Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
Por qué un hospital no es como una oficina cualquiera
Cuando alguien empieza a trabajar en ciberseguridad dentro del ámbito sanitario, lo primero que descubre es que las reglas del juego cambian. Un centro de salud no solo guarda nombres y direcciones: acumula historiales clínicos, resultados de laboratorio, informes de imagen, datos genéticos y información sobre salud mental. Ese conjunto tiene un valor enorme en el mercado negro, y no precisamente porque se pueda usar para vaciar una cuenta bancaria, sino porque permite fraudes médicos, extorsiones y suplantaciones difíciles de detectar.
Si estás dando tus primeros pasos, olvida la idea de que basta con instalar un antivirus. Aquí la protección se construye por capas y, sobre todo, entendiendo cómo circula la información dentro de una organización donde conviven médicos con prisa, administradores, técnicos de mantenimiento y dispositivos conectados permanentemente.
Los tres frentes que deberías vigilar desde el primer día
1. El acceso a la historia clínica electrónica
El error más habitual que he visto en auditorías iniciales es compartir credenciales entre compañeros de turno. «Es que el doctor se fue y necesito ver el informe» se convierte en la puerta de entrada perfecta. La recomendación básica: cada profesional debe tener su propia cuenta, con doble factor de autenticación siempre que el sistema lo permita, y revisar periódicamente quién conserva permisos tras una baja o un traslado. Un usuario activo de un empleado que ya no trabaja es un riesgo silencioso que se detecta tarde.
2. Los dispositivos médicos conectados
Monitores, bombas de infusión, equipos de ecografía o incluso neveras de vacunas con conexión a red suelen tener sistemas operativos antiguos que no se actualizan con la misma frecuencia que un ordenador de escritorio. Aquí conviene ser honesto: no siempre se puede parchear. Muchos fabricantes bloquean las actualizaciones para no invalidar certificaciones. La estrategia realista pasa por segmentar la red: que esos aparatos no compartan el mismo segmento que los puestos administrativos y que su tráfico esté monitorizado.
3. El factor humano en las consultas
Un caso frecuente que aparece en formación: una recepcionista recibe una llamada de alguien que se identifica como familiar de un paciente ingresado y pide confirmar la habitación. Sin un protocolo de verificación, esa información sale por teléfono. La ciberseguridad en salud también es ingeniería social, y los atacantes lo saben.
Qué medidas concretas aplicar sin volverse loco
- Inventario de datos: antes de proteger, necesitas saber dónde están los historiales, en qué servidores, en qué copias de seguridad y en qué correos electrónicos.
- Cifrado en reposo y en tránsito: discos de portátiles y servidores cifrados; conexiones con TLS en los portales de resultados.
- Copias de seguridad probadas: no basta con hacer backup; hay que restaurar periódicamente para comprobar que funciona. Un ransomware detectado a los tres días sin copia reciente puede paralizar consultas.
- Formación breve y repetida: sesiones de quince minutos sobre phishing dirigido a personal sanitario funcionan mejor que charlas anuales de dos horas.
- Registro de accesos: saber quién consultó qué historial y cuándo. No para vigilar a los empleados sin motivo, sino para detectar accesos indebidos.
Lo que no funciona (y conviene admitirlo)
Bloquear todos los puertos USB puede parecer una gran idea hasta que un radiólogo necesita entregar un estudio en un dispositivo externo. Prohibir el uso de WhatsApp entre profesionales sanitarios no evita que lo usen; solo hace que lo hagan sin control. La ciberseguridad en el sector salud avanza mejor con políticas realistas que con restricciones absolutas que nadie cumple. Si una medida genera tantas excepciones que se vuelve inútil, probablemente el enfoque es erróneo.
Tampoco existe una solución única para todos los centros. Un pequeño consultorio dental no necesita la misma arquitectura que un hospital comarcal con urgencias. Según documentación oficial de organismos de protección de datos, el principio de proporcionalidad debe guiar las medidas: proteger según el riesgo real, no según el catálogo más caro del proveedor.
Un punto de partida realista
Si empiezas hoy, elige tres acciones: revisar usuarios activos y dar de baja los que sobran, comprobar que las copias de seguridad se restauran correctamente y formar al personal sobre cómo verificar la identidad de quien pide información por teléfono. Con eso ya reduces una parte significativa de los incidentes más comunes. El resto vendrá después, con auditorías y con la experiencia que da enfrentarse a problemas reales.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
