1. BDO Argentina - Fabián Descalzo 1
Gobierno, riesgo y cumplimiento
EN LAS ORGANIZACIONES
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN
EN EL SECTOR SALUD
6 de agosto de 2020
1
2

2. BDO Argentina - Fabián Descalzo 2
3
Programa de
concientización,
capacitación y
educación a distancia
Gestión y control de
servicios tecnológicos
tercerizados
Evaluación y gestión
del gobierno de
ciberseguridad y
tecnología
GOBIERNO Y SEGURIDAD EN LAS
ORGANIZACIONES
Cómo poner en valor la
gestión de la Seguridad de la
Información dentro de la
compañía
Fabián Descalzo– Director (fdescalzo@bdoargentina.com)
Fabián posee 30 años de experiencia en el área de gestión e implementación de Gobierno de Seguridad de la Información, Gobierno de TI,
Compliance y Auditoría de TI en Argentina y Latinoamérica, y asesoramiento para el cumplimiento de Leyes y Normativas Nacionales e
Internacionales en compañías de diferentes áreas de negocio. Docente del módulo de Seguridad de la Información en la “Diplomatura en Gobierno y
Gestión de Servicios de IT” del ITBA; en “Sistemas de Gestión IT” y “Seguridad de la Información” en TÜV Rheinland Argentina; del módulo Auditoría y
Control en Seguridad de la Información en la Universidad Nacional de Rio Negro. Miembro del Comité Científico del IEEE (Institute of Electrical and
Electronics Engineers), del Comité Directivo de ADACSI/ISACA. Disertante nacional e internacional y columnista especializado en áreas de Gobierno de
la Tecnología y Seguridad de la Información, Ciberseguridad y Auditoría, Informática en Salud y Compliance en las revistas CISALUD, PERCEPCIONES
(ISACA Montevideo Chapter), El Derecho Informático, CXO-Community, EXIN Newsletter de España y MAGAZCITUM de México.
ESPECIALIDADES Y ÁREAS DE CONOCIMIENTO
 Riesgo, Gobierno y Auditoría de TI
 Continuidad de Negocio y Recuperación de Procesos de Servicios de TI
 Análisis de riesgos de Ti y Seguridad de la Información
 Cumplimiento de Marco Regulatorio (SOX, HIPAA, PCI-DSS, Data Privacy, Internal Frame)
 Gobierno de Seguridad de la Información
 Procesos de Servicios TI
 Cibercrimen
CERTIFICACIONES - PRACTICAS NOTABLES
COBIT5 Foundation, Lead Auditor ISO/IEC 20000:2011, IRCA ISMS Auditor: Lead Auditor ISO/IEC 27001, Lead Auditor ISO/IEC
22301:2019, ITIL® version 3:2011 Information Management, ITIL® version 3:2011, Accredited Trainer (EXIN Accreditation)
3
4

3. BDO Argentina - Fabián Descalzo 3
Gobierno, riesgo y cumplimiento
EN LAS ORGANIZACIONES
Seguridad y riesgos al negocio en la industria
de la salud, basado en datos
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Privacidad confidencialidad
tecnología
integridad
Seguridad + Calidad
Datos
Personales
Datos
sensibles
INDUSTRIA DE LA SALUD
información
regulación
resultado
5
6

4. BDO Argentina - Fabián Descalzo 4
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Fase preclínica Fase clínica
Revisión
regulatoria
Fase de
descubrimiento
Fase 1
Fase 1
Fase 1Ensayos Modelos animales
Estudios in vitro
Estudio humano
Proceso optimizado
Aprobación y lanzamiento
Proceso tecnológico
Dato Confidencial
Información estratégica
Dato sensible
Información estratégica
y privada
Dato interno
Información táctica
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Mapade procesos de primer nivel de un hospital
Urgencias
Consultas
externas
Tratamiento
ambulatorio
Ingresos hospitalarios
Proceso de asistencia sanitaria
Gestión de
Quirófanos y salas
de operaciones
Gestión de
información
Planificación
estratégica
Atención al paciente
Gestión de
información
Planificación
estratégica
Calidad y mejora
continua
Gestión de
relaciones externas
Hotelería y
limpieza
Gestión de
RRHH
Gestión de
tecnología y TI
Gestión del
conocimiento
Servicios
generales
financiadoras Otros prestadores
7
8

5. BDO Argentina - Fabián Descalzo 5
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Financiadores
• Obras Sociales
• Prepagas
Urgencias
AuditoríaMédica
Convenios
Liquidaciones
Call Center
Autorizaciones
ServiciosMédicos
Prestadores
• Clínicas
• Laboratorios
• Profesionales médicos
AnálisisClínicos
Consultorios
Internaciones
Gasto Prestacional
HonorariosMédicos
Internaciones
Consumos
HISTORIA CLÍNICA
Facturación y Pagos
Afiliaciones
Particulares
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
financiadora
prestadoresAuditoría médica
CONTROL PRESPUESTARIO Y
GESTIÓN COMERCIAL (Facturación –
Liquidaciones– Contrataciones)
CALIDAD DE
SERVICIO
monitorear, evaluar y mejorar la calidad de los servicios de salud
relación directa entre la calidad de los registros y la de la atención prestada
(tratamiento de la información auditada + proceso que asegure los datos de Pacientes yAfiliados)
9
10

6. BDO Argentina - Fabián Descalzo 6
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Hce
Datos desalud
Sistemas
administrativos
Médico propio
o prestador
Prestador
emergencias
Personal
administrativo y
médico
Laboratorio
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
NECESIDAD DE
CONOCER
Definición de
puesto
definiciones de
contrato
Acceso a datos –procesamiento – comunicaciones
gestión de latecnología– gestión de proyectos
Personal de
tecnología
11
12

7. BDO Argentina - Fabián Descalzo 7
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
PRINCIPALES RIESGOS Y CONSECUENCIAS EN ESTOS PROCESOS
AMENAZAS
Ciberataques
Gestión
interna de
servicios
tecnológicos
Gestión
terceros de
servicios
tecnológicos
usuarios
Gestión
terceros del
negocio
RIESGOS
Fraude
interno
Pérdida de
integridad
Pérdida de
privacidad y
confidencialidad
Espionaje
industrial
Secuestro o
robo de datos
Penalidades
regulatorias o
legales
IMPACTO
IMPACTO REPUTACIONAL
PÚBLICO Y PROFESIONAL
IMPACTO ECÓMICO
Y FINANCIERO
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
• Nombre, Dirección, Teléfono, email
• Datos básico personales: Útiles para spam, minería de datos, elaboración
de perfiles
Nivel
1
• Fecha de nacimiento, Nro. de HC, Nro. de seguro asistencial, Nro. de licencia
de conducir
• Datos no públicos, utilizados para cometer robos de identidad
Nivel
2
• Aseguradora/Obra Social, información de pago, tarjeta de crédito, cuenta
bancaria
• Datos para cometer fraudes financieros, estafas de facturación, robos
Nivel
3
• Grupo sanguíneo, diagnósticos, prescripciones, datos genéticos
• Datos médicos para cometer fraudes de facturación, uso indebido de
prescripciones y servicios médicos, fraude de identificación médica
Nivel
4
13
14

8. BDO Argentina - Fabián Descalzo 8
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Entornos Ejemplos de situaciones de riesgo Ejemplos de medidas de seguridad
Entorno físico
• Acceso indebido a oficinas o lugares de atención donde se
manipula información de historia clínica o datos de diagnóstico
en papel
• Acceso a equipamiento informático, periféricos y equipos
móviles de sectores que procesan datos de pacientes
• Sistemas de alarma
• Control de acceso físico
• Vidrios laminados opacos que impidan la visual
Entorno
administrativo
• Falta de rol del responsable de seguridad
• Falta de capacitación y supervisión de los equipos de trabajo
• Control de acceso a la información deficiente
• No se evalúan en forma periódica los aspectos de seguridad
• Asignar un responsable de seguridad
• Formación del personal
• Revisión mensual de las actividades del usuario
• Aplicación de políticas
Entorno técnico
• Bajos controles establecidos sobre el acceso a la historia clínica
electrónica
• Registros de auditoría insuficientes para supervisar las
actividades realizadas sobre la historia clínica electrónica o para
evitar cambios indebidos de los datos electrónicos de los
pacientes
• No se aseguran intercambios electrónicos autorizados de la
información del paciente
• Establecer políticas de configuración de seguridad informática
• Establecer políticas de respaldo de datos
• Comprobación de protección ante virus
• Establecer mecanismos de cifrado de datos
Entorno
documental
• Inexistencia de documentos que aseguren el cumplimiento de las
condiciones de seguridad establecidas en el marco regulatorio y
legal de la práctica médica
• Documentación desorganizada y en desconocimiento de la
organización
• Establecer un marco normativo de seguridad de la
información que norme la actividad y responsabilidades de
usuarios y terceras partes, y documentar su aceptación
• Establecer una gestión documental sobre el marco normativo
y prever su comunicación a la organización (ciclo de vida y
política de retención)
Entorno
organizacional
• Incumplimiento en nuevas instalaciones, procesos
administrativos y comerciales.
• Fallas legales y de seguridad de la información en acuerdos
escritos
• Actualización y revisión de acuerdos de negocio en base al
marco regulatorio y políticas de la organización
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
PERDIDA DE DATOS
¿QUÉ OCURRE SI NO SE ELABORA LA HC O SE OMITE ANOTAR ALGÚN PROCEDIMIENTO O MEDICACIÓN?
Todo lo que no se precise en ella puede ser usado en contra de quien cometió la omisión, adicionalmente se
expone a las sanciones ante el Tribunal de Ética Médica. Si es empleado oficial el delito se prevaricato por
omisión y cuando recibe colaboración de una persona particular también ésta responderá como cómplice.
FALTA DE INTEGRIDAD DE LOS DATOS
¿QUÉ OCURRE SI SE HACEN ANOTACIONES DE LAS CONDICIONES DE SALUD DE UNA PERSONA, O ACTOS
MÉDICOS O PROCEDIMIENTOS QUE NUNCA SE REALIZARON?
Delito de falsedad ideológica en documento privado. Todo lo que no se precise en ella puede ser usado en
contra de quien cometió la omisión, adicionalmente se expone a las sanciones ante el Tribunal de Ética Médica.
FALTA DE CONFIDENCIALIDAD DE LOS DATOS
¿QUÉ SANCIÓN TIENE UNA PERSONA PARTICULAR QUE REVELE ALGO QUE ESTE EN LA HISTORIA CLÍNICA DE
OTRA PERSONA?
Comete el delito de divulgación y empleo de documentos reservados.
 La ley 25.326 prevé penas de un mes a dos años de prisión al que insertara o hiciera insertar a sabiendas
datos falsos en un archivo de datos personales
 Ley 26.529 “Derechos del paciente” también contempla El resguardo del derecho a la intimidad y a la
confidencialidad de la información médica del paciente
Brinda a sus Profesionales Médicos yTécnicos un ambiente seguro de trabajo
Mantener las normas, la ética y la transparencia profesional
15
16

9. BDO Argentina - Fabián Descalzo 9
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
ALCANCE
• Identificar procesos
de tratamiento de
datos personales y
sensibles
• Identificar entradas
y salidas externas a
los procesos
funcionales
LIDERAZGO
• Designar un
responsable de
seguridad y
privacidad
• Apoyo de la Alta
Gerencia y la
Dirección Médica
• Contar con
especialistas de
campo en la gestión
de datos de salud
DOCUMENTACIÓN
• Políticas y
procedimientos
• Reportes de análisis de
riesgos de seguridad
• Plan de acción de
gestión de riesgos
• Convenios de
prestadores de
servicios
• Registros de
capacitación para el
personal y terceros
asociados
• Registros de auditoría
sobre la HCE
17
18

10. BDO Argentina - Fabián Descalzo 10
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
ANALISISDERIESGOS
• Arquitectura de la HCE
(hardware, software,
interfaces, usuarios)
• Entorno físico donde se
tratan datos sensibles
(HC)
• Procesos funcionales de
tratamiento de datos
PLANDEREMEDIACIÓN
• Integrar equipos de
trabajos
interdisciplinarios
• Incluir medidas de
seguridad
administrativas, físicas y
técnicas; políticas y
procedimientos; normas
organizacionales
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Dominios de gobierno de la seguridad de la información
19
20

11. BDO Argentina - Fabián Descalzo 11
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
21
22

12. BDO Argentina - Fabián Descalzo 12
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Captura
Auto-Ingreso
Ingreso
manual
Importación
Recepción
Mantenimiento
Almacenar
•Archivo
•Backup
•Encripción
•Recuperación
•Restauración
•Salvado
Actualización
•Autenticidad
•Edición
•Sincronizar
•Integración
•Etiquetar
Eliminación
•Borrar
•Purgar
Ejecución
Extraer
Procesar
Transmitir
Intercambio
Exportación
Importación
Recepción
Transmisión
Determinación
Análisis
Decisión
Visibilidad
Codificar
Encriptar
Enmascarar
Categorización para la gestión de datos
23
24

13. BDO Argentina - Fabián Descalzo 13
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Estrategiasdetratamiento
Responsabilidad
Gestión de
registros
Procesos de
seguimiento
y revisión
Ayuda a
departament
os de apoyo
Calidad
Crear y
mantener
registros
según ley
Garantizar la
autenticidad
y valor
probatorio
Adoptar
medidas de
continuidad y
disponibilidad
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Estrategiasdetratamiento
Procesamiento
Procedimient
os para el
ciclo de vida
de la
información
Monitoreo
continuo del
proceso de
gestión de
registros
Establecer
requisitos
técnicos
necesarios
Seguridad
Mantener
confidenciali
dad e
integridad y
prevenir
eliminación
Mantener
pistas de
auditoria y
esquemas de
resguardo
Almacenami
entoy
acceso a los
registros
adecuado
25
26

14. BDO Argentina - Fabián Descalzo 14
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Estrategiasdetratamiento
Acceso a datos
Claros y
eficientes
para el
tratamiento
de
información
Monitoreo
de la
actividad de
permisos
otorgados
Establecer
controles en
los puntos de
creación de
registros
Segmentación de datos
Identificar los
sistemas y
medios de
almacenamie
nto
Identificar los
perfiles de
usuario
críticos y su
asignación
Asegurar los
mecanismos
de filtrado de
metadatos
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
ArquitecturaLógica
Datos de Identificación
Personal y de Salud
Estándar de
cifrado en la
transmisión
Prevención
de acceso o
visualización
de datos de
identidad no
autorizada
Evitar
impresión o
transferir a
medio
extraíble
Segregación de red
Asegurar la
separación
de redes con
terceros
Coordinar
conveniente
mente el
versionado
de parches
con terceros
Considerar
controles de
seguridad
física para
evitar
intrusiones
27
28

15. BDO Argentina - Fabián Descalzo 15
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
ArquitecturaLógica
Control de accesos
Establecer
roles y
perfiles
asignados
mediante
una matriz
de control
Configurar y
mantener
segregado el
acceso al
software de
base
Configurar y
mantener
segregado el
acceso a las
aplicaciones
y equipos
médicos
Accesos remotos
Asignado
solo a
empleados
autorizados.
Prohibir a
terceros
Utilizar
hardware y
software
autorizado
No
almacenar el
PID en caché
o equipos
remotos
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
ArquitecturaLógica
Redes inalámbricas
Utilizar protocolos de autenticación
y cifradoseguro (estándar 802.11i
que especifica el protocolo AES)
Redes externas e internet
Proteger y
configurar en
forma segura
cada gateway
de red externa
No puede
utilizarse el
mismo firewall
físico que para
la red interna
Configurar
reglas entrantes
en los firewall
para permitir
acceso a una
red externa
29
30

16. BDO Argentina - Fabián Descalzo 16
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Capacitar
Programas de
capacitación por
grupos de interés
Formación específica
en la legislación de
protección de datos y
derechos del paciente
Formación asociada a
cada proceso de
tratamiento de datos
de salud
Proporcionar capacitación y orientación sobre buenas prácticas y
responsabilidades para todo el personal involucrado con los registros
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Continuidad de negocio comorequisitos regulatorio
GESTIÓN DE INCIDENTES
Planes de respuesta ante incidentes
GESTIÓN DE CONTINUIDAD
Planes de Continuidad
Ransomware y
malware
Falla en servicios
tercerizados
Robo de
información
comercial
Fallas en control
de cambios
Plan de continuidad
de negocios o de
servicios tecnológicos
(BCP-DRP)
OPERACIÓN EN CONTINGENCIA
31
32

17. BDO Argentina - Fabián Descalzo 17
33
conclusiones
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
Mito Realidad
El análisis de riesgos de
seguridad es opcional para los
pequeños prestadores
Falso. Todos los prestadores deben incluirse en un análisis de riesgo; el alcance solo está
determinado por los procesos de los servicios de salud (administrativos y tecnológicos),
pero sus componentes (prestadores, usuarios, profesionales médicos) y su entorno
(físico ý lógico) deben analizarse.
Debo externalizar el análisis de
riesgos de seguridad
Falso. Es posible hacer análisis de riesgoacotados basados en herramientas de
autoayuda. Sin embargo, para encarar proyectos de remediación profundos u
orientados a obtener alguna certificación, es necesario contar con la experiencia
profesional de un experto con conocimientos sobre el cumplimiento necesario.
Una lista de verificación es
suficiente para registrar un
análisis de riesgo
Falso. Las listas de verificación pueden ser herramientas útiles, pero no completan la
totalidad de los registros necesarios que respaldan sus respuestas.
El análisis de riesgos de
seguridad sólo debe hacerse
sobre la HCE
Falso. Se deben revisar todos los dispositivos electrónicos que almacenan, capturan o
modifican la información electrónica de la salud. (p. ej., su tablet PC, teléfono móvil,
fotocopiadoras, etc.)
Sólo tengoque hacer un
análisis de riesgouna vez
Falso. Anualmente debe de revisar, corregir o modificar y actualizar la protección de
seguridad.
33
34

18. BDO Argentina - Fabián Descalzo 18
GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN EN EL SECTOR SALUD
Seguridad para la protección de privacidad y de calidad de prestación
El empleo de estándares ayuda a ordenar procesos asociados a los servicios que tratan
información médica asegurando su integridad y disponibilidad, y contar con personal
preparado asegura su implementación
ISO/IEC27799
ESTÁNDARESPARAFACILITAREL
INTERCAMBIOELECTRÓNICODE
INFORMACIÓNCLÍNICA
Objetivos internacionales para la
seguridaddel paciente
https://www.paho.org/es
API
Aseguramiento de Procesos Informáticos
RAS | Risk Advisory Services | IT Assurance, Audit and Compliance
Pablo Silberfich
Socio
psilberfich@bdoargentina.com
Fabián Descalzo
Director
fdescalzo@bdoargentina.com
35
36