En el marco de Inforsalud 2016, Atos presentará el Laboratorio de Seguridad de la Información creado para el Servicio Gallego de Salud (SERGAS), que da una respuesta integral a la gestión de la seguridad de la información en el sector sanitario. Un sector que ofrece una gran complejidad, derivada del gran volumen de datos manejados, de su carácter extremadamente sensible y de sus elevados requerimientos de disponibilidad, integridad y confidencialidad, además del cumplimiento del marco regulatorio.

El proyecto de Atos ha permitido al Sergas agrupar una serie de servicios y contenidos en un Laboratorio de Seguridad de la Información que se ha convertido en una referencia dentro del sector sanitario. Con él, el Sergas ha elevado su nivel de seguridad y también la percepción, por parte de sus usuarios, de que su información es manejada con las máximas garantías de seguridad. Además, permite al Sergas un conocimiento preciso del estado de su seguridad,  mediante un Cuadro de Mandos de Seguridad. Además, se ha establecido un Servicio CERT homologado por la Universidad de Carnegie Mellon.

La solución de Atos contempla diferentes ámbitos de actividad como la elaboración de una Metodología de Seguridad de la información sanitaria, Guías técnicas de seguridad, los Contenidos del Portal de Seguridad de la información del Servizo Galego de Saúde, la Elaboración de un catálogo de Material Formativo en el campo de la seguridad de la información y la protección de datos en el entorno sanitario y  un Centro de Respuesta ante Incidentes de Seguridad de la Información en el ámbito sanitario.

La metodología desarrollada contempla la Gestión de Incidentes de Seguridad, de acuerdo con el principio básico de “Prevención, reacción y recuperación”, y establece una Arquitectura Técnica de Seguridad que facilita una estrategia coordinada e integrada de las líneas de defensa frente a las amenazas. En paralelo, se ha creado un Cuadro de Mando de Seguridad, que permite evaluar la eficacia del sistema de gestión de la seguridad implantado. La metodología contempla también la Revisión independiente de la Seguridad, con el objetivo de disponer de información fiable y útil para la mejora de la seguridad de la organización, y la Gestión de Riesgos que incluye el soporte documental actualizado.

Desarrollan elementos como la Conexión a los sistemas corporativos desde dispositivos móviles, la Securización de los servicios de videoconferencia y mensajería, el Establecimiento del marco para el desarrollo de aplicaciones de dispositivos móviles y el Desarrollo de aplicaciones sobre todo tipo de plataformas que estén disponibles en el catálogo de arquitecturas tecnológicas  soportadas por la organización. El objetivo de estas guías es el cumplimiento de la Arquitectura Técnica de Seguridad definida para la organización.

Dispone de un interfaz de colaboración con los usuarios del sistema sanitario, con una serie de contenidos prácticos, orientados a la información y concienciación en los aspectos de Seguridad en Sistemas de Información.

Como parte fundamental del proyecto, se ha elaborado un catálogo de material formativo en el campo de la seguridad de la información y protección de datos en el entorno sanitario. Este material se organiza según distintos perfiles y en diferentes áreas, agrupadas en varios recorridos formativos: Sistema de Gestión de Seguridad de la  Información; Estándares internacionales en materia de seguridad de la información; Recomendaciones generales de seguridad orientado a usuarios; Responsabilidad de uso de los sistemas, Uso de los servicios electrónicos de forma segura; Tratamiento de datos por parte de terceros, Recomendaciones generales de seguridad orientado a usuarios; Responsabilidad de uso de los sistemas; Uso de los servicios electrónicos de forma segura y Tratamiento de datos por parte de terceros.

Su implantación sitúa al Sergas como la institución de referencia en la Respuesta ante Incidentes de Seguridad en el entorno sanitario. Entre los retos del centro destaca la Gestión de Vulnerabilidades y la Gestión de Alertas e Incidentes, que incluye el establecimiento del flujo y operativa de trabajo.