funciones y tareas Quien desarrolla no despliega en producciΓ³n. DBA β‰  Auditor
[op.acc.5] Proceso de gestiΓ³n de derechos de acceso Workflow formal de alta/modificaciΓ³n/baja de permisos en IDENTIC
[op.acc.6] Mecanismo de autenticaciΓ³n Usuario+contraseΓ±a + certificado digital para acceso remoto

⚠️ PREGUNTA REAL – TFA Agencia 2023

Β«SegΓΊn la medida [op.acc.4] sobre SegregaciΓ³n de funciones, el Refuerzo R1 (SegregaciΓ³n rigurosa) implica:Β»

A) Las capacidades de desarrollo y operaciΓ³n no recaen en la misma persona
B) Las personas que autorizan y controlan el uso son distintas
C) La misma persona no aΓΊna funciones de configuraciΓ³n y mantenimiento, ni auditorΓ­a con cualquier otra funciΓ³n βœ… (CORRECTA)
D) Existen cuentas con privilegios de auditorΓ­a personalizadas

5.4. Medidas de ProtecciΓ³n (mp)

5.4.1. ProtecciΓ³n de Equipos (mp.eq)

CΓ³digo Medida AplicaciΓ³n SAS
[mp.eq.1] Puesto de trabajo Sistema LeTSAS (Linux Terminal SAS), escritorios bloqueables, pantallas privacidad
[mp.eq.2] PortΓ‘tiles Cifrado de disco BitLocker, VPN obligatoria para acceso remoto
[mp.eq.3] Dispositivos mΓ³viles MDM (Mobile Device Management), borrado remoto, segregaciΓ³n datos personales/corporativos

5.4.2. ProtecciΓ³n de Comunicaciones (mp.com)

CΓ³digo Medida AplicaciΓ³n SAS
[mp.com.1] PerΓ­metro seguro Cortafuegos perimetral (Palo Alto/Fortinet) con reglas restrictivas
[mp.com.2] ProtecciΓ³n de la confidencialidad TLS 1.3 para Diraya, VPN IPSec para interconexiΓ³n centros
[mp.com.3] ProtecciΓ³n de la integridad y autenticidad Certificados digitales para firma electrΓ³nica recetas, autenticaciΓ³n mutua TLS
[mp.com.4] SegregaciΓ³n de redes VLANs separadas: ClΓ­nica / Administrativa / GestiΓ³n / Invitados / IoT mΓ©dico

πŸ“‹ Ejemplo Real: SegregaciΓ³n de Redes en Hospital SAS

VLAN 10 - Red ClΓ­nica Diraya          β†’ Acceso a HIS, PACS, LIS
VLAN 20 - Red Administrativa          β†’ ERP, RRHH, email corporativo
VLAN 30 - Red de GestiΓ³n              β†’ Acceso a switches, routers, SAI
VLAN 40 - Red WiFi Profesionales      β†’ Acceso a intranet y Diraya
VLAN 50 - Red WiFi Pacientes          β†’ Internet filtrado, sin acceso interno
VLAN 60 - Red IoT MΓ©dico              β†’ Monitores, bombas infusiΓ³n, ventiladores
VLAN 99 - Red Cuarentena              β†’ Equipos con malware detectado

Firewall inter-VLAN: Reglas explΓ­citas de quΓ© puede hablar con quΓ©
IDS/IPS: MonitorizaciΓ³n trΓ‘fico anΓ³malo entre VLANs

5.4.3. ProtecciΓ³n de la InformaciΓ³n (mp.info)

CΓ³digo Medida AplicaciΓ³n SAS
[mp.info.1] Datos en reposo Cifrado TDE (Transparent Data Encryption) en Oracle para BD Diraya
[mp.info.2] Datos en trΓ‘nsito TLS 1.3 obligatorio, deshabilitar SSL v2/v3 y TLS 1.0/1.1
[mp.info.3] Copias de seguridad Backup cifrado AES-256, almacenamiento off-site, pruebas restore trimestrales
[mp.info.6] Limpieza de documentos DestrucciΓ³n segura de soportes con datos sensibles (trituradoras certificadas)

5.4.4. ProtecciΓ³n de las Aplicaciones (mp.sw)

CΓ³digo Medida AplicaciΓ³n SAS
[mp.sw.1] Desarrollo seguro OWASP Top 10, anΓ‘lisis cΓ³digo estΓ‘tico (SonarQube), revisiΓ³n seguridad pre-producciΓ³n
[mp.sw.2] AceptaciΓ³n y puesta en servicio Pruebas penetraciΓ³n antes de producciΓ³n, certificaciΓ³n conformidad ENS

5.5. ClasificaciΓ³n de Medidas segΓΊn CategorΓ­a del Sistema

Las medidas ENS tienen diferentes niveles de aplicaciΓ³n segΓΊn la categorΓ­a del sistema:

Nivel CategorΓ­a BAJA CategorΓ­a MEDIA CategorΓ­a ALTA
AplicaciΓ³n Obligatorio Obligatorio + Refuerzos Obligatorio + Todos los Refuerzos
AnΓ‘lisis Riesgos Simplificado Formal periΓ³dico Formal riguroso + revisiΓ³n anual
AuditorΓ­a No obligatoria Cada 2 aΓ±os Cada 2 aΓ±os + auditorΓ­a continua
DocumentaciΓ³n BΓ‘sica Completa Exhaustiva + trazabilidad completa

πŸ’‘ Ejemplos de CategorizaciΓ³n SAS

  • ALTA: Diraya Historia Digital, Base de Datos Única (datos personales salud + millones de registros)
  • MEDIA: Portal profesionales SAS, sistema gestiΓ³n citas
  • BAJA: Web informativa hospital (sin datos personales), catΓ‘logo servicios

5.6. Medidas de Seguridad FΓ­sica

Aunque el ENS integra la seguridad fΓ­sica dentro de las medidas tΓ©cnicas y organizativas, es importante destacar aspectos especΓ­ficos crΓ­ticos en el SAS:

Seguridad FΓ­sica del CPD SAS:
  • Control de acceso biomΓ©trico: Huella dactilar + tarjeta RFID para acceso a salas de servidores
  • Videovigilancia 24/7: CΓ‘maras con grabaciΓ³n mΓ­nimo 30 dΓ­as, monitorizaciΓ³n en tiempo real
  • DetecciΓ³n incendios: Sistema VESDA (Very Early Smoke Detection Apparatus) + extinciΓ³n gas inerte FM-200
  • Control ambiental: Temperatura 18-24Β°C, humedad 40-60%, doble alimentaciΓ³n elΓ©ctrica + SAI + grupo electrΓ³geno
  • ProtecciΓ³n contra inundaciones: Sala elevada, detectores nivel agua, drenaje automΓ‘tico
  • Jaulas de seguridad: Racks con cerradura individual para equipos crΓ­ticos

5.7. Medidas de Seguridad Legales

El cumplimiento normativo es una medida de seguridad en sΓ­ misma. En el Γ‘mbito sanitario del SAS, confluyen mΓΊltiples marcos legales:

Marco Legal ObligaciΓ³n Responsable SAS
RGPD + LOPDGDD ProtecciΓ³n datos personales salud (categorΓ­a especial) Delegado ProtecciΓ³n Datos (DPO)
Ley 41/2002 AutonomΓ­a paciente, confidencialidad historia clΓ­nica DirecciΓ³n Asistencial
ENS (RD 311/2022) Seguridad sistemas informaciΓ³n AAPP Responsable de Seguridad (RSI)
Ley 39/2015 Procedimiento administrativo electrΓ³nico Responsable AdministraciΓ³n ElectrΓ³nica
Directiva NIS2 Ciberseguridad operadores esenciales (sanidad incluida) CISO + ComitΓ© Ciberseguridad

⚠️ Sanciones por Incumplimiento

RGPD: Hasta 20 millones € o 4% facturaciΓ³n anual (el mayor)

ENS: Responsabilidad patrimonial por daΓ±os + pΓ©rdida certificaciΓ³n

Ley 41/2002: Responsabilidad penal por vulneraciΓ³n secreto (art. 199 CP): prisiΓ³n 1-4 aΓ±os

Ejemplo real: Multa 600.000€ a hospital por accesos indebidos a historias clΓ­nicas de famosos

6. Planes de Contingencia y RecuperaciΓ³n ante Desastres

Un Plan de Contingencia es el conjunto de procedimientos diseΓ±ados para responder ante situaciones de emergencia que puedan afectar la disponibilidad de los sistemas de informaciΓ³n. En el SAS, donde la disponibilidad de Diraya puede significar literalmente vida o muerte, estos planes son crΓ­ticos.

6.1. Conceptos Fundamentales

RPO (Recovery Point Objective): Cantidad mΓ‘xima de datos que se puede perder. Ejemplo: RPO = 15 minutos significa que en el peor caso perdemos los ΓΊltimos 15 minutos de cambios en Diraya.
RTO (Recovery Time Objective): Tiempo mΓ‘ximo tolerable de interrupciΓ³n del servicio. Ejemplo: RTO = 4 horas significa que Diraya debe estar operativo en menos de 4 horas tras un desastre.
MTPD (Maximum Tolerable Period of Disruption): Tiempo mΓ‘ximo que la organizaciΓ³n puede sobrevivir sin el sistema antes de sufrir daΓ±os irreparables.
WRT (Work Recovery Time): Tiempo necesario para que los usuarios puedan trabajar normalmente una vez restaurado el sistema tΓ©cnico.

6.2. Fases del Plan de Contingencia

Fase Objetivo Actividades Clave Responsable SAS
1. PrevenciΓ³n Evitar que ocurra el incidente Copias seguridad, redundancia HW, monitorizaciΓ³n Equipo Operaciones CPD
2. DetecciΓ³n Identificar el incidente lo antes posible Sistemas monitorizaciΓ³n 24/7, alertas automΓ‘ticas NOC (Network Operations Center)
3. Respuesta Inmediata Contener el daΓ±o Activar procedimientos emergencia, aislar sistemas afectados Jefe de Guardia TIC
4. RecuperaciΓ³n Restaurar el servicio Ejecutar plan DRP, activar CPD alternativo si procede ComitΓ© Crisis TIC
5. ReanudaciΓ³n Volver a la normalidad Migrar de vuelta a producciΓ³n principal, verificar integridad Responsable Sistemas
6. Post-mortem Aprender del incidente AnΓ‘lisis causa raΓ­z, actualizar documentaciΓ³n, formaciΓ³n ComitΓ© Seguridad + RSI

6.3. Estructura del Plan de Contingencia SAS

El Plan de Contingencia TIC del SAS debe incluir obligatoriamente:

  1. Alcance y Objetivos: Sistemas incluidos (Diraya, BDU, Receta XXI, etc.), RTO/RPO por sistema
  2. AnΓ‘lisis de Impacto al Negocio (BIA): Criticidad de cada sistema, dependencias entre sistemas
  3. IdentificaciΓ³n de Amenazas: Incendio CPD, ciberataque ransomware, fallo elΓ©ctrico prolongado, terremoto, inundaciΓ³n
  4. Estrategias de RecuperaciΓ³n: Hot site, warm site, cold site, cloud DR
  5. Procedimientos Operativos: Paso a paso quΓ© hacer en cada escenario
  6. Equipos y Responsabilidades: Matriz RACI clara, cadena de mando, nΓΊmeros contacto 24/7
  7. Recursos Necesarios: HW alternativo, SW licencias, enlaces comunicaciones respaldo
  8. Plan de ComunicaciΓ³n: CΓ³mo informar a direcciΓ³n, profesionales, pacientes, prensa
  9. Pruebas y Mantenimiento: Simulacros anuales, actualizaciΓ³n trimestral documentaciΓ³n

πŸ“‹ Caso PrΓ‘ctico: Incendio en CPD Principal SAS

ESCENARIO: 03:00 AM – Incendio en sala elΓ©ctrica CPD Granada. ActivaciΓ³n FM-200 exitosa pero daΓ±os en UPS. EstimaciΓ³n reparaciΓ³n: 48 horas.

SISTEMAS AFECTADOS:

  • Diraya Historia Digital (CRÍTICO – RTO 4h)
  • Receta XXI (CRÍTICO – RTO 2h)
  • BDU Base Datos Única (CRÍTICO – RTO 4h)
  • Portal Profesionales (ALTO – RTO 8h)

ACCIONES INMEDIATAS (T+15 min):

  1. 03:15 – Jefe Guardia TIC activa Nivel 3 – Desastre Mayor
  2. 03:20 – Convocatoria ComitΓ© Crisis (Zoom): Director TIC + RSI + DBA + Networking
  3. 03:25 – DecisiΓ³n: Activar CPD Respaldo Sevilla (warm site)
  4. 03:30 – DBA inicia restore ΓΊltimo backup Diraya (02:45 AM – RPO 15 min cumplido)

RECUPERACIΓ“N (T+4h):

  1. 04:00 – VerificaciΓ³n integridad BD restaurada
  2. 05:00 – Pruebas funcionales Diraya con 5 usuarios piloto
  3. 06:00 – DNS apunta a Sevilla, Diraya online βœ…
  4. 07:00 – Comunicado profesionales: servicio restaurado, posible pΓ©rdida datos 02:45-03:00

RTO Real: 3h 45 min (objetivo 4h cumplido βœ…)

RPO Real: 15 min (objetivo 15 min cumplido βœ…)

6.4. Tipos de Sitios de RecuperaciΓ³n

Tipo CaracterΓ­sticas RTO Coste Uso SAS
Hot Site CPD duplicado con datos replicados en tiempo real < 1 hora Muy alto Diraya (replicaciΓ³n Oracle DataGuard)
Warm Site CPD con HW preparado, restore backup reciente 4-12 horas Medio Sistemas administrativos, portales
Cold Site Espacio fΓ­sico con infraestructura bΓ‘sica > 72 horas Bajo Sistemas no crΓ­ticos, almacenamiento histΓ³rico
Cloud DR RecuperaciΓ³n en nube pΓΊblica/hΓ­brida Variable (2-24h) Medio (pago uso) Aplicaciones no reguladas, desarrollo

6.5. Pruebas del Plan de Contingencia

El ENS obliga a realizar pruebas periΓ³dicas del plan. Tipos de pruebas:

1. Prueba de Escritorio (Tabletop Exercise): RevisiΓ³n teΓ³rica del plan con el equipo. Periodicidad: Trimestral. Ejemplo: Β«Simulamos que hay ransomware en Diraya, ΒΏquΓ© hacemos paso a paso?Β»
2. Prueba de Componentes: Verificar elementos individuales. Ejemplo: Restore de backup de BD de prueba, failover red secundaria. Periodicidad: Mensual.
3. Simulacro Parcial: Activar recuperaciΓ³n de 1-2 sistemas no crΓ­ticos. Periodicidad: Semestral.
4. Simulacro Completo: Activar CPD alternativo con sistemas crΓ­ticos reales. Requiere ventana mantenimiento. Periodicidad: Anual.

πŸ’‘ Lecciones Aprendidas – Simulacro SAS 2024

Hallazgos del ΓΊltimo simulacro completo:

  • βœ… RTO Diraya cumplido: 3h 20min (objetivo 4h)
  • ❌ DocumentaciΓ³n DNS desactualizada, retrasΓ³ conmutaciΓ³n 45 min
  • ❌ 3 servidores aplicaciΓ³n con versiΓ³n Java desincronizada respecto a producciΓ³n
  • βœ… ComunicaciΓ³n con usuarios excelente: portal info actualizado cada 30 min
  • ⚠️ Consumo ancho de banda CPD alternativo 92% durante pico – dimensionar

Acciones correctivas: Automatizar sincronizaciΓ³n configuraciones, aumentar BW a 2Γ—10 Gbps

7. Respaldo y Continuidad de Negocio

Mientras que el Plan de Contingencia se centra en la recuperaciΓ³n TIC tras un desastre, el Plan de Continuidad de Negocio (BCP – Business Continuity Plan) tiene una visiΓ³n mΓ‘s amplia: cΓ³mo la organizaciΓ³n sanitaria SAS puede seguir prestando asistencia sanitaria cuando los sistemas TIC fallen.

7.1. Diferencia entre DR y BC

Aspecto Disaster Recovery (DR) Business Continuity (BC)
Alcance TecnologΓ­a (TIC) Toda la organizaciΓ³n
Enfoque Reactivo (despuΓ©s del desastre) Proactivo (preparaciΓ³n previa)
Objetivo Restaurar sistemas informΓ‘ticos Mantener servicios crΓ­ticos del negocio
Responsable Director TIC / RSI DirecciΓ³n Gerencia / ComitΓ© DirecciΓ³n
Ejemplo SAS Recuperar Diraya en CPD alternativo Atender pacientes urgentes aunque Diraya estΓ© caΓ­do (papel, telΓ©fono)

7.2. Estrategia de Copias de Seguridad (Backup)

Las copias de seguridad son la piedra angular de cualquier estrategia de recuperaciΓ³n. En el SAS manejamos datos altamente sensibles (salud) con requisitos legales estrictos de conservaciΓ³n.

7.2.1. Tipos de Backup

Tipo QuΓ© se Copia Ventajas Desventajas Uso SAS
Completo (Full) Todo Restore rΓ‘pido Lento, mucho espacio Domingos 00:00
Incremental Solo cambios desde ΓΊltimo backup RΓ‘pido, poco espacio Restore lento (necesita full + todos incrementales) Lunes-SΓ‘bado 02:00
Diferencial Cambios desde ΓΊltimo full Restore medio (full + ΓΊltimo diferencial) Ocupa mΓ‘s que incremental Alternativa a incremental en algunos sistemas
Snapshot Imagen instantΓ‘nea (cabinas SAN) Inmediato, sin parar servicio No es backup off-site Antes de cambios crΓ­ticos

7.2.2. Regla 3-2-1 (Best Practice Backup)

Regla 3-2-1 del Backup:
  • 3 copias de los datos (1 producciΓ³n + 2 backup)
  • 2 soportes diferentes (ej: disco + cinta)
  • 1 copia off-site (fuera del CPD principal)

Ampliado a 3-2-1-1-0:

  • +1: Una copia offline (air-gapped, protecciΓ³n anti-ransomware)
  • +0: Cero errores de verificaciΓ³n (test restore periΓ³dico)

πŸ“‹ Estrategia Backup Diraya (ProducciΓ³n Real SAS)

COPIA 1 - ProducciΓ³n:
  └─ BD Oracle Diraya en cabina NetApp (RAID 10, doble controladora)

COPIA 2 - Backup Primario (Mismo CPD):
  β”œβ”€ Snapshot cabina NetApp cada 4 horas (retenciΓ³n 48h)
  β”œβ”€ Backup incremental diario β†’ Disco DEDUP (Data Domain)
  └─ Backup full domingos β†’ Disco DEDUP

COPIA 3 - Backup Secundario (Off-site):
  β”œβ”€ ReplicaciΓ³n asΓ­ncrona a CPD Sevilla (RPO 15 min)
  └─ Copia cinta LTO-9 mensual β†’ BΓΊnker externo

COPIA 4 - Backup Offline (Air-gapped):
  └─ Copia cinta LTO-9 trimestral β†’ Caja fuerte banco (protecciΓ³n ransomware)

RetenciΓ³n Legal (Ley 41/2002):
  └─ Historia clΓ­nica: MΓ­nimo 5 aΓ±os desde alta
  └─ Informes crΓ­ticos: 15 aΓ±os
  └─ Datos menores: Hasta mayorΓ­a edad + 5 aΓ±os

7.2.3. Pruebas de Restore (Lo MΓ‘s Importante)

⚠️ CRÍTICO – Β«Un backup sin probar es SchrΓΆdinger’s BackupΒ»

Existe el backup pero no sabes si funciona hasta que lo necesitas. Y para entonces ya es tarde.

Caso real 2019: Hospital descubre en pleno ransomware que sus backups de 6 meses estΓ‘n corruptos. PΓ©rdida de datos irreparable.

ObligaciΓ³n ENS: Pruebas restore trimestrales documentadas + restore completo anual.

7.3. Alta Disponibilidad vs. Continuidad

Hay confusiΓ³n frecuente entre estos conceptos. Aclaremos:

CaracterΓ­stica Alta Disponibilidad (HA) Continuidad de Negocio (BC)
Objetivo Minimizar downtime planificado y no planificado Seguir operando tras desastre mayor
TecnologΓ­a Clustering, load balancing, failover automΓ‘tico CPD alternativo, procedimientos manuales
Alcance Fallo Componente (servidor, disco, red) Sitio completo (incendio, terremoto)
Tiempo RecuperaciΓ³n Segundos/minutos (automΓ‘tico) Horas/dΓ­as (intervenciΓ³n humana)
MΓ©trica Disponibilidad % (ej: 99,99% = 52 min/aΓ±o downtime) RTO / RPO
Ejemplo Diraya Cluster 3 servidores aplicaciΓ³n + balanceador CPD Sevilla con Oracle DataGuard

7.4. Niveles de Disponibilidad

SLA (%) Downtime AΓ±o Coste Relativo Uso SAS
99% (two nines) 3,65 dΓ­as Bajo Aplicaciones internas no crΓ­ticas
99,9% (three nines) 8,76 horas Medio Portal profesionales, citas
99,99% (four nines) 52,56 minutos Alto Diraya, Receta XXI
99,999% (five nines) 5,26 minutos Muy alto Sistemas vida/muerte (UCI, quirΓ³fanos)

πŸ’‘ CΓ‘lculo Disponibilidad

Disponibilidad (%) = (Tiempo Total – Tiempo CaΓ­do) / Tiempo Total Γ— 100

Ejemplo Diraya 2024: 365 dΓ­as = 525.600 minutos. CaΓ­das totales: 45 minutos.

Disponibilidad = (525.600 – 45) / 525.600 Γ— 100 = 99,991% βœ…

7.5. Procedimientos Modo Degradado

Cuando Diraya cae, ΒΏquΓ© hacemos? No podemos decirle al infarto que espere 4 horas. El Plan de Continuidad incluye procedimientos en modo degradado:

πŸ“‹ Protocolo CaΓ­da Diraya en Urgencias

  1. T+0 min: DetecciΓ³n caΓ­da. Triaje avisa a Sistemas.
  2. T+5 min: ActivaciΓ³n Modo Papel:
    • Impresos historia clΓ­nica de urgencias en papel (disponibles siempre)
    • Consulta historial llamando a AdmisiΓ³n (tienen backup lectura BD replicada)
    • PrescripciΓ³n manual en talonario oficial (vΓ‘lido legalmente 24h)
  3. T+4 horas: EstimaciΓ³n restore sistema.
  4. T+4h a T+48h: TranscripciΓ³n papel β†’ Diraya por auxiliares administrativos (horas extra, personal refuerzo).

Coste estimado caΓ­da 24h Diraya: 180.000€ (horas extra transcripciΓ³n + pΓ©rdida productividad)

8. PolΓ­tica de Seguridad TIC en Junta de AndalucΓ­a y SAS

La PolΓ­tica de Seguridad TIC es el documento de mΓ‘s alto nivel que define los principios, objetivos y responsabilidades en materia de seguridad de la informaciΓ³n. En el caso del SAS, existe una polΓ­tica corporativa de la Junta de AndalucΓ­a que luego se concreta en directrices especΓ­ficas para el Γ‘mbito sanitario.

8.1. Marco Normativo de la PolΓ­tica de Seguridad

Documento Alcance AprobaciΓ³n
PolΓ­tica de Seguridad TIC Junta de AndalucΓ­a Toda la AdministraciΓ³n autonΓ³mica Consejo de Gobierno
Normativa Desarrollo PolΓ­tica TIC Procedimientos y guΓ­as tΓ©cnicas ConsejerΓ­a de Justicia, AdministraciΓ³n Local y FunciΓ³n PΓΊblica
PolΓ­tica Seguridad EspecΓ­fica SAS Servicio Andaluz de Salud DirecciΓ³n Gerencia SAS
Procedimientos Operativos SAS Instrucciones detalladas por Γ‘mbito DirecciΓ³n TIC SAS

8.2. Estructura de la PolΓ­tica de Seguridad TIC

Una PolΓ­tica de Seguridad TIC completa debe incluir:

8.2.1. Elementos Obligatorios segΓΊn ENS

  1. Objeto y Alcance: A quΓ© sistemas, datos y personas aplica
  2. Roles y Responsabilidades:
    • Responsable de la InformaciΓ³n: DirecciΓ³n Asistencial (propietaria de datos clΓ­nicos)
    • Responsable del Sistema: Director TIC SAS
    • Responsable de Seguridad (RSI): Jefe Servicio Seguridad TIC
    • Responsable del Servicio: Jefes aplicaciΓ³n (Diraya, Receta XXI, etc.)
    • Administradores de Sistemas: TΓ©cnicos con acceso privilegiado
    • Usuarios: 100.000+ profesionales SAS
  3. Marco Normativo de Referencia: ENS, RGPD, ISO 27001, normativa sanitaria
  4. Principios BΓ‘sicos de Seguridad:
    • Seguridad como proceso continuo, no producto puntual
    • PrevenciΓ³n, detecciΓ³n, respuesta y recuperaciΓ³n
    • Defensa en profundidad (mΓΊltiples capas seguridad)
    • MΓ­nimo privilegio
    • SegregaciΓ³n de funciones
    • GestiΓ³n del riesgo como enfoque central
  5. CategorizaciΓ³n de Sistemas: MetodologΓ­a MAGERIT para clasificar segΓΊn dimensiones (C, I, D, A, T)
  6. DeclaraciΓ³n Aplicabilidad (SOA): QuΓ© medidas ENS se aplican y cuΓ‘les no (con justificaciΓ³n)
  7. AnΓ‘lisis de Riesgos: ObligaciΓ³n de realizar MAGERIT formal en sistemas ALTA
  8. GestiΓ³n de Incidentes: Procedimiento notificaciΓ³n, escalado, resoluciΓ³n
  9. Plan de ConcienciaciΓ³n: FormaciΓ³n obligatoria anual en seguridad para todos los empleados
  10. AuditorΓ­as y Revisiones: AuditorΓ­a bienal sistemas MEDIA/ALTA
  11. Mejora Continua: Ciclo PDCA (Plan-Do-Check-Act)

8.3. Organismos de Gobernanza de Seguridad en SAS

Γ“rgano ComposiciΓ³n FunciΓ³n Principal Periodicidad
ComitΓ© de Seguridad TIC Director TIC, RSI, Responsables Servicio, DPO Decisiones estratΓ©gicas seguridad, aprobar inversiones Trimestral
Comité Operativo Seguridad RSI, Jefes Área TIC, Arquitecto Seguridad Seguimiento medidas, anÑlisis incidentes, mejoras Mensual
Equipo Respuesta Incidentes (CSIRT SAS) RSI, Analistas Seguridad, Administradores GestiΓ³n incidentes 24/7, anΓ‘lisis forense Permanente (guardias)
ComitΓ© de ProtecciΓ³n de Datos DPO, RSI, DirecciΓ³n Asistencial, JurΓ­dico Cumplimiento RGPD, evaluaciones impacto Trimestral

8.4. PolΓ­ticas EspecΓ­ficas Derivadas

De la PolΓ­tica General de Seguridad TIC se derivan polΓ­ticas especΓ­ficas por Γ‘reas:

  • PolΓ­tica de Control de Acceso: GestiΓ³n identidades, autenticaciΓ³n, autorizaciΓ³n, RBAC
  • PolΓ­tica de ContraseΓ±as: Complejidad (12 caracteres, mayΓΊsculas+minΓΊsculas+nΓΊmeros+sΓ­mbolos), caducidad 90 dΓ­as, no reutilizaciΓ³n ΓΊltimas 5
  • PolΓ­tica de Uso Aceptable: QuΓ© pueden/no pueden hacer usuarios con recursos TIC corporativos
  • PolΓ­tica de Backup y RecuperaciΓ³n: Frecuencia, retenciΓ³n, pruebas restore
  • PolΓ­tica de GestiΓ³n de Parches: CrΓ­ticos < 48h, Importantes < 7 dΓ­as, Opcionales < 30 dΓ­as
  • PolΓ­tica de Cifrado: TLS 1.3 obligatorio, AES-256 para datos reposo, gestiΓ³n claves (HSM)
  • PolΓ­tica BYOD: Dispositivos personales en red corporativa (contenedor trabajo, MDM, borrado remoto)
  • PolΓ­tica Trabajo Remoto: VPN obligatoria, 2FA, no WiFi pΓΊblicas sin VPN
  • PolΓ­tica Desarrollo Seguro: OWASP, anΓ‘lisis estΓ‘tico cΓ³digo, pentest pre-producciΓ³n
  • PolΓ­tica ContrataciΓ³n TIC: Requisitos seguridad en pliegos, clΓ‘usulas SLA/penalizaciones

⚠️ Ejemplo Política: Gestión de Contraseñas SAS

Requisitos tΓ©cnicos:

  • Longitud mΓ­nima: 12 caracteres
  • Complejidad: 3 de 4 (mayΓΊsculas, minΓΊsculas, nΓΊmeros, sΓ­mbolos)
  • Caducidad: 90 dΓ­as usuarios estΓ‘ndar, 60 dΓ­as administradores
  • Historial: No reutilizar ΓΊltimas 5 contraseΓ±as
  • Bloqueo: 5 intentos fallidos β†’ bloqueo 30 minutos
  • Prohibido: Nombres propios, fechas, palabras diccionario, secuencias (123456, qwerty)

Excepciones:

  • Cuentas servicio: ContraseΓ±as 24 caracteres, gestionadas en bΓ³veda (CyberArk), no caducan
  • Acceso crΓ­tico (producciΓ³n): 2FA obligatorio (contraseΓ±a + token TOTP)

Cumplimiento: Controles automatizados Active Directory + auditorΓ­a trimestral cuentas dΓ©biles

8.5. ConcienciaciΓ³n y FormaciΓ³n

El factor humano es el eslabΓ³n mΓ‘s dΓ©bil. El 90% de brechas de seguridad tienen componente de error humano (phishing, ingenierΓ­a social, contraseΓ±as dΓ©biles).

Programa de ConcienciaciΓ³n SAS:
  • FormaciΓ³n obligatoria inicial: 4 horas e-learning antes de activar usuario (ENS, RGPD, uso aceptable)
  • Reciclaje anual: 2 horas actualizaciΓ³n normativa + casos reales
  • PΓ­ldoras mensuales: Email con caso real del mes (phishing intentado, ransomware, etc.)
  • Simulacros phishing: EnvΓ­o emails falsos trimestrales. Quien cae β†’ formaciΓ³n especΓ­fica
  • CampaΓ±a cartelerΓ­a: PΓ³sters en centros sanitarios (no dejar sesiΓ³n abierta, cuidado USB desconocidos)
  • CertificaciΓ³n especΓ­fica administradores: Curso 40h seguridad para perfiles con acceso privilegiado

πŸ“‹ EstadΓ­sticas ConcienciaciΓ³n SAS 2024

  • Simulacro Phishing Q1/2024: 15.000 emails enviados β†’ 8% clicΓ³ enlace malicioso (1.200 profesionales)
  • Simulacro Phishing Q4/2024: 15.000 emails enviados β†’ 3% clicΓ³ βœ… (mejora 60% tras formaciΓ³n especΓ­fica)
  • Incidentes reportados por usuarios: +45% respecto 2023 (buena seΓ±al, mΓ‘s vigilancia)
  • Tiempo medio detecciΓ³n phishing: 2024: 18 minutos / 2023: 4 horas βœ…

9. Estrategias de Ciberseguridad: Europea, Nacional y Andaluza

La ciberseguridad es una prioridad estratΓ©gica a todos los niveles de gobierno. Vamos a analizar las estrategias desde la UE hasta AndalucΓ­a, porque en examen te pueden preguntar por cualquiera de ellas.

9.1. Estrategia Europea de Ciberseguridad

9.1.1. Directiva NIS2 (Network and Information Security)

La Directiva (UE) 2022/2555 (NIS2), que sustituye a NIS1 de 2016, es el marco legal europeo de ciberseguridad. EspaΓ±a debe trasponerla antes de octubre 2024.

Novedades NIS2 respecto a NIS1:
  • βœ“ AmpliaciΓ³n sectores cubiertos: Sanidad ahora es operador esencial (antes opcional)
  • βœ“ Umbrales mΓ‘s bajos: Incluye empresas medianas (250+ empleados o 50M€ facturaciΓ³n)
  • βœ“ Requisitos tΓ©cnicos mΓ‘s estrictos: GestiΓ³n riesgos, notificaciΓ³n incidentes < 24h, auditorΓ­as
  • βœ“ Sanciones mΓ‘s duras: Hasta 10M€ o 2% facturaciΓ³n mundial (el mayor)
  • βœ“ Responsabilidad personal directivos: Los CEOs/CIOs pueden ser personalmente responsables
  • βœ“ Cadena de suministro: ObligaciΓ³n evaluar proveedores crΓ­ticos TIC

⚠️ SAS como Operador Esencial según NIS2

El Servicio Andaluz de Salud, al gestionar hospitales y centros salud que prestan asistencia a 8,5 millones de personas, estΓ‘ clasificado como Operador de Servicios Esenciales bajo NIS2.

Obligaciones directas:

  • Implementar medidas tΓ©cnicas y organizativas gestiΓ³n riesgos
  • Notificar incidentes significativos a INCIBE-CERT en < 24 horas
  • AuditorΓ­as seguridad periΓ³dicas por terceros independientes
  • Planes continuidad negocio y recuperaciΓ³n desastres
  • Cifrado y controles acceso robustos
  • GestiΓ³n segura cadena suministro (proveedores SW crΓ­ticos)

9.1.2. ENISA (Agencia Europea Ciberseguridad)

ENISA publica guΓ­as y recomendaciones tΓ©cnicas de ciberseguridad. Documentos relevantes para sanidad:

  • Β«Procurement Guidelines for Cybersecurity in HospitalsΒ» (2020): CΓ³mo comprar TIC segura para hospitales
  • Β«Threat Landscape for the Healthcare SectorΒ» (2023): Amenazas especΓ­ficas sanitarias (ransomware hospital, robo datos pacientes)
  • Β«Good Practices for Security of IoTΒ» (2023): Especialmente relevante para dispositivos mΓ©dicos conectados

9.2. Estrategia Nacional de Ciberseguridad (EspaΓ±a)

9.2.1. Estrategia Nacional de Ciberseguridad 2019

Aprobada por Consejo de Seguridad Nacional el 28/11/2019. Ejes estratΓ©gicos:

  1. Garantizar una Internet libre y segura para ciudadanos y empresas
  2. Fortalecer capacidades ciberdefensa de instituciones pΓΊblicas
  3. Alcanzar autonomΓ­a tecnolΓ³gica estratΓ©gica (reducir dependencia tech extranjera)
  4. ColaboraciΓ³n pΓΊblico-privada en ciberseguridad
  5. Impulsar I+D+i en tecnologΓ­as de ciberseguridad

9.2.2. Organismos Nacionales de Ciberseguridad

Organismo Dependencia FunciΓ³n RelaciΓ³n con SAS
CCN-CERT Centro CriptolΓ³gico Nacional (CNI) Ciberseguridad sector pΓΊblico NotificaciΓ³n incidentes SAS, recepciΓ³n alertas CCN-CERT
INCIBE-CERT Instituto Nacional Ciberseguridad (INCIBE) Ciberseguridad ciudadanos y empresas CoordinaciΓ³n NIS2, formaciΓ³n, avisos pΓΊblicos
DSN Presidencia Gobierno CoordinaciΓ³n estratΓ©gica nacional Sanidad clasificada como infraestructura crΓ­tica
ComisiΓ³n Nacional Mercados (CNMC) Independiente SupervisiΓ³n NIS2 operadores telecom Proveedores conectividad SAS (Orange, TelefΓ³nica)

9.2.3. GuΓ­as CCN-STIC (Aplicables a SAS)

El CCN publica guΓ­as tΓ©cnicas (CCN-STIC) de obligada aplicaciΓ³n en AAPP. Algunas especialmente relevantes para SAS:

GuΓ­a TΓ­tulo AplicaciΓ³n SAS
CCN-STIC 804 GuΓ­a implementaciΓ³n ENS – CategorΓ­a MEDIA MayorΓ­a sistemas SAS (portales, aplicaciones gestiΓ³n)
CCN-STIC 805 GuΓ­a implementaciΓ³n ENS – CategorΓ­a ALTA Diraya, BDU, sistemas clΓ­nicos crΓ­ticos
CCN-STIC 807 CriptologΓ­a de empleo en el ENS Algoritmos permitidos (AES-256, RSA-4096), gestiΓ³n claves
CCN-STIC 808 VerificaciΓ³n cumplimiento ENS Checklist auditorΓ­a interna antes de auditorΓ­a oficial
CCN-STIC 817 GestiΓ³n de ciberincidentes Procedimientos CSIRT SAS, notificaciΓ³n CCN-CERT
CCN-STIC 825 Esquema Nacional EvaluaciΓ³n y CertificaciΓ³n Productos HW/SW certificados para uso en SAS (cortafuegos, HSM…)

πŸ’‘ Niveles de NotificaciΓ³n Incidentes a CCN-CERT

Nivel Severidad Plazo NotificaciΓ³n Ejemplo SAS
CRÍTICO Afecta servicio esencial < 1 hora Ransomware cifra Diraya
MUY ALTO Gran impacto potencial < 4 horas Fuga masiva datos pacientes
ALTO Impacto significativo < 24 horas DDoS portal profesionales
MEDIO Impacto moderado < 1 semana Phishing dirigido a directivos
BAJO Impacto mΓ­nimo Informe mensual Malware detectado y bloqueado en endpoint

9.3. Estrategia Andaluza de Ciberseguridad

AndalucΓ­a tiene su propia estrategia de ciberseguridad coordinada con la nacional pero adaptada a particularidades autonΓ³micas.

9.3.1. Plan Director de Ciberseguridad de AndalucΓ­a (2021-2025)

Aprobado por Consejo de Gobierno en diciembre 2020. Ejes prioritarios:

  1. Gobernanza y coordinaciΓ³n: ComitΓ© AutonΓ³mico Ciberseguridad liderado por ConsejerΓ­a Presidencia
  2. ProtecciΓ³n infraestructuras crΓ­ticas: Sanidad (SAS), educaciΓ³n (universidades), emergencias (112)
  3. CapacitaciΓ³n profesional: CreaciΓ³n Escuela Andaluza Ciberseguridad, 500 especialistas formados 2021-2025
  4. ConcienciaciΓ³n ciudadana: CampaΓ±as seguridad digital para poblaciΓ³n general
  5. Fomento ecosistema ciberseguridad: AtracciΓ³n empresas sector, startups, I+D

9.3.2. CSIRT-AndalucΓ­a

Creado en 2021, es el equipo de respuesta incidentes de la Junta de AndalucΓ­a. Funciones:

  • MonitorizaciΓ³n 24/7: SOC con herramientas SIEM (IBM QRadar) monitorizando trΓ‘fico de red, logs, alertas
  • CoordinaciΓ³n con CCN-CERT: RecepciΓ³n alertas nacionales, notificaciΓ³n incidentes crΓ­ticos
  • Respuesta incidentes: Soporte tΓ©cnico a organismos afectados (incluyendo SAS)
  • AnΓ‘lisis forense: InvestigaciΓ³n post-incidente, identificaciΓ³n vectores ataque
  • Threat intelligence: Compartir IoCs (Indicators of Compromise) entre organismos
  • Ejercicios de ciberresiliencia: Simulacros coordinados (ej: Β«CyberEx AndalucΓ­a 2024Β» con hospitales)

9.3.3. Iniciativas EspecΓ­ficas Sanidad

Programa Β«Hospitales CibersegurosΒ» (2022-2025):
  • Objetivo: Elevar nivel ciberseguridad de 45 hospitales SAS a estΓ‘ndares NIS2
  • InversiΓ³n: 18 millones € (fondos EU – NextGenerationEU)
  • Actuaciones:
    • ImplantaciΓ³n EDR (Endpoint Detection & Response) en 60.000 equipos
    • ActualizaciΓ³n firewalls perimetrales con IPS/IDS avanzados
    • Despliegue NAC (Network Access Control) en hospitales de referencia
    • FormaciΓ³n especializada: 200 administradores certificados en ciberseguridad sanitaria
    • AuditorΓ­as penetraciΓ³n externas en 15 hospitales
  • Estado 2024: 70% completado, cumplimiento NIS2 previsto junio 2025 βœ…

πŸ“‹ Incidente Real: Ransomware Hospital Provincial CΓ³rdoba (Simulacro 2023)

Escenario simulado:

  • T+0: Viernes 22:00h – Cifrado masivo servidores archivo por ransomware Β«LockBit 3.0Β»
  • T+15 min: NOC detecta anomalΓ­a, activa protocolo nivel CRÍTICO
  • T+30 min: CSIRT-AndalucΓ­a confirma ransomware, notifica CCN-CERT
  • T+1h: Aislamiento red hospital, corte Internet, activaciΓ³n Plan Contingencia
  • T+2h: AnΓ‘lisis forense: Entrada vΓ­a email phishing miΓ©rcoles, movilidad lateral jueves-viernes
  • T+4h: ActivaciΓ³n CPD alternativo, restore Diraya desde backup (pΓ©rdida 2h datos)
  • T+12h: Servicios crΓ­ticos restaurados, hospital operando en modo limitado
  • T+72h: RestauraciΓ³n completa, limpieza malware finalizada

Lecciones aprendidas:

  • βœ… Backup funcionΓ³ correctamente, RPO respetado
  • ❌ Phishing inicial no fue detectado por usuarios (formaciΓ³n insuficiente)
  • ❌ SegmentaciΓ³n red deficiente permitiΓ³ movilidad lateral rΓ‘pida
  • βœ… CoordinaciΓ³n CSIRT-AndalucΓ­a + SAS excelente
  • ⚠️ ComunicaciΓ³n con pacientes mejorable (retrasos informativos)

Acciones correctivas: Refuerzo formaciΓ³n phishing, implementaciΓ³n microsegmentaciΓ³n red (proyecto 2024-2025)

10. Conclusiones

La seguridad de las tecnologΓ­as de la informaciΓ³n en el Servicio Andaluz de Salud no es un lujo ni una opciΓ³n, es una obligaciΓ³n legal, tΓ©cnica y Γ©tica. Cada dΓ­a, 8,5 millones de andaluces confΓ­an en que sus datos de salud mΓ‘s Γ­ntimos estΓ©n protegidos mientras accedemos a ellos para darles la mejor atenciΓ³n posible.

Ideas Clave para el Examen (Memoriza Esto):

1. Triada CIA + Trazabilidad + Autenticidad: Los 5 pilares de seguridad. Cada medida ENS protege uno o varios de estos objetivos.
2. ENS (RD 311/2022): Marco obligatorio AAPP. 75 medidas en 3 marcos (org, op, mp). CategorizaciΓ³n segΓΊn impacto (BAJA/MEDIA/ALTA). AuditorΓ­a bienal sistemas MEDIA/ALTA.
3. MAGERIT + PILAR: MetodologΓ­a oficial anΓ‘lisis riesgos. 5 dimensiones (D, I, C, A, T). Activos β†’ Amenazas β†’ Vulnerabilidades β†’ Impacto β†’ Riesgo β†’ Salvaguardas.
4. Medidas Seguridad: FΓ­sicas (CPD, control acceso), TΓ©cnicas (cifrado, firewall, backup), Organizativas (polΓ­ticas, formaciΓ³n), Legales (RGPD, ENS, Ley 41/2002).
5. Planes Contingencia: RPO (dato perdido tolerable) vs RTO (tiempo recuperaciΓ³n tolerable). Regla 3-2-1 backup. Pruebas restore obligatorias. Hot/Warm/Cold site.
6. NIS2: Directiva europea. Sanidad = operador esencial. NotificaciΓ³n incidentes < 24h. Sanciones hasta 10M€. Responsabilidad personal directivos. TransposiciΓ³n EspaΓ±a 2024.
7. Organismos: CCN-CERT (sector pΓΊblico), INCIBE-CERT (ciudadanos/empresas), CSIRT-AndalucΓ­a (autonΓ³mico), ENISA (europeo).

Aplicabilidad PrΓ‘ctica en tu Futuro Puesto TFA-STI:

Como TΓ©cnico Especialista en InformΓ‘tica del SAS, la seguridad serΓ‘ parte integral de tu trabajo diario:

  • AplicarΓ‘s hardening servidores segΓΊn guΓ­as CCN-STIC
  • GestionarΓ‘s copias de seguridad y verificarΓ‘s su integridad
  • ImplementarΓ‘s controles de acceso en Diraya (roles, permisos)
  • DetectarΓ‘s y responderΓ‘s a incidentes de seguridad (malware, accesos indebidos)
  • ParticiparΓ‘s en auditorΓ­as ENS aportando evidencias tΓ©cnicas
  • ColaborarΓ‘s en planes de contingencia (pruebas failover, restores)
  • FormarΓ‘s a usuarios en buenas prΓ‘cticas de seguridad
  • EvaluarΓ‘s proveedores TIC desde perspectiva de seguridad

La seguridad no es solo Β«cosa de los de seguridadΒ». Es responsabilidad de TODOS los profesionales TIC. Un solo fallo (contraseΓ±a dΓ©bil, patch sin aplicar, backup sin probar) puede comprometer aΓ±os de trabajo y, lo que es peor, poner en riesgo la privacidad de miles de pacientes y la continuidad asistencial.

βœ… Tu Objetivo en este Tema

Al finalizar el estudio de este tema debes ser capaz de:

  • Explicar los 5 objetivos de seguridad (D,I,C,A,T) con ejemplos SAS
  • Aplicar metodologΓ­a MAGERIT paso a paso en un caso prΓ‘ctico
  • Identificar quΓ© medidas ENS corresponden a cada categorΓ­a de sistema
  • DiseΓ±ar una estrategia de backup 3-2-1 para un sistema crΓ­tico
  • Calcular RTO/RPO y proponer arquitectura de continuidad
  • Distinguir entre PolΓ­tica de Seguridad, Normativa y Procedimientos
  • Conocer obligaciones NIS2 para el SAS
  • Enumerar organismos de ciberseguridad y sus competencias

Estrategia de Estudio Recomendada:

  1. Primera lectura completa (3-4 horas): ComprensiΓ³n global del tema, subrayar conceptos clave
  2. Estudio por secciones (1 semana): Dominar cada secciΓ³n antes de pasar a la siguiente. Hacer esquemas propios.
  3. MemorizaciΓ³n activa (3 dΓ­as): Flashcards con definiciones (ENS, MAGERIT, RTO/RPO, NIS2…). Repasar maΓ±ana y noche.
  4. Casos prΓ‘cticos (2 dΓ­as): Resolver los ejemplos del tema. Inventar tus propios casos similares.
  5. Cuestionario (1 dΓ­a): Hacer las 30 preguntas sin mirar. Analizar fallos. Repetir hasta 100% aciertos.
  6. Repaso espaciado: DΓ­a 1, DΓ­a 3, DΓ­a 7, DΓ­a 14, DΓ­a 30 post-estudio inicial.
  7. ConexiΓ³n con otros temas: Relacionar con Tema 36 (ENS profundidad), Tema 37 (MAGERIT detallado), Tema 38 (RGPD), Tema 42 (sistemas SAS).

Recuerda: Este tema es MUY PREGUNTADO en oposiciones TFA-STI del SAS. Es transversal a casi todo el temario (normativa, tecnologΓ­a, gestiΓ³n). Dominarlo te darΓ‘ ventaja competitiva real en el examen.

‘Ánimo con el estudio! La plaza merece el esfuerzo. πŸ’ͺ

11. Cuestionario de AutoevaluaciΓ³n (30 Preguntas)

A continuaciΓ³n encontrarΓ‘s 30 preguntas tipo test basadas en exΓ‘menes reales de oposiciones TFA-STI del SAS y en el contenido desarrollado en este tema. Intenta responderlas sin consultar el material de estudio. Al final tienes las respuestas con explicaciones.

πŸ“ Instrucciones

  • Tiempo recomendado: 45 minutos (1,5 min/pregunta)
  • Responde primero todas sin mirar
  • Marca tus respuestas en un papel
  • Al terminar, comprueba con las soluciones
  • Analiza cada fallo: ΒΏerror conceptual o despiste?
  • Objetivo: >85% aciertos (26/30) para considerar tema dominado

PREGUNTAS (1-30)

1. SegΓΊn el ENS (RD 311/2022), la trazabilidad como objetivo de seguridad se refiere a:

A) La capacidad de recuperar datos tras un desastre
B) La posibilidad de determinar quΓ© ha ocurrido, cuΓ‘ndo, cΓ³mo y quiΓ©n lo ha hecho
C) La protecciΓ³n de la informaciΓ³n frente a modificaciones no autorizadas
D) La garantΓ­a de que los sistemas estΓ©n operativos cuando se necesiten

2. En la metodologΓ­a MAGERIT, el valor de un activo se define como:

A) Su coste de adquisiciΓ³n en el mercado
B) El coste de las medidas de seguridad implementadas
C) La valoraciΓ³n del daΓ±o que supondrΓ­a su pΓ©rdida para la organizaciΓ³n
D) La suma de todos los activos que dependen de Γ©l

3. Un sistema del SAS tiene la siguiente valoraciΓ³n en las 5 dimensiones: D=10, I=10, C=10, A=10, T=10. Su categorΓ­a ENS serΓ‘:

A) BAJA (la media es 10)
B) MEDIA (hay valores = 10)
C) ALTA (todas las dimensiones estΓ‘n en el mΓ‘ximo nivel)
D) Depende del contexto organizativo, no solo de los valores

4. SegΓΊn el ENS, la medida [op.pl.1] Β«AnΓ‘lisis de riesgosΒ» es obligatoria para sistemas de categorΓ­a:

A) Solo ALTA
B) MEDIA y ALTA
C) BAJA, MEDIA y ALTA (todas las categorΓ­as)
D) Solo en sistemas que manejen datos de salud

5. La herramienta PILAR desarrollada por el CCN sirve para:

A) Realizar anΓ‘lisis de riesgos segΓΊn metodologΓ­a MAGERIT
B) Gestionar incidentes de seguridad
C) Auditar el cumplimiento del ENS
D) Cifrar comunicaciones entre organismos pΓΊblicos

6. En un plan de contingencia, el RPO (Recovery Point Objective) de Diraya es de 15 minutos. Esto significa que:

A) El sistema debe restaurarse en menos de 15 minutos
B) Podemos perder como mΓ‘ximo los ΓΊltimos 15 minutos de datos
C) Cada 15 minutos se hace un backup
D) Los usuarios pueden estar sin acceso 15 minutos

7. Un hospital SAS implementa un CPD alternativo donde los servidores estΓ‘n instalados y configurados, pero los datos se restauran desde backup. Esto es un:

A) Hot site
B) Warm site
C) Cold site
D) Cloud DR

8. La regla 3-2-1 del backup establece:

A) 3 copias, 2 soportes diferentes, 1 off-site
B) 3 tipos de backup (full, incremental, diferencial), 2 al dΓ­a, 1 semanal
C) 3 niveles RAID, 2 controladoras, 1 rΓ©plica
D) 3 CPDs, 2 enlaces, 1 backup

9. SegΓΊn el ENS, la medida [mp.com.2] sobre cifrado de comunicaciones requiere en su nivel bΓ‘sico:

A) Cualquier algoritmo de cifrado
B) Algoritmos acreditados por el CCN
C) TLS 1.3 obligatoriamente
D) Certificados digitales de la FNMT

10. Un sistema con disponibilidad del 99,99% puede estar caΓ­do como mΓ‘ximo al aΓ±o:

A) 52,56 minutos
B) 8,76 horas
C) 3,65 dΓ­as
D) 5,26 minutos

11. La Directiva NIS2 clasifica al sector sanitario como:

A) Operador de servicios esenciales
B) Proveedor de servicios digitales
C) Operador crΓ­tico
D) No estΓ‘ incluido en NIS2

12. SegΓΊn NIS2, los incidentes de ciberseguridad significativos deben notificarse a la autoridad competente en un plazo de:

A) 1 hora
B) 24 horas
C) 72 horas
D) 1 semana

13. El organismo nacional responsable de la ciberseguridad del sector pΓΊblico espaΓ±ol es:

A) INCIBE-CERT
B) CCN-CERT
C) ENISA
D) AEPD

14. En MAGERIT, una amenaza se define como:

A) La debilidad de un activo que puede ser explotada
B) Un evento que puede desencadenar un incidente
C) El valor del activo multiplicado por su probabilidad de ocurrencia
D) Las medidas de seguridad necesarias

15. La medida ENS [mp.eq.1] sobre protecciΓ³n del puesto de trabajo incluye:

A) Solo antivirus actualizado
B) Bloqueo automΓ‘tico de pantalla tras perΓ­odo de inactividad
C) Backup diario del disco duro
D) Acceso biomΓ©trico al equipo

16. Un backup incremental:

A) Copia todos los datos cada vez
B) Copia solo los cambios desde el ΓΊltimo backup completo
C) Copia solo los cambios desde el ΓΊltimo backup (sea completo o incremental)
D) No se usa en producciΓ³n, solo en desarrollo

17. SegΓΊn el RGPD, los datos de salud son:

A) Datos personales ordinarios
B) CategorΓ­a especial de datos (artΓ­culo 9)
C) Datos anonimizados
D) Solo estΓ‘n protegidos si son electrΓ³nicos

18. La base de legitimaciΓ³n para que un mΓ©dico del SAS acceda a Diraya durante la asistencia de un paciente es:

A) El consentimiento explΓ­cito del paciente
B) El interΓ©s legΓ­timo del centro sanitario
C) La prestaciΓ³n de asistencia sanitaria (art. 9.2.h RGPD)
D) AutorizaciΓ³n previa de la AEPD

19. El principio de Β«segregaciΓ³n de funcionesΒ» (ENS [op.acc.4]) implica que:

A) Cada usuario debe tener una cuenta diferente
B) Las funciones crΓ­ticas no deben recaer en una sola persona
C) Los datos deben estar segmentados por departamentos
D) Hay que separar la red de producciΓ³n de la de desarrollo

20. Una cabina de almacenamiento con RAID 10 combina:

A) Espejo (RAID 1) + Striping (RAID 0)
B) Paridad simple (RAID 5) + Espejo (RAID 1)
C) Doble paridad (RAID 6)
D) Striping con paridad distribuida

21. El cifrado TDE (Transparent Data Encryption) en Oracle se aplica a:

A) Datos en trΓ‘nsito (TLS)
B) Datos en reposo (almacenados en disco)
C) Datos en memoria RAM
D) Solo a los backups

22. La guΓ­a CCN-STIC 805 trata sobre:

A) ImplementaciΓ³n ENS en sistemas categorΓ­a ALTA
B) CriptologΓ­a de empleo en el ENS
C) GestiΓ³n de incidentes
D) AuditorΓ­a de sistemas

23. En un anΓ‘lisis MAGERIT, el riesgo se calcula como:

A) Valor activo Γ— Probabilidad amenaza Γ— DegradaciΓ³n
B) Impacto + Frecuencia
C) (Amenazas – Salvaguardas) Γ— Vulnerabilidades
D) CategorΓ­a sistema Γ— Dimensiones afectadas

24. Un Plan de Continuidad de Negocio (BCP) es responsabilidad de:

A) El Director TIC exclusivamente
B) El Responsable de Seguridad (RSI)
C) La DirecciΓ³n Gerencia y el ComitΓ© de DirecciΓ³n
D) Los administradores de sistemas

25. La medida ENS [mp.info.3] sobre copias de seguridad requiere:

A) Solo hacer backups, sin mΓ‘s requisitos
B) Backups cifrados y pruebas periΓ³dicas de restauraciΓ³n
C) Backups solo de sistemas ALTA
D) Backups mensuales como mΓ­nimo

26. El CSIRT-AndalucΓ­a es:

A) El comitΓ© de seguridad de la Junta de AndalucΓ­a
B) El equipo de respuesta a incidentes de seguridad de la Junta
C) Una certificaciΓ³n de ciberseguridad
D) Un protocolo de actuaciΓ³n ante ransomware

27. SegΓΊn el ENS, los sistemas de categorΓ­a ALTA deben auditarse:

A) Anualmente
B) Cada 2 aΓ±os
C) Cada 3 aΓ±os
D) Solo tras un incidente grave

28. La disponibilidad de un sistema se ve afectada principalmente por:

A) Accesos no autorizados
B) Fallos hardware, software, desastres naturales
C) Modificaciones no autorizadas de datos
D) Fuga de informaciΓ³n

29. Un snapshot de cabina SAN:

A) Es un backup completo off-site
B) Es una copia instantΓ‘nea del volumen sin parar el servicio
C) Requiere parar la base de datos obligatoriamente
D) Solo se puede hacer una vez al dΓ­a

30. La PolΓ­tica de Seguridad TIC de una organizaciΓ³n debe ser aprobada por:

A) El Responsable de Seguridad (RSI)
B) El Director TIC
C) La mΓ‘xima autoridad de la organizaciΓ³n (DirecciΓ³n Gerencia)
D) El auditor externo

RESPUESTAS CORRECTAS Y EXPLICACIONES

1. B – La trazabilidad permite determinar quΓ© ha ocurrido, cuΓ‘ndo, cΓ³mo y quiΓ©n lo ha hecho. Es fundamental para auditorΓ­a forense.

2. C – El valor de un activo en MAGERIT es la valoraciΓ³n del perjuicio que causarΓ­a su pΓ©rdida, no su coste de compra.

3. C – ALTA. Cuando todas las dimensiones estΓ‘n en el nivel mΓ‘ximo (10), el sistema es categorΓ­a ALTA obligatoriamente.

4. C – El anΓ‘lisis de riesgos es obligatorio para TODAS las categorΓ­as (BAJA, MEDIA, ALTA), aunque con diferente profundidad.

5. A – PILAR (Procedimiento InformΓ‘tico LΓ³gico de AnΓ‘lisis de Riesgos) es la herramienta CCN para anΓ‘lisis de riesgos MAGERIT.

6. B – RPO es la cantidad mΓ‘xima de datos que se puede perder. RPO=15 min significa pΓ©rdida mΓ‘xima de 15 minutos de datos.

7. B – Warm site: servidores instalados pero datos se restauran desde backup. RTO tΓ­pico 4-12 horas.

8. A – Regla 3-2-1: 3 copias de datos, en 2 soportes diferentes, con 1 copia fuera del sitio principal.

9. B – La medida [mp.com.2] requiere algoritmos acreditados por el CCN (no cualquier algoritmo). TLS 1.3 es recomendado pero no obligatorio en nivel bΓ‘sico.

10. A – 99,99% = 52,56 minutos/aΓ±o de downtime mΓ‘ximo. (365 dΓ­as Γ— 24h Γ— 60min Γ— 0,01% = 52,56 min)

11. A – NIS2 clasifica a la sanidad como Β«Operador de servicios esencialesΒ» por su criticidad.

12. B – NIS2 exige notificaciΓ³n de incidentes significativos en menos de 24 horas.

13. B – CCN-CERT es el responsable de ciberseguridad del sector pΓΊblico espaΓ±ol. INCIBE-CERT es para ciudadanos/empresas privadas.

14. B – Una amenaza es un evento que puede desencadenar un incidente de seguridad. No confundir con vulnerabilidad (debilidad).

15. B – [mp.eq.1] incluye bloqueo automΓ‘tico de pantalla tras inactividad. El antivirus estΓ‘ en [mp.si] (protecciΓ³n software instalado).

16. C – Backup incremental: solo cambios desde el ΓΊltimo backup (sea cual sea: full o incremental). El diferencial copia desde el ΓΊltimo full.

17. B – Los datos de salud son categorΓ­a especial segΓΊn art. 9 RGPD, con protecciΓ³n reforzada.

18. C – La base legal es art. 9.2.h RGPD (prestaciΓ³n asistencia sanitaria). NO se necesita consentimiento para atenciΓ³n mΓ©dica normal.

19. B – SegregaciΓ³n de funciones: las funciones crΓ­ticas (autorizar, ejecutar, auditar) no deben recaer en una sola persona.

20. A – RAID 10 = RAID 1 (espejo) + RAID 0 (striping). Alta disponibilidad y rendimiento.

21. B – TDE (Transparent Data Encryption) cifra datos en reposo (almacenados en disco). TLS cifra datos en trΓ‘nsito.

22. A – CCN-STIC 805: GuΓ­a implementaciΓ³n ENS en sistemas categorΓ­a ALTA. La 804 es para MEDIA.

23. A – Riesgo MAGERIT = Valor activo Γ— Frecuencia amenaza Γ— DegradaciΓ³n (impacto sobre el activo).

24. C – El BCP es responsabilidad de la DirecciΓ³n Gerencia y ComitΓ© DirecciΓ³n, no solo de TIC (afecta a toda la organizaciΓ³n).

25. B – [mp.info.3]: Backups cifrados + pruebas periΓ³dicas de restauraciΓ³n (muy importante, un backup sin probar es SchrΓΆdinger’s backup).

26. B – CSIRT-AndalucΓ­a: Equipo de Respuesta a Incidentes de Seguridad de la Junta de AndalucΓ­a. MonitorizaciΓ³n 24/7.

27. B – Sistemas categorΓ­a ALTA (y MEDIA) se auditan cada 2 aΓ±os segΓΊn ENS.

28. B – La disponibilidad se ve afectada por fallos hardware/software, desastres, saturaciΓ³n. La A se refiere a acceso no autorizado, la C a fuga.

29. B – Snapshot SAN: copia instantΓ‘nea del volumen sin parar servicio. NO es backup off-site (sigue en misma cabina).

30. C – La PolΓ­tica de Seguridad debe aprobarla la mΓ‘xima autoridad (DirecciΓ³n Gerencia), no el RSI ni Director TIC.

πŸ“Š AutoevaluaciΓ³n de Resultados

  • 26-30 aciertos (>85%): Β‘Excelente! Tema dominado. Repasa solo lo que has fallado.
  • 21-25 aciertos (70-85%): Bien, pero necesitas repasar conceptos. Identifica lagunas y refuerza.
  • 15-20 aciertos (50-70%): Nivel insuficiente. Estudia de nuevo las secciones con mΓ‘s fallos.
  • <15 aciertos (<50%): Reestudiar el tema completo antes de continuar.

12. Mapa Conceptual del Tema

Este mapa conceptual en formato ASCII te ayudarΓ‘ a visualizar las relaciones entre los conceptos clave del tema:

╔════════════════════════════════════════════════════════════════════════════════════════╗
β•‘                    SEGURIDAD DE LAS TECNOLOGÍAS DE LA INFORMACIΓ“N - SAS                β•‘
β•šβ•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•

                                    🎯 OBJETIVOS SEGURIDAD
                                            β”‚
                    β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”Όβ”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”
                    β”‚               β”‚       β”‚       β”‚               β”‚
                β”Œβ”€β”€β”€β–Όβ”€β”€β”€β”       β”Œβ”€β”€β”€β–Όβ”€β”€β”€β” β”‚   β”Œβ”€β”€β”€β–Όβ”€β”€β”€β”       β”Œβ”€β”€β”€β–Όβ”€β”€β”€β”
                β”‚   D   β”‚       β”‚   I   β”‚ β”‚   β”‚   C   β”‚       β”‚   A   β”‚
                β”‚Disponiβ”‚       β”‚Integriβ”‚ β”‚   β”‚Confideβ”‚       β”‚Autentiβ”‚
                β”‚bilidadβ”‚       β”‚  dad  β”‚ β”‚   β”‚nciali β”‚       β”‚  cidadβ”‚
                β””β”€β”€β”€β”¬β”€β”€β”€β”˜       β””β”€β”€β”€β”¬β”€β”€β”€β”˜ β”‚   β””β”€β”€β”€β”¬β”€β”€β”€β”˜       β””β”€β”€β”€β”¬β”€β”€β”€β”˜
                    β”‚               β”‚     β”‚       β”‚               β”‚
                    β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜
                                            β”‚
                                        β”Œβ”€β”€β”€β–Όβ”€β”€β”€β”
                                        β”‚   T   β”‚
                                        β”‚Trazabiβ”‚
                                        β”‚ lidad β”‚
                                        β””β”€β”€β”€β”¬β”€β”€β”€β”˜
                                            β”‚
╔═══════════════════════════════════════════╧═══════════════════════════════════════════╗
β•‘                              πŸ“‹ MARCO NORMATIVO                                       β•‘
╠═══════════════════════════════════════════════════════════════════════════════════════╣
β•‘                                                                                       β•‘
β•‘    β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”      β•‘
β•‘    β”‚ NIVEL EUROPEO: NIS2 (2022) β†’ Sanidad = Operador Esencial                β”‚      β•‘
β•‘    β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜      β•‘
β•‘                                     β”‚                                                β•‘
β•‘    β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”      β•‘
β•‘    β”‚ NIVEL NACIONAL: ENS (RD 311/2022) + Estrategia Ciberseguridad 2019      β”‚      β•‘
β•‘    β”‚                                                                           β”‚      β•‘
β•‘    β”‚  β€’ 75 Medidas: org (Organizativas) / op (Operacionales) / mp (ProtecciΓ³n)β”‚      β•‘
β•‘    β”‚  β€’ CategorizaciΓ³n: BAJA / MEDIA / ALTA (segΓΊn dimensiones D,I,C,A,T)    β”‚      β•‘
β•‘    β”‚  β€’ AuditorΓ­a bienal sistemas MEDIA/ALTA                                  β”‚      β•‘
β•‘    β”‚  β€’ CCN-CERT: NotificaciΓ³n incidentes CRÍTICOS < 1h                       β”‚      β•‘
β•‘    β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜      β•‘
β•‘                                     β”‚                                                β•‘
β•‘    β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”      β•‘
β•‘    β”‚ NIVEL AUTONΓ“MICO: PolΓ­tica Seguridad TIC Junta + CSIRT-AndalucΓ­a         β”‚      β•‘
β•‘    β”‚                                                                           β”‚      β•‘
β•‘    β”‚  β€’ Plan Director Ciberseguridad AndalucΓ­a 2021-2025                      β”‚      β•‘
β•‘    β”‚  β€’ Programa "Hospitales Ciberseguros" (18M€, 45 hospitales SAS)          β”‚      β•‘
β•‘    β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜      β•‘
β•‘                                     β”‚                                                β•‘
β•‘    β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”      β•‘
β•‘    β”‚ SAS: PolΓ­tica EspecΓ­fica + Procedimientos Operativos                     β”‚      β•‘
β•‘    β”‚                                                                           β”‚      β•‘
β•‘    β”‚  β€’ Diraya (ALTA), Receta XXI (ALTA), Portales (MEDIA)                    β”‚      β•‘
β•‘    β”‚  β€’ ComitΓ© Seguridad TIC, RSI, CSIRT-SAS, DPO                             β”‚      β•‘
β•‘    └───────────────────────────────────────────────────────────────────────────      β•‘
β•‘                                                                                       β•‘
β•šβ•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•

╔═══════════════════════════════════════════════════════════════════════════════════════╗
β•‘                            πŸ” ANÁLISIS Y GESTIΓ“N DE RIESGOS                          β•‘
╠═══════════════════════════════════════════════════════════════════════════════════════╣
β•‘                                                                                       β•‘
β•‘                        β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”                           β•‘
β•‘                        β”‚   METODOLOGÍA MAGERIT + PILAR   β”‚                           β•‘
β•‘                        β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜                           β•‘
β•‘                                       β”‚                                               β•‘
β•‘           β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”                  β•‘
β•‘           β”‚                           β”‚                           β”‚                  β•‘
β•‘      β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”              β”Œβ”€β”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”€β”             β”Œβ”€β”€β”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”            β•‘
β•‘      β”‚ ACTIVOS  β”‚              β”‚  AMENAZAS  β”‚             β”‚ VULNERABI  β”‚            β•‘
β•‘      β”‚          β”‚              β”‚            β”‚             β”‚  LIDADES   β”‚            β•‘
β•‘      β”‚ [D01] BD │──────────────│ [T.5] Fallo│─────────────│ Falta RAIDβ”‚            β•‘
β•‘      β”‚ Diraya   β”‚   Afecta a   β”‚ hardware   β”‚  Explota    β”‚ Falta backup            β•‘
β•‘      β”‚ Valor:100β”‚              β”‚ Prob: 50   β”‚             β”‚ Config dΓ©bil            β•‘
β•‘      β””β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”˜              β””β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”˜             β””β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”˜            β•‘
β•‘           β”‚                          β”‚                            β”‚                  β•‘
β•‘           β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜                  β•‘
β•‘                          β”‚                                                           β•‘
β•‘                     β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”€β”                                                    β•‘
β•‘                     β”‚  IMPACTO  β”‚ = Valor activo Γ— DegradaciΓ³n                       β•‘
β•‘                     β””β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”˜                                                    β•‘
β•‘                          β”‚                                                           β•‘
β•‘                     β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”€β”                                                    β•‘
β•‘                     β”‚  RIESGO   β”‚ = Impacto Γ— Frecuencia amenaza                     β•‘
β•‘                     β””β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”˜                                                    β•‘
β•‘                          β”‚                                                           β•‘
β•‘                     β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”                                                β•‘
β•‘                     β”‚ SALVAGUARDAS  β”‚ (Medidas de seguridad)                         β•‘
β•‘                     β”‚               β”‚                                                β•‘
β•‘                     β”‚ β€’ [op.exp.4]  β”‚ Backup diario                                  β•‘
β•‘                     β”‚ β€’ [mp.eq.4]   β”‚ RAID 10 + HA                                   β•‘
β•‘                     β”‚ β€’ [op.cont.1] β”‚ Plan continuidad                               β•‘
β•‘                     β””β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜                                                β•‘
β•‘                          β”‚                                                           β•‘
β•‘                     β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”                                                β•‘
β•‘                     β”‚ RIESGO        β”‚ (Reducido tras salvaguardas)                   β•‘
β•‘                     β”‚ RESIDUAL      β”‚                                                β•‘
β•‘                     β”‚               β”‚                                                β•‘
β•‘                     β”‚ ΒΏAceptable?   β”‚ ──> SÍ: ProducciΓ³n / NO: MΓ‘s medidas          β•‘
β•‘                     β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜                                                β•‘
β•‘                                                                                       β•‘
β•šβ•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•

╔═══════════════════════════════════════════════════════════════════════════════════════╗
β•‘                              πŸ›‘οΈ MEDIDAS DE SEGURIDAD                                 β•‘
╠═══════════════════════════════════════════════════════════════════════════════════════╣
β•‘                                                                                       β•‘
β•‘    β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”¬β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”    β•‘
β•‘    β”‚     FÍSICAS      β”‚    TΓ‰CNICAS      β”‚  ORGANIZATIVAS   β”‚     LEGALES      β”‚    β•‘
β•‘    β”œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€    β•‘
β•‘    β”‚ β€’ CPD seguro     β”‚ β€’ Firewall       β”‚ β€’ PolΓ­tica Seg.  β”‚ β€’ ENS (RD 311)   β”‚    β•‘
β•‘    β”‚ β€’ Control acceso β”‚ β€’ IDS/IPS        β”‚ β€’ Normativa      β”‚ β€’ RGPD + LOPDGDD β”‚    β•‘
β•‘    β”‚ β€’ BiometrΓ­a      β”‚ β€’ Cifrado        β”‚ β€’ Procedimientos β”‚ β€’ Ley 41/2002    β”‚    β•‘
β•‘    β”‚ β€’ Videovigilanciaβ”‚ β€’ Antivirus/EDR  β”‚ β€’ Roles          β”‚ β€’ NIS2           β”‚    β•‘
β•‘    β”‚ β€’ ExtinciΓ³n gas  β”‚ β€’ Backup         β”‚ β€’ FormaciΓ³n      β”‚ β€’ Ley 39/2015    β”‚    β•‘
β•‘    β”‚ β€’ SAI + Grupo    β”‚ β€’ VPN            β”‚ β€’ AuditorΓ­as     β”‚ β€’ ENI            β”‚    β•‘
β•‘    β”‚ β€’ ClimatizaciΓ³n  β”‚ β€’ 2FA/MFA        β”‚ β€’ ComitΓ©s        β”‚                  β”‚    β•‘
β•‘    β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”΄β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜    β•‘
β•‘                                                                                       β•‘
β•‘                          Medidas ENS (75 controles)                                  β•‘
β•‘                                    β”‚                                                 β•‘
β•‘              β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”Όβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”                           β•‘
β•‘              β”‚                     β”‚                     β”‚                           β•‘
β•‘         β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”           β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”           β”Œβ”€β”€β”€β”€β–Όβ”€β”€β”€β”€β”                     β•‘
β•‘         β”‚   org   β”‚           β”‚   op    β”‚           β”‚   mp    β”‚                     β•‘
β•‘         β”‚Organiza β”‚           β”‚Operacio β”‚           β”‚ProtecciΓ³n                     β•‘
β•‘         β”‚  tivas  β”‚           β”‚  nales  β”‚           β”‚         β”‚                     β•‘
β•‘         β”‚         β”‚           β”‚         β”‚           β”‚         β”‚                     β•‘
β•‘         β”‚27 medid β”‚           β”‚24 medid β”‚           β”‚24 medid β”‚                     β•‘
β•‘         β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜           β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜           β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜                     β•‘
β•‘                                                                                       β•‘
β•šβ•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•

╔═══════════════════════════════════════════════════════════════════════════════════════╗
β•‘                   πŸ’Ύ RESPALDO Y CONTINUIDAD (BACKUP + DR + BC)                        β•‘
╠═══════════════════════════════════════════════════════════════════════════════════════╣
β•‘                                                                                       β•‘
β•‘   β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”        β•‘
β•‘   β”‚                     ESTRATEGIA BACKUP 3-2-1-1-0                          β”‚        β•‘
β•‘   β”‚                                                                           β”‚        β•‘
β•‘   β”‚     3 Copias β†’ ProducciΓ³n + 2 backups                                    β”‚        β•‘
β•‘   β”‚     2 Soportes β†’ Disco + Cinta                                           β”‚        β•‘
β•‘   β”‚     1 Off-site β†’ CPD alternativo o bΓΊnker                                β”‚        β•‘
β•‘   β”‚     1 Offline β†’ Air-gapped (anti-ransomware)                             β”‚        β•‘
β•‘   β”‚     0 Errores β†’ Pruebas restore trimestrales obligatorias                β”‚        β•‘
β•‘   └───────────────────────────────────────────────────────────────────────────        β•‘
β•‘                                                                                       β•‘
β•‘   β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”        β•‘
β•‘   β”‚                    TIPOS DE BACKUP                                       β”‚        β•‘
β•‘   β”‚                                                                           β”‚        β•‘
β•‘   β”‚  Full (Completo) ──────> Todo           β”Œβ”€β”€> Domingos 00:00              β”‚        β•‘
β•‘   β”‚  Incremental ──────────> Ξ” desde ΓΊltimo └──> Lunes-SΓ‘bado 02:00          β”‚        β•‘
β•‘   β”‚  Diferencial ──────────> Ξ” desde full   ──> Alternativa a incremental    β”‚        β•‘
β•‘   β”‚  Snapshot (SAN) ───────> InstantΓ‘neo    ──> Antes de cambios crΓ­ticos    β”‚        β•‘
β•‘   └───────────────────────────────────────────────────────────────────────────        β•‘
β•‘                                                                                       β•‘
β•‘   β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”        β•‘
β•‘   β”‚                 PLAN DE CONTINGENCIA TIC (DR)                            β”‚        β•‘
β•‘   β”‚                                                                           β”‚        β•‘
β•‘   β”‚  RPO (Recovery Point Objective)  ──> Dato perdido tolerable (ej: 15 min)β”‚        β•‘
β•‘   β”‚  RTO (Recovery Time Objective)   ──> Tiempo restauraciΓ³n (ej: 4 horas)  β”‚        β•‘
β•‘   β”‚                                                                           β”‚        β•‘
β•‘   β”‚  Hot Site  ─> CPD duplicado + replicaciΓ³n real-time ──> RTO < 1h        β”‚        β•‘
β•‘   β”‚  Warm Site ─> CPD preparado + restore backup    ──> RTO 4-12h           β”‚        β•‘
β•‘   β”‚  Cold Site ─> Espacio fΓ­sico bΓ‘sico              ──> RTO > 72h           β”‚        β•‘
β•‘   └───────────────────────────────────────────────────────────────────────────        β•‘
β•‘                                                                                       β•‘
β•‘   β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”        β•‘
β•‘   β”‚           ALTA DISPONIBILIDAD (HA) vs CONTINUIDAD (BC)                  β”‚        β•‘
β•‘   β”‚                                                                           β”‚        β•‘
β•‘   β”‚  HA: Minimizar downtime componente  β”‚ BC: Operar tras desastre mayor    β”‚        β•‘
β•‘   β”‚      Clustering, failover, RAID     β”‚     CPD alternativo, papel backup  β”‚        β•‘
β•‘   β”‚      99.99% = 52 min/aΓ±o downtime   β”‚     RTO/RPO del negocio           β”‚        β•‘
β•‘   └───────────────────────────────────────────────────────────────────────────        β•‘
β•‘                                                                                       β•‘
β•šβ•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•

╔═══════════════════════════════════════════════════════════════════════════════════════╗
β•‘                      🌐 ESTRATEGIAS DE CIBERSEGURIDAD                                β•‘
╠═══════════════════════════════════════════════════════════════════════════════════════╣
β•‘                                                                                       β•‘
β•‘   EUROPA: NIS2 (2022) ──────> Sanidad = Operador Esencial                            β•‘
β•‘           ENISA         ──────> GuΓ­as tΓ©cnicas ciberseguridad hospitales              β•‘
β•‘                                                                                       β•‘
β•‘   ESPAΓ‘A: Estrategia Nacional Ciberseguridad 2019                                    β•‘
β•‘           CCN-CERT ──────────> Sector pΓΊblico (SAS reporta aquΓ­)                     β•‘
β•‘           INCIBE-CERT ───────> Ciudadanos/empresas privadas                          β•‘
β•‘           GuΓ­as CCN-STIC ────> 804 (MEDIA), 805 (ALTA), 807 (Cripto), 817 (Incid.) β•‘
β•‘                                                                                       β•‘
β•‘   ANDALUCÍA: Plan Director Ciberseguridad 2021-2025                                  β•‘
β•‘              CSIRT-AndalucΓ­a ──> SOC 24/7, respuesta incidentes                      β•‘
β•‘              Programa "Hospitales Ciberseguros" ──> 18M€, 45 hospitales, NIS2 ready  β•‘
β•‘                                                                                       β•‘
β•‘   SAS: PolΓ­tica Seguridad TIC especΓ­fica                                             β•‘
β•‘        ComitΓ© Seguridad TIC (trimestral)                                             β•‘
β•‘        CSIRT-SAS (permanente)                                                        β•‘
β•‘        FormaciΓ³n obligatoria anual (100.000+ profesionales)                          β•‘
β•‘        Simulacros phishing trimestrales                                              β•‘
β•‘                                                                                       β•‘
β•šβ•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•β•

              β”Œβ”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”
              β”‚         🎯 OBJETIVO FINAL: SEGURIDAD             β”‚
              β”‚                 INTEGRAL SAS                      β”‚
              β”‚                                                  β”‚
              β”‚  Proteger D,I,C,A,T de sistemas que sostienen    β”‚
              β”‚  asistencia sanitaria a 8,5M andaluces           β”‚
              β”‚                                                  β”‚
              β”‚  Cumplimiento ENS + NIS2 + RGPD                  β”‚
              β”‚  Disponibilidad 99.99% sistemas crΓ­ticos         β”‚
              β”‚  Respuesta incidentes < 1h (CRÍTICOS)            β”‚
              β”‚  RPO Diraya: 15 min | RTO Diraya: 4h            β”‚
              β”‚                                                  β”‚
              β”‚  β–Ί Prevenir β–Ί Detectar β–Ί Responder β–Ί Recuperar  β”‚
              β””β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”€β”˜

πŸ’‘ CΓ³mo Usar este Mapa Conceptual

Este mapa es tu "vista de pÑjaro" del tema. Úsalo para:

  • Repasos rΓ‘pidos: Revisar todas las relaciones en 5 minutos
  • Antes del examen: Refresco visual final antes de entrar
  • Detectar lagunas: Si algo del mapa no lo entiendes, vuelve a esa secciΓ³n
  • Crear tu propio mapa: DibΓΊjalo a mano con tus propias palabras (tΓ©cnica muy potente)

13. Referencias Normativas y BibliogrΓ‘ficas

Normativa EspaΓ±ola

  • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS). BOE nΓΊm. 106, de 4 de mayo de 2022.
  • Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo ComΓΊn de las Administraciones PΓΊblicas. BOE nΓΊm. 236, de 2 de octubre de 2015.
  • Ley 40/2015, de 1 de octubre, de RΓ©gimen JurΓ­dico del Sector PΓΊblico. BOE nΓΊm. 236, de 2 de octubre de 2015.
  • Ley OrgΓ‘nica 3/2018, de 5 de diciembre, de ProtecciΓ³n de Datos Personales y garantΓ­a de los derechos digitales (LOPDGDD). BOE nΓΊm. 294, de 6 de diciembre de 2018.
  • Ley 41/2002, de 14 de noviembre, bΓ‘sica reguladora de la autonomΓ­a del paciente y de derechos y obligaciones en materia de informaciΓ³n y documentaciΓ³n clΓ­nica. BOE nΓΊm. 274, de 15 de noviembre de 2002.
  • Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. BOE nΓΊm. 22, de 26 de enero de 2021.
  • Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el Γ‘mbito de la AdministraciΓ³n ElectrΓ³nica (ENS v1, derogado pero referencia histΓ³rica).

Normativa Europea

  • Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecciΓ³n de las personas fΓ­sicas en lo que respecta al tratamiento de datos personales (RGPD). DOUE L 119/1, de 4 de mayo de 2016.
  • Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel comΓΊn de ciberseguridad en toda la UniΓ³n (Directiva NIS2). DOUE L 333/80, de 27 de diciembre de 2022.
  • Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificaciΓ³n electrΓ³nica y los servicios de confianza para las transacciones electrΓ³nicas en el mercado interior (eIDAS). DOUE L 257/73, de 28 de agosto de 2014.

Normativa Andaluza

  • Decreto 534/2021, de 13 de julio, por el que se aprueba el Reglamento de la AdministraciΓ³n ElectrΓ³nica del Servicio Andaluz de Salud. BOJA nΓΊm. 136, de 16 de julio de 2021.
  • Orden de 21 de febrero de 2005, por la que se aprueba la PolΓ­tica de Seguridad de las TecnologΓ­as de la InformaciΓ³n y Comunicaciones en la AdministraciΓ³n de la Junta de AndalucΓ­a. BOJA nΓΊm. 48, de 9 de marzo de 2005 (actualizada).
  • Decreto 611/2020, de 24 de junio, por el que se desarrolla el rΓ©gimen jurΓ­dico de las organizaciones del Sistema Sanitario PΓΊblico de AndalucΓ­a. BOJA nΓΊm. 122, de 26 de junio de 2020.

GuΓ­as TΓ©cnicas CCN-STIC (Centro CriptolΓ³gico Nacional)

  • CCN-STIC 804: GuΓ­a de ImplantaciΓ³n del ENS - CategorΓ­a MEDIA. VersiΓ³n 3.1, octubre 2023.
  • CCN-STIC 805: GuΓ­a de ImplantaciΓ³n del ENS - CategorΓ­a ALTA. VersiΓ³n 3.1, octubre 2023.
  • CCN-STIC 807: CriptologΓ­a de Empleo en el Esquema Nacional de Seguridad. VersiΓ³n 2.6, agosto 2023.
  • CCN-STIC 808: VerificaciΓ³n del cumplimiento de las medidas del ENS. VersiΓ³n 2.2, junio 2023.
  • CCN-STIC 817: GestiΓ³n de Ciberincidentes. VersiΓ³n 4.1, febrero 2023.
  • CCN-STIC 825: Esquema Nacional de EvaluaciΓ³n y CertificaciΓ³n de la Seguridad de las TecnologΓ­as de la InformaciΓ³n. VersiΓ³n 1.0, diciembre 2018.
  • MAGERIT v3.0: MetodologΓ­a de AnΓ‘lisis y GestiΓ³n de Riesgos de los Sistemas de InformaciΓ³n. Ministerio de Hacienda y FunciΓ³n PΓΊblica, 2012 (con actualizaciones).

Normas TΓ©cnicas ISO/IEC

  • ISO/IEC 27001:2022 - Sistemas de gestiΓ³n de seguridad de la informaciΓ³n. Requisitos.
  • ISO/IEC 27002:2022 - CΓ³digo de buenas prΓ‘cticas para controles de seguridad de la informaciΓ³n.
  • ISO/IEC 27005:2022 - GestiΓ³n de riesgos de seguridad de la informaciΓ³n.
  • ISO 27799:2016 - GestiΓ³n de la seguridad de la informaciΓ³n en la salud usando ISO/IEC 27002.
  • ISO/IEC 20000-1:2018 - GestiΓ³n de servicios de tecnologΓ­as de la informaciΓ³n (ITSM).
  • ISO 22301:2019 - Sistemas de gestiΓ³n de continuidad del negocio. Requisitos.

DocumentaciΓ³n ENISA (Agencia Europea Ciberseguridad)

  • ENISA (2020): "Procurement Guidelines for Cybersecurity in Hospitals". Diciembre 2020.
  • ENISA (2023): "ENISA Threat Landscape for the Healthcare Sector". Junio 2023.
  • ENISA (2023): "Good Practices for Security of Internet of Things in the context of Smart Manufacturing". Marzo 2023 (aplicable IoT mΓ©dico).

BibliografΓ­a General de Seguridad InformΓ‘tica

  • Kim, G. et al. (2019). "The Phoenix Project: A Novel about IT, DevOps, and Helping Your Business Win". IT Revolution Press.
  • Anderson, R. (2020). "Security Engineering: A Guide to Building Dependable Distributed Systems". 3rd Edition. Wiley.
  • Shostack, A. (2014). "Threat Modeling: Designing for Security". Wiley.
  • Stallings, W. & Brown, L. (2023). "Computer Security: Principles and Practice". 5th Edition. Pearson.
  • NIST (2020). "Framework for Improving Critical Infrastructure Cybersecurity". Version 1.1.

Recursos Online SAS y Junta de AndalucΓ­a

⚠️ Nota Importante sobre Actualizaciones Normativas

La normativa de seguridad y protecciΓ³n de datos estΓ‘ en constante evoluciΓ³n. Es responsabilidad del opositor:

  • Verificar la vigencia de las normas citadas en este tema
  • Consultar el BOE/BOJA para actualizaciones recientes
  • Revisar las guΓ­as CCN-STIC mΓ‘s recientes (se actualizan periΓ³dicamente)
  • Estar al tanto de noticias de ciberseguridad que puedan afectar al SAS

Recomendamos suscribirse a alertas de CCN-CERT e INCIBE-CERT para estar al dΓ­a.

Tema 35: La Seguridad de las TecnologΓ­as de la InformaciΓ³n

Oposiciones TΓ©cnico Especialista en InformΓ‘tica - Servicio Andaluz de Salud

Material elaborado por Esteban Castro - Preparador de Oposiciones SAS
Este material tiene finalidad exclusivamente educativa para la preparaciΓ³n de oposiciones.
Actualizado a normativa vigente a diciembre 2025.

Β‘Mucho Γ‘nimo en tu preparaciΓ³n! πŸ’ͺ La plaza merece el esfuerzo.

Publicaciones relacionadas

A2.2 CUERPO DE TΓ‰CNICAS Y TΓ‰CNICOS DE GRADO MEDIO DE LA JUNTA DE ANDALUCÍA INFORMATICA (Acceso Libre) (A2.2012) (O.E.P. ORDINARIA 2018 Y ESTABILIZACIΓ“N 2017/2019)

Esteban Castro

Cuestionario Completo SAS TΓ‰CNICO/A DE FUNCIΓ“N ADMINISTRATIVA, ECONOMÍA/ESTADÍSTICA / OEP 2025 / ACCESO LIBRE

Esteban Castro

Temario comΓΊn. Tema 9. Ley 41/2002, de 14 de noviembre, bΓ‘sica reguladora de la autonomΓ­a del paciente y de derechos y obligaciones en materia de informaciΓ³n y documentaciΓ³n clΓ­nica: principios generales; el derecho de informaciΓ³n sanitaria; derecho a la intimidad; el respeto de la autonomΓ­a del paciente y el consentimiento informado; la historia clΓ­nica; el informe de alta y otra documentaciΓ³n clΓ­nica. La tarjeta sanitaria de AndalucΓ­a.

Esteban Castro