Incluido en la revista Ocronos. Vol. IX. N.º 10–Octubre 2026.
Pág. Inicial: Vol. IX; N.º 10: 344
Autor principal (primer firmante): Nuria De La Hoya Millán
Fecha recepción: 29/09/2026
Fecha aceptación: 26/10/2026
Ref.: Ocronos. 2026;9(10): 344
Autores:
- NURIA DE LA HOYA MILLÁN
- NATALIA RUIZ ORO
- MARIA DEL ROSARIO ZAPATER PIRACÉS
- IONELA SAMSON
- MARIA CRISTINA ZAPATER PIRACÉS
- ROXANA CIRAC COLLADOS
Categoría profesional: Total staff.
Palabras clave: seguridad informática, digitalización, amenaza informática, ciberseguridad sanitaria, Agencia Española de Protección de Datos, AEPD, ransomware, contraseña, copia de seguridad
Introducción
La transformación digital de la sanidad española ha permitido agilizar numerosos procedimientos y mejorar el acceso a la información clínica y administrativa. Historia clínica electrónica, receta electrónica, sistemas de citación, aplicaciones de gestión, plataformas de comunicación y servicios digitales forman actualmente parte de la actividad habitual de los centros sanitarios.
Pero esta digitalización también ha incrementado la exposición a las amenazas informáticas. Un ataque contra un hospital, un centro de salud o una empresa sanitaria no solo puede afectar a ordenadores y servidores. Puede comprometer datos personales, historias clínicas, citas, pruebas diagnósticas o sistemas necesarios para mantener la actividad asistencial.
La ciberseguridad sanitaria, por tanto, no es exclusivamente una cuestión del departamento de informática. También afecta a los profesionales que utilizan diariamente los sistemas, entre ellos el personal administrativo.
Los centros sanitarios manejan una cantidad muy elevada de información personal y, dentro de ella, datos relativos a la salud, considerados una categoría especialmente protegida por la normativa de protección de datos. La Agencia Española de Protección de Datos (AEPD) señala que los centros sanitarios públicos y privados deben aplicar medidas técnicas y organizativas adecuadas para garantizar la confidencialidad, integridad y disponibilidad de esta información.
La importancia de proteger estos datos va más allá de evitar que una persona no autorizada pueda acceder a ellos. También es necesario impedir su pérdida, destrucción, modificación o indisponibilidad.
Un sistema sanitario puede encontrarse ante una situación especialmente complicada si un incidente informático impide consultar una historia clínica, gestionar una cita, acceder a determinadas pruebas o utilizar una aplicación necesaria para la actividad cotidiana.
Por ello, la seguridad informática debe entenderse como una parte de la propia seguridad de la organización sanitaria.
España refuerza la ciberseguridad del Sistema Nacional de Salud
La creciente digitalización ha llevado al Sistema Nacional de Salud a establecer una estrategia específica. En noviembre de 2025, el Consejo Interterritorial del SNS aprobó la Estrategia de Ciberseguridad del Sistema Nacional de Salud 2025-2028, concebida para proteger la información sanitaria, garantizar la continuidad asistencial y reforzar la confianza de la ciudadanía. La estrategia contempla ocho objetivos estratégicos y un modelo de colaboración entre el Ministerio de Sanidad y las comunidades autónomas.
Este planteamiento resulta especialmente importante porque el sistema sanitario español está descentralizado. Los servicios de salud autonómicos gestionan una parte esencial de sus sistemas de información, por lo que la coordinación resulta imprescindible para afrontar amenazas que pueden afectar simultáneamente a diferentes organizaciones.
Además, INCIBE considera el sanitario un sector estratégico y señala que la normativa europea de ciberseguridad, incluida la Directiva NIS2, afecta a gran parte de las entidades sanitarias.
¿Qué amenazas pueden afectar a un centro sanitario?
Los riesgos son diversos. Entre los más conocidos se encuentra el ransomware, un tipo de ataque que puede bloquear sistemas y datos y exigir un rescate para recuperar el acceso. En el sector sanitario, además, existe el riesgo de que los atacantes extraigan información antes de bloquear los sistemas y posteriormente intenten publicarla o venderla.
La AEPD destaca precisamente la relevancia que han adquirido los ataques de ransomware en el ámbito sanitario y advierte de que pueden comprometer simultáneamente la disponibilidad y la confidencialidad de los datos.
También existen amenazas menos sofisticadas, pero muy frecuentes: correos electrónicos fraudulentos, robo de contraseñas, programas maliciosos, accesos indebidos, dispositivos perdidos o envío accidental de documentación a destinatarios equivocados.
No todos los incidentes tienen que proceder de un atacante externo. Un empleado que consulta una historia clínica sin estar autorizado, que utiliza información para una finalidad diferente de la permitida o que envía por error documentación sanitaria a otra persona puede provocar igualmente una brecha de seguridad.
El personal administrativo también forma parte de la seguridad
La seguridad informática no termina en el departamento de sistemas. Cada profesional que accede a un ordenador, una aplicación sanitaria o un correo corporativo forma parte de la cadena de seguridad.
Para el personal administrativo, esto resulta especialmente relevante porque su trabajo puede implicar acceso a datos identificativos, información de citas, informes, documentación clínica o datos necesarios para la gestión sanitaria.
Una de las principales medidas consiste en utilizar exclusivamente las credenciales personales asignadas. Las contraseñas no deben compartirse con compañeros ni utilizarse las cuentas de otras personas para realizar una tarea.
También es importante bloquear la sesión cuando se abandona el puesto de trabajo. En un entorno donde se manejan datos de salud, dejar una pantalla abierta puede permitir que una persona no autorizada consulte información confidencial.
La comodidad nunca debería justificar el incumplimiento de estas medidas.
El correo electrónico como puerta de entrada
El correo electrónico continúa siendo una herramienta esencial para el funcionamiento administrativo, pero también puede convertirse en una vía de entrada para ataques.
Los mensajes fraudulentos pueden imitar comunicaciones de organismos oficiales, empresas, compañeros o servicios tecnológicos. Pueden solicitar la apertura de un archivo, la modificación de una contraseña o el acceso a una página aparentemente legítima.
Ante un mensaje sospechoso, no debe abrirse ningún enlace o archivo antes de comprobar su procedencia. Tampoco deben introducirse credenciales en páginas cuyo origen no haya sido verificado.
Una regla sencilla puede evitar muchos problemas: si un mensaje genera urgencia, presión o solicita información sensible de forma inesperada, debe comprobarse antes de actuar.
Acceso a la información: ni más ni menos de lo necesario
La seguridad sanitaria también depende de controlar quién puede acceder a cada información.
El hecho de trabajar en un centro sanitario no significa que todos los profesionales puedan consultar cualquier historia clínica. El acceso debe responder a las funciones y responsabilidades de cada puesto.
La normativa española establece garantías específicas para el acceso a la historia clínica y para el tratamiento de los datos de salud. La Ley Orgánica 3/2018 también contempla medidas específicas relacionadas con estos datos y establece obligaciones para los centros sanitarios que mantienen historias clínicas.
Por este motivo, consultar información de un paciente por curiosidad, aunque el profesional tenga técnicamente la posibilidad de hacerlo, puede constituir un acceso indebido.
La seguridad también implica saber a qué información no se debe acceder.
¿Qué ocurre cuando se produce una brecha?
Una brecha de datos personales puede producirse cuando existe destrucción, pérdida, alteración, comunicación o acceso no autorizado a información personal. La AEPD establece procedimientos específicos para su gestión y recuerda que, cuando una brecha puede suponer un riesgo para los derechos y libertades de las personas, existen obligaciones de notificación.
Por eso, ante un incidente, ocultarlo o intentar solucionarlo individualmente no es una buena práctica.
Los profesionales deben conocer el procedimiento establecido por su organización para comunicar incidentes. La rapidez puede ser determinante para contener el problema y reducir sus consecuencias.
Además, la AEPD señala que la gestión de las brechas debe estar planificada y formar parte de un procedimiento de actuación, con responsabilidades claramente definidas.
Copias de seguridad y continuidad asistencial
Una estrategia de seguridad no puede limitarse a impedir los ataques. También debe preparar a la organización para continuar funcionando si estos llegan a producirse.
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, establece la seguridad como un proceso integral basado en la gestión de riesgos, la prevención, detección y respuesta, la vigilancia continua y la reevaluación periódica. Entre sus objetivos se encuentran garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y los servicios.
En sanidad, la disponibilidad resulta especialmente importante. No basta con proteger los datos: hay que garantizar que puedan utilizarse cuando sean necesarios.
Las copias de seguridad, los sistemas redundantes y los planes de continuidad permiten reducir el impacto de una interrupción informática y facilitar la recuperación de la actividad.
La formación es una medida de seguridad
La tecnología puede incorporar sistemas avanzados de protección, pero una parte importante de la seguridad depende del comportamiento de las personas.
La formación de los trabajadores permite reconocer intentos de fraude, utilizar correctamente las herramientas corporativas, proteger las credenciales y saber cómo actuar ante un incidente.
Por ello, la formación no debería limitarse a una sesión inicial al incorporarse al puesto. Las amenazas evolucionan y las medidas de seguridad deben actualizarse periódicamente.
El propio Esquema Nacional de Seguridad contempla la sensibilización, concienciación y formación del personal como elementos relacionados con la seguridad de los sistemas.
Conclusión
La seguridad informática se ha convertido en una necesidad esencial para los centros sanitarios españoles. Proteger los sistemas significa proteger también la información de los pacientes, garantizar la continuidad de la actividad y preservar la confianza en los servicios sanitarios digitales.
El personal administrativo desempeña un papel importante en esta protección. Utilizar correctamente las credenciales, evitar accesos innecesarios, desconfiar de mensajes sospechosos, proteger la documentación y comunicar rápidamente cualquier incidente son actuaciones sencillas, pero fundamentales.
La ciberseguridad sanitaria no depende únicamente de programas, servidores o especialistas informáticos. Es una responsabilidad compartida por toda la organización.
Bibliografía
- Ministerio de Sanidad. Estrategia de Ciberseguridad del Sistema Nacional de Salud 2025-2028 [Internet]. Madrid: Ministerio de Sanidad; 2025 [citado 10 sep 2026]. Disponible en: Estrategia de Ciberseguridad del SNS 2025-2028
- Agencia Española de Protección de Datos. Brechas de datos personales en el sector de la salud [Internet]. Madrid: AEPD; 2025 [citado 10 sep 2026]. Disponible en: Brechas de datos personales en el sector de la salud
- Ministerio de Asuntos Económicos y Transformación Digital. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Boletín Oficial del Estado [Internet]. 2022 [citado 10 sep 2026]. Disponible en: BOE. Real Decreto 311/2022
- Instituto Nacional de Ciberseguridad. Sanitario [Internet]. León: INCIBE; 2026 [citado 10 sep 2026]. Disponible en: INCIBE-CERT. Sector sanitario
- Ministerio de Sanidad. Salud Digital del Sistema Nacional de Salud [Internet]. Madrid: Ministerio de Sanidad; 2026 [citado 10 sep 2026]. Disponible en: Ministerio de Sanidad. Salud Digital