1. Propósito y Alcance
Esta normativa tiene como objetivo proteger los activos de información del Hospital San Juan de Dios de Zaragoza, garantizando su confidencialidad, integridad, disponibilidad y trazabilidad. Se aplica a todo el personal interno y externo, sistemas tecnológicos, proveedores y servicios que manipulen, transmitan o almacenen información institucional. El cumplimiento de esta política es obligatorio y forma parte del compromiso del Hospital con la seguridad de la información y el cumplimiento normativo.
2. Principios Generales
La seguridad de la información se regirá por principios de cumplimiento del Esquema Nacional de Seguridad (ENS), el Reglamento General de Protección de Datos (RGPD) y las mejores prácticas del estándar ISO/IEC 27001. Se aplicará el principio de mínimos privilegios, garantizando que cada usuario acceda solo a los recursos estrictamente necesarios para su función. La organización promoverá una mejora continua de los controles y procedimientos de seguridad, adaptándose a los cambios tecnológicos y organizativos.
3. Roles y Responsabilidades
Los usuarios son responsables del uso adecuado de los sistemas y de proteger sus credenciales. Los propietarios de activos deben controlar los accesos y reportar cualquier incidencia. La Dirección tiene la responsabilidad de promover una cultura de seguridad, dotar de recursos y garantizar el cumplimiento de la normativa. El Responsable de Seguridad definirá las políticas, coordinará las acciones de seguridad y revisará su aplicación, incluyendo la formación y auditorías necesarias.
4. Gestión de Riesgos
El Hospital aplicará la metodología MAGERIT o similar para identificar, evaluar y gestionar los riesgos que afecten a los activos de información. El análisis de riesgos se documentará y se establecerán medidas de mitigación proporcionales a la criticidad de la información. Los riesgos serán revisados periódicamente o ante cambios relevantes en los sistemas o procesos del Hospital.
5. Seguridad de los Sistemas
El acceso a los sistemas debe realizarse mediante credenciales personales, con doble factor de autenticación para accesos remotos. Las contraseñas deben ser confidenciales, robustas y cambiarse regularmente. Se prohíbe el uso de dispositivos personales (BYOD) salvo autorización expresa. El teletrabajo se permitirá únicamente con equipos corporativos que cumplan requisitos de seguridad (VPN, antivirus, cortafuegos). El correo corporativo es de uso profesional y podrá ser auditado para garantizar la seguridad.
6. Infraestructura Segura
Los elementos críticos del Hospital deben contar con alta disponibilidad (HA), fuentes de alimentación redundadas (UPS, grupo electrógeno) y sistemas de respaldo que cumplan la regla 3-2-1. El Hospital debe mantener un Plan de Recuperación ante Desastres (DRP) actualizado anualmente, contemplando los procedimientos de restauración y contingencia para los servicios esenciales.
7. Normas de Uso
Los equipos informáticos son para uso profesional exclusivo. Está prohibida la instalación de software no autorizado o manipulación física de los equipos por parte de los usuarios. Se aplicará la política de ‘mesa limpia’, dejando los documentos y equipos asegurados al finalizar la jornada. Las labores de mantenimiento serán gestionadas por el departamento de IT. La eliminación de dispositivos debe hacerse con garantías de borrado seguro y destrucción por proveedor especializado.
8. Respuesta ante Incidentes
Cualquier pérdida, acceso no autorizado, alteración o interrupción de la información se considerará un incidente de seguridad. Los usuarios están obligados a reportar inmediatamente cualquier incidente al Departamento de IT a traves de los medios habilitados para ello (intranet, telefono o presencialmente). Desde el departamento de IT se analizará, gestionará y documentará el evento para tomar medidas correctivas y prevenir su recurrencia.
9. Concienciación y Formación
El Hospital desarrollará un plan anual de formación en seguridad de la información y protección de datos. La formación incluirá sesiones a nuevas incorporaciones, campañas de concienciación por correo electrónico y revisiones periódicas del estado de cumplimiento. Se realizarán auditorías internas cuyos resultados se comunicarán a Dirección para la adopción de medidas correctoras si procede.
10. Proveedores
Todo proveedor que acceda a sistemas o datos del Hospital deberá firmar un acuerdo que garantice el cumplimiento de la normativa de protección de datos y seguridad de la información. Antes de habilitar el acceso, se deberá registrar la empresa, su NIF, datos de contacto y los permisos específicos concedidos. El departamento de IT gestionará los accesos y almacenará la documentación correspondiente.
11. Política de Mesas Limpias
Con el fin de proteger la información sensible y garantizar un entorno de trabajo seguro, el Hospital implementa una política de mesas limpias. Esta política establece que todos los empleados deben asegurarse de que sus puestos de trabajo estén organizados y libres de documentos o dispositivos que contengan información confidencial al finalizar su jornada laboral.
Los documentos en papel que contengan datos personales, clínicos o confidenciales deben ser archivados en espacios cerrados y seguros, como cajones o armarios bajo llave. Los dispositivos electrónicos deben estar bloqueados cuando no estén en uso, y debe configurarse el bloqueo automático de pantalla después de un tiempo razonable de inactividad.
Se prohíbe dejar información sensible a la vista de terceros, especialmente en áreas comunes o zonas de acceso público. Esta medida minimiza el riesgo de accesos no autorizados o pérdida de información por descuido.
El cumplimiento de esta política será supervisado por el Departamento de IT y es obligatorio para todo el personal. El incumplimiento reiterado puede dar lugar a medidas disciplinarias según lo establecido por la normativa interna del Hospital.
12. Usos Aceptables y Prohibidos de los Sistemas Informáticos
El uso de los ordenadores, sistemas y recursos informáticos del Hospital San Juan de Dios está estrictamente limitado a fines profesionales relacionados con las funciones asignadas a cada trabajador. El incumplimiento de estas normas puede conllevar medidas disciplinarias, así como responsabilidades legales en caso de uso indebido.
Usos aceptables:
– Acceder únicamente a la información necesaria para el desarrollo de las funciones asignadas.
– Utilizar exclusivamente el software autorizado y homologado por el Departamento de IT.
– Proteger la confidencialidad de la información visible en pantalla o almacenada localmente.
– Bloquear o cerrar sesión en los equipos al ausentarse del puesto de trabajo.
– Informar de cualquier incidente de seguridad o mal funcionamiento de los equipos al Departamento de IT.
Usos prohibidos:
– Instalar o ejecutar software no autorizado o de origen desconocido.
– Conectar dispositivos personales (pendrives, móviles, etc.) sin autorización expresa del Departamento de IT.
– Utilizar los sistemas del hospital para actividades personales, recreativas o no laborales.
– Acceder a información o sistemas sin los permisos adecuados o sin justificación funcional.
– Manipular físicamente los equipos, incluyendo apertura de hardware, desconexión de cables o traslado de los mismos.
– Utilizar el correo corporativo para fines ajenos a la actividad profesional.
Todo el personal es responsable del uso correcto de los sistemas informáticos y debe seguir en todo momento las instrucciones del Departamento de IT. Las auditorías internas podrán verificar el cumplimiento de esta normativa.
