Ciberseguridad en los servicios administrativos sanitarios

AUTORES

1. Carolina Vicente García. Auxiliar Administrativo. Zaragoza, España.
2. José María Bernal Torres. Auxiliar Administrativo del Servicio Aragonés de Salud. Zaragoza, España.
3. Maura Aparicio Zabalza. Auxiliar Administrativo. Zaragoza, España.
4. Aránzazu León Fábrega. Auxiliar Administrativo. Zaragoza, España.
5. María Jesús Sancho Ferrer.  Auxiliar Administrativo. Zaragoza, España.
6. Rosa María Buendía Rojo. Auxiliar Administrativo. Zaragoza, España.

RESUMEN

Introducción: los servicios administrativos sanitarios gestionan citas, identificación, documentación y comunicaciones que dependen de sistemas de información y contienen datos sensibles. Objetivo: analizar los riesgos de ciberseguridad de estas tareas y proponer medidas realizables por el personal administrativo y auxiliar administrativo. Desarrollo: se examinan el correo fraudulento, el acceso indebido, el envío erróneo de documentación, el secuestro de sistemas y la interrupción de la atención; se describen controles de identidad, permisos, comunicación segura, notificación temprana y procedimientos alternativos. Conclusión: la ciberseguridad administrativa requiere hábitos verificables, formación y coordinación con informática, protección de datos y dirección. La prevención y la respuesta deben preservar simultáneamente la confidencialidad y la continuidad de los trámites esenciales.

PALABRAS CLAVE

Seguridad informática, sistemas de información en salud, registros electrónicos de salud, confidencialidad.

ABSTRACT

Introduction: healthcare administrative services manage appointments, identification, documents and communications that rely on information systems and involve sensitive data. Objective: to examine cybersecurity risks in these tasks and propose practical measures for administrative staff. Discussion: fraudulent email, unauthorized access, misdirected documents, ransomware and service interruptions are considered alongside identity checks, access permissions, secure communications, early incident reporting and fallback procedures. Conclusion: administrative cybersecurity depends on observable work routines, training and coordination with information technology, data protection and management teams. Prevention and response must protect confidentiality while maintaining essential administrative processes.

KEY WORDS

Computer security, health information systems, electronic health records, confidentiality.

DESARROLLO DEL TEMA

Una admisión hospitalaria puede quedar bloqueada aunque los equipos clínicos sigan disponibles: basta con perder el acceso a agendas, identificadores, autorizaciones o canales de comunicación. El mostrador administrativo recibe solicitudes, introduce datos, imprime justificantes, remite documentación y orienta a pacientes y familiares. Por ello, una incidencia digital puede alterar tanto la privacidad como el recorrido asistencial. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) señala que, entre los incidentes sanitarios analizados en su panorama de amenazas de 2024, el 45 % se relacionó con ransomware y el 28 % con violaciones de datos¹. Esas proporciones describen la muestra examinada por la agencia, no la incidencia de todos los hospitales.

En España, el Esquema Nacional de Seguridad (ENS) establece principios y requisitos para proteger los sistemas de las entidades comprendidas en su ámbito de aplicación². En el trabajo administrativo, la seguridad se concreta en reconocer solicitudes legítimas, acceder solo a la información necesaria, conservar la trazabilidad y comunicar indicios de incidente. El objetivo de esta monografía es traducir las obligaciones y la evidencia disponible a prácticas aplicables en admisión, citaciones, archivo, facturación y atención al público.

Riesgos presentes en la actividad administrativa:

El correo electrónico reúne muchos de los puntos de entrada. Un mensaje que simula proceder del servicio informático, de un proveedor o de un responsable puede solicitar credenciales, inducir a abrir un archivo o llevar a una página falsa. INCIBE describe este engaño como phishing y recomienda examinar remitentes, enlaces y solicitudes inusuales antes de actuar³. En una unidad administrativa, la urgencia por reprogramar pacientes o corregir un expediente puede reducir el tiempo dedicado a comprobar la autenticidad del mensaje. La sospecha debe comunicarse mediante el canal interno previsto, sin reenviar el archivo peligroso a otros compañeros.

También existen incidentes sin software malicioso: elegir al destinatario equivocado, dejar una sesión abierta en un puesto compartido, entregar documentación sin verificar identidad o consultar una historia por curiosidad. La guía de la Agencia Española de Protección de Datos (AEPD) para profesionales del sector sanitario explica que el acceso a la información clínica debe responder a funciones justificadas y que el deber de confidencialidad alcanza a quienes trabajan con esos datos⁴. Una relación laboral con el hospital, por sí sola, no autoriza a consultar cualquier expediente.

El Reglamento General de Protección de Datos (RGPD) exige tratar los datos con una finalidad determinada, limitar los datos a lo necesario y aplicar medidas técnicas y organizativas adecuadas al riesgo⁵. Los datos relativos a la salud tienen una protección reforzada. Por ejemplo, una cita puede requerir datos identificativos y de contacto, pero no justifica incorporar diagnósticos al asunto de un correo de gestión general. El personal debe respetar perfiles de acceso, sistemas de registro y canales autorizados; la necesidad de resolver una cola no convierte en aceptable compartir contraseñas.

Efectos sobre la asistencia y prioridades de continuidad:

El impacto de un ataque no acaba en la confidencialidad. En un estudio de hospitales de California, Abouk y Powell observaron una disminución temporal de las visitas a urgencias y los ingresos en los centros atacados por ransomware y un incremento temporal de visitas en hospitales cercanos no atacados⁶. El diseño observacional y el contexto estadounidense limitan su extrapolación directa a España, pero ilustran que una interrupción tecnológica puede desplazar actividad y exigir coordinación entre centros. El área administrativa participa en ese efecto al gestionar agendas, admisiones, derivaciones y canales para informar de cambios.

El marco Cybersecurity Framework 2.0 del National Institute of Standards and Technology (NIST) organiza la gestión del riesgo en gobernar, identificar, proteger, detectar, responder y recuperar⁷. Como guía organizativa, permite situar las tareas administrativas: identificar procesos indispensables, proteger las cuentas y los documentos, reconocer señales de fallo, activar la notificación y colaborar en la recuperación. No sustituye las normas aplicables ni las instrucciones del centro. La dirección debe definir qué servicios continúan durante la caída de un sistema y cómo se reconcilian después las anotaciones temporales.

Controles prácticos en admisión, archivo y atención al público:

La primera barrera es una verificación de identidad proporcionada al trámite. Antes de entregar un informe o modificar datos de contacto, conviene comprobar los identificadores establecidos por el centro y, cuando interviene un representante, la legitimación exigible. Ante una llamada que solicita información, se utiliza el procedimiento de comprobación y devolución de llamada oficial si existe duda. En espacios abiertos se evita verbalizar diagnósticos o dejar papeles visibles; al terminar la gestión, se retiran impresos y se bloquea la pantalla.

En el acceso digital, cada trabajador usa su cuenta individual y comunica cambios de puesto o funciones que requieran modificar permisos. La autenticación multifactor, cuando el sistema la habilita, reduce la utilidad de una contraseña robada; el equipo técnico decide su despliegue y el personal sigue el método aprobado. Las actualizaciones, antivirus, restricciones de dispositivos y copias de seguridad corresponden a responsables designados, pero el administrativo puede contribuir evitando instalaciones no autorizadas y avisando de errores repetidos. La guía de INCIBE sobre ransomware subraya la utilidad de las copias de seguridad separadas para recuperar la actividad⁸.

Antes de enviar documentación debe confirmarse la dirección, el destinatario y el archivo adjunto; para grandes envíos se aplican las herramientas corporativas de transferencia y las restricciones fijadas por el centro. Un correo dirigido a un tercero por error se notifica de inmediato, incluso si el remitente intenta recuperarlo. La rapidez del aviso facilita que los responsables evalúen el riesgo y adopten medidas. El RGPD establece reglas de notificación a la autoridad de control para determinados incidentes de datos, pero la calificación y la comunicación externa corresponden a los órganos competentes de la organización⁵.

La formación debe apoyarse en ejemplos del trabajo cotidiano: correos que exigen verificar una cuenta, supuestos cambios de IBAN de proveedores, peticiones telefónicas sobre pacientes y documentos escaneados enviados al destinatario equivocado. Los ejercicios de reconocimiento y de reporte tienen más utilidad si indican qué hacer en los primeros minutos y si evitan culpabilizar a quien avisa. El Centro Criptológico Nacional ofrece material específico para identificar señales habituales de phishing⁹. Un canal fácil de encontrar y un mensaje de confirmación tras el aviso ayudan a convertir la alerta individual en respuesta coordinada.

Respuesta ante incidentes y trabajo durante una interrupción:

Ante una pantalla que muestra un aviso de rescate, archivos inaccesibles, solicitudes de autenticación inesperadas o un envío de datos erróneo, el trabajador debe detener la acción que originó la sospecha y seguir el protocolo interno. La comunicación inicial puede incluir hora, equipo, aplicación, trámite afectado y descripción literal del mensaje, evitando copiar datos clínicos innecesarios en canales de incidencias. Las decisiones de aislamiento, análisis forense o restauración corresponden a los equipos especializados. Es útil documentar quién autoriza el uso de formularios en papel, qué información mínima se registra y cómo se custodia mientras el sistema está caído.

Durante la contingencia se priorizan los procesos acordados con los servicios asistenciales: identificación y admisión urgente, localización de citas próximas, contacto con unidades y derivación de casos que requieren atención inmediata. El personal informa de la limitación con un mensaje común aprobado, sin atribuir causas técnicas no verificadas ni prometer plazos de recuperación. Si se usa papel, se registra su circulación, se limita el acceso físico y se prepara su incorporación posterior al sistema de forma controlada. La recuperación incluye conciliar duplicidades, verificar datos introducidos con demora y destruir de manera segura las copias temporales según las instrucciones de conservación.

Implantación y evaluación:

Una intervención factible comienza con un mapa de tareas administrativas: sistemas utilizados, datos tratados, transferencias externas, puestos compartidos y trámites críticos. Para cada tarea se designan responsables, alternativa en caso de indisponibilidad y vía de escalado. Las funciones del administrativo no incluyen configurar servidores ni valorar en solitario una brecha; sí incluyen seguir las normas de acceso, comunicar incidencias y detectar obstáculos reales que pueden hacer inseguro un procedimiento. La dirección debe proporcionar tiempo de formación y un protocolo que pueda consultarse durante una caída de red.

Se puede valorar la implantación con indicadores modestos: proporción de personal formado, tiempo entre detección y comunicación, porcentaje de puestos que disponen de instrucciones de contingencia y número de errores de envío registrados y analizados. Un aumento inicial de notificaciones no implica necesariamente más ataques: también puede indicar que el reporte funciona mejor. Conviene revisar periódicamente ejercicios breves con administración, informática y protección de datos, registrar los problemas hallados y actualizar las instrucciones. Las cifras deben interpretarse junto con la carga de trabajo y sin emplearlas para penalizar avisos de buena fe.

BIBLIOGRAFÍA

1. European Union Agency for Cybersecurity. Health [Internet]. Atenas: ENISA; [citado 26 sep 2026]. Disponible en: https://www.enisa.europa.eu/topics/cybersecurity-of-critical-sectors/health
2. España. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Boletín Oficial del Estado [Internet]. 2022;106. Disponible en: https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191
3. Instituto Nacional de Ciberseguridad. Phishing [Internet]. León: INCIBE; [citado 26 sep 2026]. Disponible en: https://www.incibe.es/aprendeciberseguridad/phishing
4. Agencia Española de Protección de Datos. Guía para profesionales del sector sanitario [Internet]. Madrid: AEPD; 2022. Disponible en: https://www.aepd.es/guias/guia-profesionales-sector-sanitario.pdf
5. Parlamento Europeo y Consejo de la Unión Europea. Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Diario Oficial de la Unión Europea [Internet]. 2016;L119:1-88. Disponible en: https://eur-lex.europa.eu/eli/reg/2016/679/oj/spa
6. Abouk R, Powell D. Ransomware attacks, ED visits and inpatient admissions in targeted and nearby hospitals. JAMA. 2024;331(24):2129-2131. doi:10.1001/jama.2024.7752
7. Pascoe C, Quinn S, Scarfone K. The NIST Cybersecurity Framework (CSF) 2.0 [Internet]. Gaithersburg: National Institute of Standards and Technology; 2024. doi:10.6028/NIST.CSWP.29
8. Instituto Nacional de Ciberseguridad. Ransomware: una guía de aproximación para el empresario [Internet]. León: INCIBE; [citado 26 sep 2026]. Disponible en: https://www.incibe.es/sites/default/files/contenidos/guias/doc/guia_ransomware.pdf
9. Centro Criptológico Nacional. Phishing [Internet]. Madrid: CCN-CERT; [citado 26 sep 2026]. Disponible en: https://angeles.ccn-cert.cni.es/es/recursos-formativos/16-phishing