1. INTRODUCCIÓN: EL ENTORNO DIGITAL DE TRABAJO EN EL SAS

El desempeño profesional en el Servicio Andaluz de Salud se apoya de manera creciente en las Tecnologías de la Información y las Comunicaciones. La actividad diaria de una persona telefonista ya no se limita a una central telefónica aislada: utiliza un puesto informático conectado a la red corporativa, consulta directorios y aplicaciones, recibe comunicaciones por correo electrónico, puede necesitar acceder a la Intranet, tramitar una incidencia informática, gestionar sus credenciales, participar en una reunión virtual o realizar actividades formativas en línea. Todo ello se realiza dentro de un entorno corporativo en el que la seguridad, la identificación del usuario y la protección de la información constituyen requisitos esenciales.

Este tema debe estudiarse como un circuito de trabajo digital. Primero existe una identidad profesional que permite autenticar al usuario; después se conceden los permisos necesarios para acceder a cada aplicación; el profesional dispone de herramientas de productividad y comunicación; cuando surge una necesidad interviene el servicio de soporte TIC; y todo el conjunto está sometido a normas de seguridad, protección de datos y uso responsable. Finalmente, la propia Administración facilita formación para que el profesional mantenga actualizadas sus competencias.

La importancia de esta distinción es práctica. Una persona puede disponer correctamente de su identidad digital y entrar en el puesto de trabajo, pero no tener permiso para utilizar determinada aplicación porque ese acceso depende de sus funciones, del centro, de la unidad o del perfil profesional asignado. En ese caso, cambiar la contraseña no solucionará el problema: deberá tramitarse la correspondiente petición de acceso. Del mismo modo, una aplicación puede estar temporalmente fuera de servicio aunque las credenciales sean correctas; estaremos entonces ante una incidencia, no ante un problema de identidad.

En el SAS, el punto de referencia para estas necesidades es ayudaDIGITAL, servicio de soporte integral TIC dirigido a acercar la tecnología a los profesionales y facilitar el funcionamiento cotidiano de sistemas, equipos y aplicaciones. El temario oficial concede a este servicio una posición central y el propio examen ha demostrado que no basta con saber que existe: se pregunta su nombre, la herramienta de gestión de contraseñas, el cliente de correo electrónico, la Intranet, la VPN o determinados aspectos del Código de Conducta.

La seguridad tiene una relevancia especial porque los sistemas sanitarios manejan información especialmente sensible y prestan servicios que no pueden interrumpirse de manera arbitraria. Una infección por código malicioso, el robo de una contraseña o un ataque de phishing no son únicamente problemas informáticos: pueden impedir la citación de pacientes, afectar a sistemas asistenciales, interrumpir comunicaciones o generar accesos ilegítimos a información protegida. Por ello, la ciberseguridad debe considerarse una responsabilidad compartida entre los servicios técnicos y cada uno de los profesionales que utiliza los sistemas.

Para una persona telefonista este principio es especialmente importante. Su puesto se encuentra en un nodo crítico de comunicación del centro. Aunque no desempeñe funciones clínicas, puede manejar directorios internos, datos profesionales, extensiones, incidencias, comunicaciones operativas y sistemas cuya disponibilidad resulta esencial durante situaciones ordinarias y de emergencia. La persona telefonista no debe intentar solucionar por procedimientos improvisados un problema que afecte a la seguridad, ni facilitar credenciales a otra persona para evitar una incidencia de acceso. El cauce adecuado es utilizar los procedimientos corporativos.

El segundo gran bloque del tema es la formación. El SSPA dispone de estructuras y herramientas para identificar necesidades, planificar actividades, realizar inscripciones, impartir formación presencial o virtual, evaluar el aprendizaje y acreditar las actividades superadas. La formación continuada no debe entenderse como un elemento separado del puesto de trabajo: es el mecanismo mediante el que el profesional mantiene y amplía las competencias necesarias para utilizar nuevas aplicaciones, aplicar procedimientos actualizados y responder adecuadamente a los cambios tecnológicos y organizativos.

El enfoque adecuado para el examen consiste, por tanto, en aprender qué herramienta sirve para cada necesidad. ayudaDIGITAL se vincula al soporte; AGESCON a la gestión de contraseñas; la Intranet a contenidos y aplicaciones internas; Thunderbird y Webmail al correo corporativo; SARAC y VPN al acceso remoto; Zoom a comunicación y colaboración; GESFORMA a la gestión de la formación continuada. Memorizar esta asociación función-herramienta permite resolver numerosas preguntas incluso cuando los distractores utilizan nombres técnicamente plausibles.

2. AYUDADIGITAL: SERVICIO DE SOPORTE INTEGRAL TIC

ayudaDIGITAL es el servicio de soporte integral de Tecnologías de la Información y Comunicaciones del Servicio Andaluz de Salud dirigido a los profesionales. Su finalidad es proporcionar un punto de relación entre los usuarios y los servicios TIC, facilitar la resolución de problemas, gestionar peticiones y poner a disposición del profesional información, recursos de capacitación y mecanismos de autoservicio.

Su concepción supera la antigua idea de un servicio de asistencia que únicamente recibe llamadas cuando “el ordenador no funciona”. El soporte actual se organiza mediante diferentes canales y combina atención humana, gestión electrónica de solicitudes, documentación de ayuda, buscadores de soluciones, aplicaciones móviles, avisos, capacitación y procedimientos automáticos para determinadas operaciones. Esta orientación responde al concepto de soporte omnicanal: el usuario puede utilizar diferentes medios según el tipo de necesidad, la situación en la que se encuentre y la disponibilidad de su puesto de trabajo.

El portal ayudaDIGITAL organiza la información en áreas dedicadas, entre otras materias, a aplicaciones, capacitación y ciberseguridad. Para una persona que se incorpora al SAS resulta también una puerta de entrada para conocer su usuario profesional, el correo corporativo, las herramientas disponibles y las principales pautas de seguridad. Desde la perspectiva de oposición interesa recordar que ayudaDIGITAL actúa tanto ante una incidencia como ante una petición.

El Área Personal de ayudaDIGITAL permite al profesional registrar y consultar solicitudes y realizar su seguimiento. Este seguimiento es importante porque evita duplicar incidencias: ante un fallo ya comunicado no debe generarse repetidamente una nueva solicitud por cada comprobación. Lo adecuado es consultar el estado de la existente y aportar información adicional cuando sea necesario.

Además, el servicio incorpora mecanismos de autoresolución. Esto significa que determinadas dudas frecuentes disponen de procedimientos documentados para que el propio profesional pueda resolverlas sin intervención directa de un técnico. La autoresolución es apropiada cuando existe una guía corporativa y la actuación está autorizada. No significa improvisar modificaciones en el sistema, instalar programas por cuenta propia ni alterar configuraciones críticas.

Los canales disponibles pueden evolucionar con el tiempo. En el entorno actual del SAS se combinan el Área Personal, el portal web, canales móviles, atención telefónica, correo corporativo y otras vías digitales habilitadas por ayudaDIGITAL. Para el examen es más importante comprender la función del servicio que memorizar un número de teléfono susceptible de modificación contractual. El profesional debe utilizar siempre el canal corporativo que figure habilitado en cada momento.

Cuando se registra una incidencia resulta esencial describir correctamente el problema. Un mensaje como “no funciona” obliga al soporte a solicitar información adicional y retrasa la resolución. Debe indicarse qué aplicación o componente está afectado, qué acción se estaba realizando, qué mensaje aparece, desde qué puesto se produce, desde cuándo ocurre y si afecta únicamente a una persona o a varios usuarios. Si existe un número de solicitud, debe conservarse para facilitar el seguimiento.

La persona usuaria tampoco debe ocultar circunstancias relevantes. Si el fallo apareció inmediatamente después de conectar un dispositivo, abrir un fichero o realizar determinada acción, esa información puede ser decisiva. La comunicación con soporte debe ser objetiva: describir hechos, no diagnosticar técnicamente el problema sin evidencias.

La función del soporte adquiere especial relevancia ante incidencias que afecten a servicios esenciales. La persona telefonista debe conocer los procedimientos de contingencia de su centro y distinguir entre una avería ordinaria y una afectación que comprometa el funcionamiento de comunicaciones críticas. Si una incidencia tecnológica repercute en la capacidad para recibir o transferir llamadas urgentes, localizar profesionales o ejecutar una secuencia prevista en el plan de emergencia, deberá aplicarse además la cadena de comunicación interna establecida por el centro.

3. IDENTIDAD Y CREDENCIALES DE ACCESO: USUARIO DMSAS Y AGESCON

El acceso seguro a los recursos digitales comienza con una identidad profesional. En el SAS, el usuario corporativo DMSAS constituye una de las credenciales fundamentales utilizadas por los profesionales para identificarse ante numerosos servicios y aplicaciones. La cuenta se vincula a la persona y no al puesto físico desde el que trabaja.

Esta idea evita un error habitual: confundir ordenador con usuario. Dos profesionales pueden utilizar sucesivamente el mismo puesto físico, pero cada uno debe iniciar sesión con sus propias credenciales cuando el sistema así lo requiera. Del mismo modo, un profesional puede utilizar distintos equipos manteniendo su identidad individual. La trazabilidad de las actuaciones exige precisamente que pueda conocerse qué usuario realizó cada operación.

La contraseña asociada a la cuenta profesional actúa como elemento de autenticación. Debe mantenerse secreta y utilizarse únicamente por su titular. Es contrario a las reglas básicas de seguridad escribirla en un papel visible junto al terminal, facilitarla a un compañero, enviarla por correo electrónico o utilizar una contraseña ajena porque “la aplicación no deja entrar”. Estas prácticas eliminan la trazabilidad y pueden permitir accesos indebidos.

Cuando se necesita cambiar o recuperar la contraseña entra en juego AGESCON, aplicación de gestión de contraseñas utilizada en el SAS para facilitar la autogestión de la cuenta profesional. Su utilidad reside en permitir que el propio usuario realice determinadas operaciones sin tener que depender siempre de una intervención manual del soporte.

No debe confundirse cambio de contraseña con solicitud de autorización para una aplicación. Si el usuario se autentica correctamente pero recibe un mensaje de falta de permisos, probablemente su contraseña funciona: lo que falta es una autorización. Si, por el contrario, el sistema rechaza las credenciales en todos los servicios que utilizan esa identidad, será razonable comprobar el estado de la cuenta o gestionar la contraseña.

Algunos servicios remotos pueden exigir, además de las credenciales ordinarias, un certificado digital personal. El certificado es un mecanismo distinto de la contraseña. Se trata de una credencial electrónica que vincula datos de verificación con una persona y permite acreditar su identidad en determinados procedimientos o accesos. Debe custodiarse con el mismo rigor que cualquier otro mecanismo de autenticación.

El bloqueo de sesión es otra medida básica. Cuando una persona se ausenta del puesto debe impedir que un tercero pueda continuar utilizando la sesión autenticada. Cerrar o bloquear la sesión no es una formalidad: protege la información, mantiene la trazabilidad y evita que una actuación realizada por otra persona quede registrada bajo el usuario equivocado.

En una central telefónica con actividad continua pueden existir cambios de turno frecuentes. Precisamente por ello es importante que el relevo incluya la correcta finalización o bloqueo de las sesiones personales y el inicio de las nuevas sesiones por quien corresponda. El hecho de que el equipo permanezca encendido no justifica mantener abierta indefinidamente una identidad individual.

4. CORREO ELECTRÓNICO CORPORATIVO E INTRANET DEL SAS

El correo electrónico corporativo es uno de los principales medios de comunicación profesional. Debe diferenciarse del correo particular. La cuenta corporativa está destinada al ejercicio de las funciones profesionales y permite recibir comunicaciones institucionales, notificaciones internas, información de servicios, convocatorias y mensajes relacionados con la actividad laboral.

El acceso puede realizarse mediante herramientas corporativas de correo web o mediante un cliente de correo configurado para la cuenta profesional. En el entorno SAS, Mozilla Thunderbird ha tenido y mantiene una presencia destacada como cliente de correo electrónico. El examen oficial ha preguntado repetidamente por él, lo que convierte su identificación en una perla clara.

Un cliente de correo permite redactar mensajes, responder, reenviar, organizar carpetas y utilizar una libreta de direcciones. Deben conocerse también los campos básicos de direccionamiento: Para, CC y CCO. El campo Para identifica a los destinatarios principales; CC permite enviar copia visible a otros destinatarios; CCO envía una copia sin que la dirección de ese destinatario quede visible para los demás receptores.

La copia oculta debe utilizarse de manera consciente. No es un mecanismo para ocultar comunicaciones de forma arbitraria, sino una funcionalidad del correo que, entre otros usos, evita revelar innecesariamente listas de direcciones a otros destinatarios. Cuando se remite información a múltiples personas debe respetarse siempre el principio de minimización y las reglas corporativas de protección de datos.

El correo también es uno de los principales vectores de ciberataque. La existencia de logotipos corporativos, una firma aparentemente correcta o un remitente visualmente parecido al real no garantiza que el mensaje sea legítimo. Los ataques de ingeniería social se diseñan precisamente para explotar la confianza, la urgencia o la curiosidad de la persona usuaria.

En relación con el manejo práctico de Thunderbird, el SAS ha llegado a preguntar atajos concretos. Estos datos pueden depender de la herramienta y de su configuración, por lo que deben estudiarse cuando forman parte del material oficial, pero no deben extrapolarse sin más a otros clientes.

La Intranet del SAS es conceptualmente diferente del correo. Una intranet es una red o entorno privado que utiliza tecnologías propias de Internet pero restringe el acceso a usuarios autorizados de una organización. En el SAS ofrece contenidos internos y acceso a recursos relacionados con el trabajo profesional. La información puede estructurarse en áreas funcionales y proporcionar enlaces a aplicaciones corporativas, documentación y servicios de interés.

En la práctica profesional, el correo no debe emplearse para eludir los canales establecidos. Si una incidencia informática debe registrarse mediante ayudaDIGITAL, enviar únicamente un correo informal a un compañero del servicio técnico puede impedir su correcta trazabilidad. Igualmente, si una aplicación dispone de un circuito formal para solicitar acceso, la petición debe tramitarse mediante ese circuito.

5. CIBERSEGURIDAD: POLÍTICA DE SEGURIDAD Y CÓDIGO DE CONDUCTA TIC

La ciberseguridad comprende el conjunto de medidas organizativas, técnicas y humanas destinadas a proteger los sistemas, redes, equipos, servicios y datos frente a accesos no autorizados, alteraciones, pérdidas, interrupciones o ataques. En una organización sanitaria su finalidad no es únicamente proteger ordenadores. La continuidad de los sistemas digitales puede repercutir directamente en la capacidad de prestar servicios y en la seguridad de pacientes y profesionales.

La seguridad de la información suele explicarse mediante tres propiedades esenciales: confidencialidad, integridad y disponibilidad. La confidencialidad impide que la información sea conocida por quien no está autorizado; la integridad pretende que los datos no sean alterados de forma indebida; y la disponibilidad garantiza que los sistemas y la información estén accesibles cuando resulten necesarios. En el SAS las tres dimensiones son críticas.

El marco actual de seguridad de las Administraciones Públicas se encuentra condicionado por el Esquema Nacional de Seguridad, regulado actualmente por el Real Decreto 311/2022, de 3 de mayo. El ENS establece principios y requisitos para una protección adecuada de la información y de los servicios electrónicos. Los documentos internos de seguridad del SAS deben interpretarse dentro de este marco y del resto de normativa aplicable en materia de protección de datos y seguridad digital.

La Política de Seguridad TIC del SAS constituye el documento de referencia mediante el que la organización establece sus principios, responsabilidades y objetivos generales de seguridad. Una política no describe necesariamente cómo configurar técnicamente cada equipo; fija el marco que después se desarrolla mediante normas, procedimientos e instrucciones.

Complementariamente existe el Código de Conducta en el uso de las Tecnologías de la Información y la Comunicación para profesionales públicos de la Administración de la Junta de Andalucía, aprobado por Resolución de 22 de octubre de 2020 de la Secretaría General para la Administración Pública. El SAS adopta estas reglas para establecer comportamientos adecuados en el uso de los recursos TIC.

Entre los principios que inspiran el uso adecuado de las TIC se encuentran el servicio a la ciudadanía, la responsabilidad y profesionalidad, la seguridad, la protección de los datos personales, la eficiencia en el empleo de recursos públicos y la accesibilidad. Estos principios permiten comprender por qué determinadas conductas están prohibidas aunque parezcan cómodas desde el punto de vista del usuario.

Por ejemplo, compartir una contraseña puede acelerar aparentemente una tarea, pero destruye la trazabilidad y compromete la seguridad. Instalar software no autorizado puede parecer útil, pero introduce riesgos técnicos y legales. Guardar documentos corporativos en una cuenta particular puede facilitar el trabajo desde distintos dispositivos, pero deja la información fuera del control de la organización. La seguridad exige valorar no solo la comodidad inmediata, sino las consecuencias sobre todo el sistema.

Las sesiones de las aplicaciones deben finalizarse mediante el procedimiento adecuado. Cerrar únicamente una ventana no siempre garantiza que la sesión del servidor quede correctamente cerrada. Esta distinción ha sido utilizada directamente como trampa en examen.

El Código de Conducta no debe estudiarse como una relación aislada de prohibiciones. Su lógica consiste en proteger a la ciudadanía, al profesional y a la Administración. El usuario tiene una responsabilidad real sobre los recursos que utiliza: debe cuidarlos, emplearlos para finalidades autorizadas, proteger sus credenciales, respetar la confidencialidad y comunicar las incidencias de seguridad que detecte.

6. MEDIDAS PREVENTIVAS, CONCIENCIACIÓN Y BUENAS PRÁCTICAS

Las medidas de ciberseguridad pueden dividirse en medidas técnicas y medidas organizativas, pero muchas de las más eficaces dependen directamente del comportamiento de la persona usuaria. Ningún antivirus puede compensar por completo una contraseña compartida, la apertura indiscriminada de adjuntos o el envío de información sensible a una cuenta privada.

Una de las amenazas más conocidas es el phishing. Consiste en intentar engañar a la víctima mediante un mensaje, sitio o comunicación aparentemente legítimos para conseguir información, credenciales o alguna actuación perjudicial. El atacante puede imitar el aspecto de una entidad conocida, provocar sensación de urgencia o solicitar que se pulse un enlace y se introduzcan las credenciales.

Ante un correo sospechoso debe comprobarse el remitente, analizar el contexto, evitar abrir adjuntos o enlaces dudosos y desconfiar especialmente de peticiones de contraseñas, cambios urgentes de datos o solicitudes inhabituales. Si existe duda, se verifica por un canal independiente. No debe responderse al mismo mensaje preguntando al supuesto remitente si es auténtico, porque la respuesta puede llegar al propio atacante.

Otra medida esencial consiste en mantener los sistemas actualizados. Las actualizaciones de seguridad corrigen vulnerabilidades conocidas. Un equipo desactualizado puede seguir funcionando aparentemente con normalidad, pero estar expuesto a ataques que ya disponen de mecanismos conocidos de explotación. El profesional no debe desactivar por su cuenta las herramientas corporativas de actualización o protección.

Los programas y dispositivos que se conectan al entorno corporativo deben estar autorizados. La instalación de software no licenciado, aplicaciones procedentes de fuentes desconocidas o extensiones no verificadas puede introducir código malicioso, incompatibilidades y problemas de soporte. La regla apropiada es emplear las herramientas proporcionadas o autorizadas por la organización.

Las contraseñas deben protegerse frente a observación, reutilización indebida y revelación. No deben comunicarse por teléfono ni por correo a quien afirma pertenecer al soporte. El personal técnico puede necesitar verificar la identidad del usuario o guiarlo durante una operación, pero no necesita conocer su contraseña personal para trabajar en su nombre.

El bloqueo del puesto al ausentarse es una medida sencilla y especialmente necesaria en espacios compartidos. Un puesto de centralita puede encontrarse en una zona con actividad continua y cambios de turno. Dejar una sesión personal accesible permite que otra persona consulte información o realice actuaciones que quedarán registradas a nombre del titular.

Los dispositivos extraíbles también deben utilizarse con cautela. Las unidades USB de origen desconocido pueden contener código malicioso. Los datos corporativos, además, no deben copiarse a soportes personales salvo que exista autorización y se cumplan las medidas de protección establecidas.

En cuanto a servicios en la nube, debe evitarse almacenar o compartir información corporativa mediante cuentas particulares o servicios no autorizados. Que un servicio sea gratuito, conocido y técnicamente seguro no significa que esté aprobado para manejar información de la organización. La selección de herramientas corporativas permite aplicar políticas de acceso, conservación, auditoría y protección adecuadas.

La concienciación pretende transformar estas medidas en hábitos. Una persona puede conocer teóricamente qué es el phishing y, sin embargo, caer en un ataque si no aplica ese conocimiento cuando recibe un mensaje urgente. Por eso la formación en seguridad se repite periódicamente y utiliza ejemplos, campañas, recordatorios y recursos divulgativos.

Si se detecta un posible incidente de seguridad, no debe ocultarse por temor a haber cometido un error. La rapidez de la comunicación puede limitar las consecuencias. Es preferible informar inmediatamente de un clic accidental en un enlace sospechoso que esperar a comprobar por cuenta propia si “pasa algo”. El servicio técnico dispone de herramientas para analizar y contener el problema.

7. TELETRABAJO: PROCEDIMIENTO Y PRINCIPIOS DE ACCESO SEGURO

El teletrabajo permite realizar determinadas funciones desde una ubicación que no dispone de conexión directa a la red corporativa del centro. No significa que cualquier trabajador pueda acceder desde cualquier equipo y por cualquier vía. Debe existir autorización y utilizarse los mecanismos corporativos previstos para proporcionar un acceso seguro.

Desde el punto de vista técnico, el problema que debe resolverse es claro: una aplicación interna puede estar diseñada para funcionar únicamente dentro de la red corporativa. Cuando el profesional está en su domicilio, el equipo no se encuentra físicamente conectado a esa red. Por ello se necesita un servicio que autentique al usuario, establezca una comunicación protegida y limite el acceso a los recursos autorizados.

El SAS diferencia principalmente dos modalidades: el Servicio de Acceso Remoto a Aplicaciones Corporativas, SARAC, y el acceso mediante VPN. La regla operativa es importante: cuando la aplicación necesaria se encuentra disponible a través de SARAC, esta modalidad constituye la vía preferente; la VPN se reserva para aquellos supuestos en los que el recurso requerido no se encuentra disponible de esa forma y se cumplen los requisitos de acceso.

El acceso remoto debe estar limitado a las funciones profesionales. Que la tecnología permita conectarse desde un domicilio no autoriza a utilizarla para fines ajenos al trabajo ni a acceder a información que no resulte necesaria. Se mantienen las mismas obligaciones de confidencialidad y protección de datos que cuando se trabaja físicamente dentro del centro.

El domicilio tampoco convierte el entorno en privado desde la perspectiva de protección de la información. Puede haber familiares, visitas u otras personas que no están autorizadas para conocer los datos que aparecen en pantalla o escuchar determinadas conversaciones. El profesional debe organizar el espacio de trabajo de manera que preserve la confidencialidad.

Debe evitarse el acceso a través de redes inalámbricas públicas o abiertas. Una red ofrecida gratuitamente en un establecimiento, aeropuerto o espacio público no proporciona el grado de control adecuado para el tratamiento de información corporativa. Se debe utilizar una conexión privada y correctamente protegida conforme a las instrucciones corporativas.

El equipo utilizado debe encontrarse actualizado y protegido. Si se autoriza el uso de un equipo particular, deben seguirse las condiciones técnicas establecidas y separarse, en la medida prevista por las instrucciones corporativas, el entorno profesional del uso doméstico. No debe permitirse que otras personas utilicen una sesión desde la que puedan acceder a recursos del SAS.

La información corporativa no debe remitirse a correos particulares para “tenerla disponible en casa”. Tampoco deben emplearse servicios personales de almacenamiento para trasladar documentos. El acceso remoto existe precisamente para permitir trabajar de forma controlada sin romper el perímetro de seguridad organizativo.

Otra cuestión importante es la desconexión. Al finalizar el trabajo debe cerrarse correctamente la aplicación y la sesión remota. Mantener abierta una VPN o una sesión corporativa sin necesidad aumenta innecesariamente la superficie de exposición y puede permitir usos no autorizados si el equipo queda accesible.

Para una persona telefonista, el teletrabajo no debe confundirse con la posibilidad de trasladar automáticamente todas las funciones de la central telefónica al domicilio. La viabilidad depende de las funciones asignadas, las aplicaciones disponibles, la autorización del centro y la infraestructura necesaria. Las funciones ligadas a atención presencial de la central, sistemas de emergencia o equipamiento específico pueden requerir presencia física.

8. SARAC Y VPN: ACCESO REMOTO A APLICACIONES CORPORATIVAS

8.1. Servicio de Acceso Remoto a Aplicaciones Corporativas

SARAC permite acceder de forma remota a determinadas aplicaciones corporativas sin que el usuario tenga que reproducir en su equipo todo el entorno de red del centro. Desde el punto de vista de seguridad representa una solución especialmente útil porque el acceso se concentra en los recursos publicados y autorizados.

La principal idea no es memorizar qué aplicaciones concretas están disponibles en cada momento, porque el catálogo puede ampliarse o modificarse. Lo importante para el examen es comprender que SARAC es un servicio de acceso remoto a aplicaciones. Cuando el profesional necesita trabajar desde una ubicación externa debe comprobar si el recurso que necesita está ofrecido a través de este servicio.

El usuario deberá cumplir los requisitos de identidad, autorización y configuración establecidos. Tener acceso a SARAC no crea por sí mismo un permiso sobre todas las aplicaciones publicadas. La autorización de cada aplicación sigue dependiendo del perfil profesional correspondiente.

8.2. Red privada virtual o VPN

Una VPN, Virtual Private Network o red privada virtual, crea un canal protegido que permite al equipo remoto comunicarse con recursos corporativos como si estuviera conectado de forma autorizada a la red interna. El tráfico se transporta mediante mecanismos de seguridad que protegen la comunicación frente a terceros.

El concepto de “virtual” no significa que la red no exista. Significa que se construye lógicamente sobre otra infraestructura de comunicaciones, normalmente Internet. Para el usuario, determinados recursos internos pueden quedar accesibles a través de ese túnel protegido, siempre dentro de sus permisos.

La VPN no debe activarse de forma innecesaria. Cuanto mayor sea el acceso concedido desde un equipo remoto, mayor será la importancia de mantener protegido ese equipo. Por eso la organización establece requisitos sobre identidad, certificado, cuenta, cliente de conexión y condiciones del dispositivo.

La conexión debe realizarse únicamente desde dispositivos que cumplan las condiciones de seguridad exigidas. El equipo debe tener actualizaciones de seguridad, protección frente a código malicioso y bloqueo de sesión. El acceso remoto desde un equipo comprometido podría convertir la conexión VPN en una vía de entrada hacia recursos internos.

La responsabilidad del profesional incluye cerrar la conexión cuando ya no sea necesaria, evitar que terceros utilicen el equipo, mantener protegidas las credenciales y comunicar cualquier comportamiento anómalo. Si durante el acceso remoto aparece un aviso de certificado, un comportamiento inesperado o una solicitud no habitual de credenciales, no debe continuarse automáticamente.

9. HERRAMIENTAS DE COMUNICACIÓN Y COLABORACIÓN PROFESIONAL

La transformación digital ha ampliado los medios mediante los que los profesionales pueden comunicarse. Al teléfono y al correo electrónico se añaden plataformas de mensajería, videoconferencia, reuniones virtuales, seminarios y colaboración. Estas herramientas resultan especialmente útiles para equipos distribuidos entre centros diferentes.

En el ámbito de la Red Corporativa de la Junta de Andalucía se utiliza Zoom como una de las herramientas de comunicación y colaboración. Su finalidad incluye reuniones virtuales, videoconferencias y otras formas de comunicación síncrona. Como cualquier herramienta corporativa, su uso debe realizarse mediante las cuentas y procedimientos autorizados.

El hecho de utilizar una plataforma de videoconferencia no elimina las obligaciones de confidencialidad. Antes de compartir una pantalla debe comprobarse qué ventanas, notificaciones o datos pueden quedar visibles. Una reunión profesional no debe grabarse ni difundirse arbitrariamente. Si existe una funcionalidad técnica para grabar, su utilización debe cumplir las normas y autorizaciones aplicables.

La mensajería instantánea también exige cautela. Debe distinguirse una herramienta corporativa autorizada de aplicaciones personales utilizadas informalmente. La información sensible no debe trasladarse a un canal no aprobado simplemente porque sea rápido o conocido por los participantes.

Las herramientas de colaboración sirven para facilitar el trabajo, no para sustituir cualquier procedimiento formal. Una orden, solicitud, incidencia o autorización que deba quedar registrada en una aplicación corporativa no se considera tramitada simplemente porque se haya comentado en una reunión o enviado mediante mensajería.

Entre las herramientas de productividad pueden existir también servicios corporativos para intercambio o transferencia controlada de ficheros. Su finalidad es evitar que el profesional recurra a cuentas privadas o servicios externos no autorizados. El principio común es mantener la información dentro de los mecanismos supervisados por la organización.

Una correcta cultura digital consiste en elegir la herramienta según la finalidad. El teléfono es idóneo para comunicación inmediata; el correo facilita una comunicación asincrónica y documentada; la videoconferencia permite interacción grupal; las aplicaciones de soporte proporcionan registro de incidencias; las aplicaciones de gestión ejecutan procedimientos concretos. Utilizar cada canal para lo que fue diseñado aumenta la eficiencia y reduce errores.

10. APLICACIONES, SERVICIOS Y HERRAMIENTAS DISPONIBLES PARA EL PROFESIONAL

El SAS dispone de un amplio ecosistema de aplicaciones. El Tema 29 no exige memorizar cada sistema existente, sino conocer las herramientas que permiten al profesional realizar operaciones comunes, acceder a recursos, recibir soporte, comunicarse y formarse. El catálogo evoluciona, por lo que deben priorizarse los conceptos y las aplicaciones expresamente consolidadas en el temario y los exámenes.

El portal ayudaDIGITAL funciona como punto de acceso a información y documentación de numerosas aplicaciones. El profesional puede consultar guías, tutoriales, avisos y enlaces relacionados con herramientas de gestión, productividad, seguridad y recursos humanos.

A estas herramientas se añaden aplicaciones vinculadas a funciones concretas, como sistemas asistenciales, recursos humanos, gestión económica, mantenimiento, logística o administración electrónica. La autorización se concede en función del puesto y del perfil. Una persona telefonista necesita conocer especialmente aquellas herramientas relacionadas con comunicación, directorios, soporte, correo, formación y procedimientos internos.

También existen espacios de atención al profesional desde los que pueden realizarse determinadas consultas y gestiones laborales. Aunque se estudian con mayor detalle en otros temas, forman parte del ecosistema digital del trabajador del SAS y conviene comprender que no sustituyen a ayudaDIGITAL: una herramienta de recursos humanos resuelve gestiones profesionales; ayudaDIGITAL resuelve o canaliza necesidades tecnológicas.

Del mismo modo, Port@firmas está orientado a la firma electrónica de documentación procedente de sistemas corporativos y no debe confundirse con AGESCON o con el correo. Cada aplicación tiene un propósito concreto.

El conocimiento y manejo de los servicios implica también saber qué hacer cuando una aplicación no responde. Reiniciar indiscriminadamente equipos, cambiar configuraciones o instalar soluciones descargadas de Internet no constituye “manejo avanzado”; puede empeorar la incidencia. El profesional debe realizar únicamente las comprobaciones básicas autorizadas y utilizar soporte cuando sea necesario.

Las herramientas corporativas pueden introducir cambios de versión, interfaz o denominación. Una oposición debe distinguir entre el concepto estable y los detalles volátiles. Por ejemplo, la existencia de un servicio de acceso remoto es estructural; la relación exacta de aplicaciones publicadas puede cambiar. Del mismo modo, las funcionalidades de un cliente de correo pueden evolucionar, pero su naturaleza como cliente de correo permanece.

11. GESTIÓN PRÁCTICA DE INCIDENCIAS, PETICIONES Y SOLICITUDES DE ACCESO

Una parte esencial del conocimiento de los servicios TIC consiste en saber utilizarlos correctamente. Ante cualquier problema conviene realizar primero una clasificación sencilla: ¿es una incidencia, una petición, una cuestión de credenciales, un problema de autorización o un posible incidente de seguridad?

Cuando un servicio falla, se pueden realizar comprobaciones básicas que no alteren la configuración: verificar que el equipo está encendido y conectado, comprobar si el problema afecta a una sola aplicación, leer el mensaje de error, confirmar si otros compañeros tienen el mismo problema y consultar si existe algún aviso corporativo. Estas comprobaciones permiten comunicar mejor la incidencia.

Debe evitarse realizar acciones que destruyan evidencias o generen riesgos. Ante un posible malware no se debe comenzar a borrar archivos al azar. Ante una pantalla extraña no se instalan supuestos “limpiadores” descargados de Internet. Ante un problema de contraseña no se prueba repetidamente hasta bloquear la cuenta si existe un procedimiento de recuperación.

La descripción de una incidencia debe ser suficientemente precisa. Es útil indicar el nombre de la aplicación, ubicación o puesto afectado, hora aproximada, acción que se estaba realizando, mensaje recibido y alcance del fallo. Si se aporta una captura, debe revisarse previamente que no revele información innecesaria o sensible.

En una central telefónica conviene además comunicar el impacto operativo. No tiene la misma prioridad un fallo estético de una aplicación que la imposibilidad de recibir llamadas externas o acceder al sistema de localización de profesionales. La prioridad técnica se determina conforme a los procedimientos de soporte, pero el usuario debe describir correctamente la repercusión.

En las peticiones de acceso debe respetarse el principio de mínimo privilegio: cada persona recibe únicamente los permisos necesarios para sus funciones. El hecho de que un compañero tenga un acceso determinado no implica que todos los miembros de la unidad deban disponer automáticamente de él. Los perfiles pueden depender de responsabilidades diferentes.

Cuando se produce un cambio de puesto, unidad o funciones puede ser necesario revisar los accesos. La gestión de identidades debe acompañar a la organización del trabajo. Mantener indefinidamente permisos que ya no se necesitan aumenta el riesgo de accesos indebidos.

El soporte también debe utilizarse para comunicar sospechas de seguridad. Si un profesional recibe un correo de phishing, detecta comportamiento anómalo o cree haber introducido su contraseña en un sitio dudoso, debe actuar con rapidez. El incidente puede requerir cambio de credenciales, análisis del equipo o bloqueo preventivo.

12. FORMACIÓN EN EL SSPA: MARCO Y LÍNEAS ESTRATÉGICAS

La formación constituye un elemento esencial para mantener la competencia profesional. Los sistemas, aplicaciones, normas y procedimientos cambian y el trabajador debe actualizar sus conocimientos para desempeñar correctamente sus funciones. En el ámbito sanitario esta necesidad es especialmente importante por la complejidad del sistema y por las consecuencias que pueden derivarse de errores técnicos u organizativos.

El Estatuto Marco del personal estatutario reconoce la relevancia de la formación continuada. Entre los derechos individuales se encuentra la formación continuada adecuada a la función desempeñada y al reconocimiento de la cualificación profesional; paralelamente, los profesionales deben mantener debidamente actualizados los conocimientos y aptitudes necesarios para el correcto ejercicio de su profesión o funciones.

La Estrategia de Formación del Sistema Sanitario Público de Andalucía 2022-2025 constituye el documento estratégico de referencia publicado por el SSPA para este ámbito. En 2026 continúa figurando en el repertorio institucional de planes y estrategias. Al estudiarla debe diferenciarse su periodo temporal formal, 2022-2025, de su valor como documento de referencia mientras el sistema desarrolla la planificación posterior.

La estrategia parte de una idea central: la formación debe tener impacto real sobre las competencias profesionales, los procesos organizativos y la calidad de los servicios. No basta con aumentar el número de cursos. Es necesario identificar necesidades, diseñar actividades adecuadas, facilitar el acceso, evaluar resultados y relacionar la formación con los objetivos del sistema.

El documento estableció cinco grandes líneas estratégicas que conviene memorizar literalmente por su valor de examen:

La estrategia incorpora además líneas maestras relacionadas con la innovación docente, la co-creación de las actividades formativas, el entrenamiento en espacios seguros, la aportación de valor al profesional y la colaboración entre distintos agentes. Su filosofía supone pasar de una formación basada exclusivamente en transmitir contenidos a un modelo orientado a desarrollar competencias.

Para el personal de Gestión y Servicios esta formación es plenamente relevante. El hecho de no pertenecer a una profesión sanitaria titulada no elimina la necesidad de actualización. La digitalización, la ciberseguridad, la atención a la ciudadanía, la prevención de riesgos, las comunicaciones y los planes de emergencia requieren aprendizaje continuado.

La formación puede adoptar modalidades presenciales, semipresenciales y virtuales. El aprendizaje en línea permite ampliar la accesibilidad y facilitar la participación de profesionales de centros diferentes, aunque exige planificación, seguimiento y evaluación igual que cualquier otra modalidad.

13. CENTROS DE FORMACIÓN, GESFORMA Y RECURSOS FORMATIVOS

Los propios centros sanitarios constituyen una estructura fundamental para la formación de los profesionales del SAS. Las Unidades de Formación Continuada promueven, diseñan, gestionan, coordinan y evalúan actividades destinadas al perfeccionamiento profesional. Estas unidades detectan necesidades y organizan planes adaptados a cada ámbito.

Junto a los centros existen estructuras y proveedores de formación de ámbito transversal. La formación puede proceder de Servicios Centrales, de centros asistenciales y de otras instituciones del SSPA vinculadas a actividades docentes y de desarrollo profesional. Para el opositor interesa comprender que la oferta no se concentra en un único centro físico: existe una red de proveedores y plataformas.

La herramienta fundamental de gestión es GESFORMA-SSPA. Esta aplicación permite gestionar los procesos relacionados con la formación continuada: planificación, ejecución, evaluación, certificación y control de las actividades. Desde la perspectiva del profesional sirve como vía para consultar oferta, solicitar actividades, acceder a recursos formativos y consultar el historial de formación realizada.

Existe un entorno GESFORMA asociado a los diferentes centros y otro correspondiente a Servicios Centrales para actividades de carácter transversal. El profesional debe identificar su centro de referencia y acceder con las credenciales establecidas. Determinadas solicitudes, como la formación externa, se tramitan desde el entorno correspondiente al centro de origen.

El ciclo formativo puede entenderse en varias etapas:

1. Detección de necesidades: se identifican conocimientos o competencias que deben desarrollarse.
2. Planificación: se definen objetivos, destinatarios, metodología, fechas y recursos.
3. Oferta e inscripción: el profesional consulta las actividades y solicita su participación.
4. Realización: la actividad puede desarrollarse presencialmente o mediante plataforma virtual.
5. Evaluación: se comprueba la participación, el aprendizaje u otros resultados definidos.
6. Certificación: cuando se cumplen los requisitos se genera la correspondiente acreditación o certificado de realización.

La formación virtual se apoya frecuentemente en plataformas de aprendizaje como Moodle. Una plataforma de este tipo permite organizar cursos, materiales, foros, cuestionarios, tareas y seguimiento de la actividad. No debe confundirse con GESFORMA: GESFORMA gestiona administrativamente la actividad formativa, mientras que la plataforma virtual puede ser el espacio donde se desarrolla el aprendizaje.

Esta diferencia es importante. Un profesional puede inscribirse y consultar su actividad en GESFORMA y posteriormente ser dirigido a un aula virtual donde estudia los contenidos y realiza las actividades. Al finalizar, los resultados se integran en el proceso de evaluación y certificación.

Los recursos formativos disponibles incluyen cursos presenciales, formación en línea, tutoriales, guías, vídeos, píldoras formativas, documentación de aplicaciones y contenidos específicos de capacitación digital. El propio portal ayudaDIGITAL ofrece formación orientada al uso de herramientas TIC, lo que conecta directamente los dos grandes bloques de este tema.

La formación también forma parte de la ciberseguridad. El SAS dispone de acciones orientadas a concienciar sobre seguridad de la información, trabajo remoto, phishing y uso seguro de las TIC. El objetivo es que el profesional no se limite a reaccionar ante incidentes, sino que desarrolle hábitos preventivos.

La participación profesional es otro elemento estratégico. La detección de necesidades no debe depender exclusivamente de decisiones centralizadas. Los profesionales conocen problemas reales del puesto y pueden señalar competencias que necesitan reforzar. Cuestionarios de necesidades, evaluaciones y propuestas contribuyen a elaborar planes formativos más útiles.

14. APLICACIÓN PRÁCTICA AL PUESTO DE TELEFONISTA E IDEAS CLAVE

Para una persona telefonista, el contenido de este tema se materializa en una secuencia cotidiana. Al iniciar el turno utiliza su identidad profesional, comprueba las herramientas necesarias, accede a los recursos autorizados y mantiene protegida la sesión. Durante el trabajo consulta aplicaciones y correo, recibe avisos y utiliza sistemas de comunicación. Si surge una incidencia, la clasifica y comunica correctamente. Si sospecha un problema de seguridad, lo escala sin improvisar soluciones.

El primer principio práctico es que la disponibilidad del servicio no justifica romper la seguridad. Ante una urgencia operativa puede aparecer la tentación de utilizar las credenciales de un compañero, una cuenta genérica no autorizada o una herramienta personal. Estas soluciones pueden resolver aparentemente el problema inmediato pero crear riesgos mayores. Los procedimientos de contingencia deben estar previamente definidos.

El segundo principio es la confidencialidad. Aunque la telefonista no acceda normalmente a una historia clínica, puede manejar información profesional, extensiones, localizaciones, nombres, incidencias y comunicaciones internas. No toda información que aparece en un directorio puede facilitarse a cualquier persona que llame.

El tercer principio es la trazabilidad. Las aplicaciones registran usuarios y operaciones. Por ello cada profesional debe utilizar su propia identidad. En caso de error o incidente, la trazabilidad permite reconstruir lo ocurrido y adoptar medidas correctoras.

El cuarto principio es la formación permanente. Las telecomunicaciones y los sistemas corporativos evolucionan con rapidez. Una telefonista que conoce únicamente la centralita pero ignora el funcionamiento del soporte, el correo, la ciberseguridad o los mecanismos de acceso remoto tiene una visión incompleta del puesto digital actual.

Conviene finalizar el estudio con asociaciones rápidas:

• ayudaDIGITAL: soporte integral TIC.
• DMSAS: identidad profesional utilizada para numerosos accesos corporativos.
• AGESCON: gestión de contraseña.
• Thunderbird: cliente de correo electrónico.
• Webmail: correo desde navegador.
• Intranet: entorno privado de contenidos y aplicaciones internas.
• Phishing: ataque basado en engaño para obtener información o provocar una actuación.
• SARAC: acceso remoto a aplicaciones corporativas.
• VPN: red privada virtual para acceso remoto protegido.
• Zoom: plataforma de comunicación y colaboración.
• GESFORMA: gestión de la formación continuada.

15. MAPA CONCEPTUAL