Seguridad de la información en sistemas farmacéuticos
La información que circula dentro de una farmacia o una clínica no es solo datos: es el historial de salud de personas reales, sus diagnósticos, sus tratamientos, sus vulnerabilidades. Protegerla no es una opción técnica; es una responsabilidad ética y legal.
Durante años, la seguridad de la información fue considerada un tema reservado para bancos, empresas de telecomunicaciones o grandes corporaciones tecnológicas. El sector salud, por su naturaleza asistencial y muchas veces con recursos limitados para inversión en infraestructura, quedó rezagado en este aspecto. Hoy, ese rezago tiene consecuencias muy concretas.
El sector salud se ha convertido en uno de los principales objetivos de los ciberataques (ataques informáticos maliciosos) a nivel mundial. Según el informe anual de IBM Security, el costo promedio de una filtración de datos (data breach) en el sector salud alcanzó los 10,9 millones de dólares en 2023, el más alto de cualquier industria por tercer año consecutivo. Detrás de esa cifra hay algo más grave que el dinero: hay historiales médicos expuestos, prescripciones falsificadas, identidades robadas y, en algunos casos, interrupciones en la atención que pusieron en riesgo vidas.
En América Latina, y particularmente en el Perú, el marco normativo sobre protección de datos personales en salud está evolucionando. La Ley N° 29733, Ley de Protección de Datos Personales, y su reglamento establecen obligaciones claras para los establecimientos que manejan información sensible de sus pacientes. Cumplirlas no es solo evitar una multa: es garantizar la confianza de quienes ponen su salud en manos de la institución.
¿Por qué el sector salud es tan vulnerable?
La respuesta tiene varias capas. La primera es el valor de la información. Un historial médico completo puede valer en el mercado negro entre 10 y 1.000 dólares, muy por encima del valor de una tarjeta de crédito robada, que suele desactivarse en horas. Un historial médico contiene datos que no cambian: nombre completo, fecha de nacimiento, diagnósticos crónicos, medicamentos, alergias, datos del seguro. Esta permanencia lo hace extremadamente valioso para el fraude de identidad y para la extorsión.
La segunda razón es la complejidad operativa. Una clínica o farmacia moderna maneja decenas de sistemas simultáneamente: el HIS (Hospital Information System; Sistema de Información Hospitalaria), el sistema de farmacia, el módulo de facturación, la plataforma del seguro, las terminales de pago, los dispositivos médicos conectados. Cada uno de estos puntos es una puerta potencial de entrada para un atacante si no está debidamente protegido y actualizado.
La tercera razón es la presión asistencial. En entornos donde la prioridad es atender al paciente, los protocolos de seguridad informática suelen percibirse como obstáculos. Contraseñas compartidas, sesiones abiertas en computadoras de uso común, actualizaciones de software postergadas indefinidamente: estas prácticas, comprensibles desde la urgencia cotidiana, crean vulnerabilidades que los atacantes saben explotar.
$10.9M
costo promedio de una filtración de datos en el sector salud a nivel global en 2023, el más alto de cualquier industria (IBM Security)
53%
de las organizaciones de salud en América Latina reportaron al menos un incidente de seguridad informática en los últimos dos años (ESET, 2023)
277 días
tiempo promedio para identificar y contener una filtración de datos en el sector salud a nivel global (IBM Security, 2023)
Las amenazas más frecuentes en entornos farmacéuticos y clínicos
Conocer los tipos de amenaza más comunes es el primer paso para enfrentarlas. En el contexto de farmacias, clínicas y cadenas farmacéuticas, las siguientes son las más relevantes:
RansomwareUn tipo de malware (software malicioso) que cifra los archivos del sistema y exige un pago para restaurar el acceso. En hospitales, este tipo de ataque puede paralizar la operación completa: desde el acceso a historiales clínicos hasta la dispensación de medicamentos. En los últimos años, varios hospitales latinoamericanos han sido víctimas de este tipo de ataque con consecuencias operativas graves.
PhishingCorreos electrónicos o mensajes fraudulentos que simulan ser de fuentes confiables —proveedores, aseguradoras, organismos reguladores— para engañar al personal y obtener credenciales de acceso o instalar software malicioso. Es la puerta de entrada más común en incidentes de seguridad en el sector salud.
Acceso no autorizado internoNo todas las amenazas vienen de afuera. El acceso indebido a información por parte de empleados —ya sea por curiosidad, por error o con intención maliciosa— es una fuente frecuente de incidentes. Sin controles de acceso por roles (permisos diferenciados según la función de cada usuario), cualquier persona con acceso al sistema puede ver información que no le corresponde.
Pérdida o robo de dispositivosUna laptop sin cifrado (encriptación) de disco que contiene historiales de pacientes, una tablet extraviada con acceso al sistema de farmacia o un USB con respaldos de base de datos pueden convertirse en una filtración masiva de datos sin que ningún hacker esté involucrado.
Sistemas desactualizadosLos sistemas operativos y aplicaciones que no reciben actualizaciones de seguridad tienen vulnerabilidades conocidas que los atacantes explotan activamente. En muchos establecimientos de salud en la región, es común encontrar equipos que aún operan con versiones antiguas de software por temor a que las actualizaciones afecten la operación.
Los pilares de una estrategia de seguridad en sistemas de salud
No existe una solución única que garantice la seguridad absoluta. La seguridad de la información es un proceso continuo que combina tecnología, procesos y personas. Sin embargo, hay un conjunto de pilares que toda institución de salud debería tener en marcha, independientemente de su tamaño.
Control de acceso por roles
Cada usuario del sistema debe tener acceso únicamente a la información que necesita para hacer su trabajo. Un cajero no debería poder ver el historial clínico completo de un paciente; un farmacéutico no debería tener acceso a la configuración financiera del sistema. Este principio, conocido como «mínimo privilegio necesario» (least privilege), limita el daño potencial de cualquier incidente.
Autenticación robusta
El uso de contraseñas seguras, combinado con la autenticación de dos factores (2FA: Two-Factor Authentication), reduce drásticamente el riesgo de accesos no autorizados. En sistemas que manejan datos sensibles de pacientes, esta medida no es opcional: es el mínimo indispensable.
Cifrado de datos
La información almacenada y transmitida debe estar cifrada (encriptada), de modo que, incluso si un atacante logra acceder a los datos, no pueda leerlos sin la clave correspondiente. Esto aplica tanto a las bases de datos del sistema como a las comunicaciones entre sedes y con proveedores externos.
Respaldos regulares y probados
Un respaldo (backup) que nunca se ha probado es un respaldo que podría no funcionar en el momento crítico. Las instituciones deben realizar copias de seguridad periódicas, almacenarlas en ubicaciones separadas del sistema principal y verificar regularmente que el proceso de restauración funciona correctamente.
Registro de auditoría
Toda acción realizada en el sistema —quién accedió, qué consultó, qué modificó y cuándo— debe quedar registrada en un log de auditoría (bitácora de actividad) que no pueda ser alterado por los propios usuarios. Este registro es esencial tanto para detectar incidentes como para responder a requerimientos de las autoridades sanitarias.
Capacitación del personal
La tecnología más avanzada puede ser neutralizada por un solo empleado que abre un correo de phishing o que anota su contraseña en un papel junto al monitor. La capacitación continua en buenas prácticas de seguridad informática es tan importante como cualquier herramienta técnica.
El marco normativo en el Perú: lo que la ley exige
En el Perú, la protección de datos personales en el sector salud está regulada por dos marcos normativos que se complementan. Por un lado, la Ley N° 29733, Ley de Protección de Datos Personales, y su reglamento (D.S. N° 003-2013-JUS) establecen que los datos relacionados con la salud son datos sensibles y requieren un nivel de protección reforzado. La Autoridad Nacional de Protección de Datos Personales, adscrita al Ministerio de Justicia, puede imponer sanciones a las instituciones que no cumplan con estas obligaciones.
Por otro lado, el MINSA y la DIGEMID establecen requisitos específicos sobre la confidencialidad de la información del paciente y la trazabilidad de los registros en establecimientos farmacéuticos y de salud. El Reglamento de Establecimientos Farmacéuticos exige que los sistemas de información garanticen la integridad y disponibilidad de los datos, lo que implica contar con medidas de seguridad que vayan más allá del simple uso de contraseñas.
A nivel internacional, el estándar de referencia es la norma ISO 27001, que establece los requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI). Aunque no es de cumplimiento obligatorio en el Perú para establecimientos de salud privados, su adopción es cada vez más valorada por aseguradoras, socios comerciales y pacientes como señal de compromiso con la protección de la información.
Para tener en cuenta: la Ley N° 29733 considera los datos de salud como «datos sensibles» y establece que su tratamiento requiere el consentimiento explícito del titular. Las instituciones que recopilan, almacenan o transfieren este tipo de datos deben estar inscritas en el Registro Nacional de Protección de Datos Personales y contar con políticas documentadas de seguridad. El incumplimiento puede derivar en sanciones que van desde amonestaciones hasta multas de hasta 100 UIT (Unidades Impositivas Tributarias).
Cómo los sistemas de gestión integrados fortalecen la seguridad
Una de las ventajas menos discutidas de adoptar un sistema de gestión especializado para el sector salud es el impacto positivo que tiene sobre la seguridad de la información. Y es que los sistemas bien diseñados no solo facilitan la operación: también incorporan, desde su arquitectura, los controles necesarios para proteger los datos.
Un sistema integrado permite centralizar la administración de usuarios y permisos, de modo que cuando un empleado deja la institución o cambia de rol, sus accesos pueden actualizarse desde un único punto en lugar de tener que rastrear múltiples aplicaciones. Esto elimina una de las vulnerabilidades más comunes: las cuentas de exempleados que siguen activas en el sistema.
Además, los sistemas modernos generan automáticamente registros de auditoría detallados de cada operación realizada: qué usuario accedió a qué información, en qué momento y desde qué dispositivo. Esta trazabilidad no solo es un requisito regulatorio: también es una herramienta invaluable para detectar comportamientos anómalos que podrían indicar un intento de acceso no autorizado o una fuga de información.
La gestión de la información en la nube (cloud computing), cuando se realiza con proveedores certificados y contratos que garantizan la residencia de datos en servidores seguros, ofrece ventajas adicionales: actualizaciones automáticas de seguridad, respaldos gestionados por el proveedor y redundancia geográfica que garantiza la disponibilidad del sistema incluso ante fallas físicas en las instalaciones del establecimiento.
En definitiva, un sistema de información farmacéutico o clínico que ha sido diseñado con los estándares de seguridad adecuados no es solo una herramienta operativa: es también una capa de protección para la institución, para su personal y, sobre todo, para los pacientes que confían en ella con su información más sensible.
Conclusión: la seguridad no es un proyecto, es una cultura
Proteger la información en un establecimiento farmacéutico o clínico no es una tarea que se completa una sola vez. Es un compromiso continuo que requiere tecnología adecuada, procesos bien definidos y un equipo que entienda por qué la seguridad importa. No como un requisito burocrático, sino como parte de la misión de cuidar a las personas.
Las instituciones que invierten en seguridad de la información no solo reducen su riesgo legal y financiero. También construyen algo más difícil de cuantificar pero igualmente valioso: la confianza de sus pacientes. En un mercado donde las personas tienen cada vez más opciones para elegir dónde atenderse, saber que su información está protegida puede ser un factor determinante. Y en el sector salud, la confianza no es un activo secundario: es la base de todo.
¿Sabe quién tiene acceso a la información de sus pacientes en este momento? En Lolimsa nuestras soluciones incorporan controles de acceso, registros de auditoría y estándares de seguridad diseñados para el sector salud. Hablemos.
Referencias
- IBM Security. Cost of a Data Breach Report 2023. Disponible en: ibm.com/security
- ESET Latinoamérica. Reporte de amenazas: sector salud en América Latina. 2023. Disponible en: eset.com/latam
- Congreso de la República del Perú. Ley N° 29733 – Ley de Protección de Datos Personales. Lima, 2011.
- Ministerio de Justicia y Derechos Humanos del Perú. Reglamento de la Ley de Protección de Datos Personales. D.S. N° 003-2013-JUS. Lima, 2013.
- Ministerio de Salud del Perú (MINSA). Reglamento de Establecimientos Farmacéuticos. D.S. N° 014-2011-SA y modificatorias. Lima.
- International Organization for Standardization (Organización Internacional de Normalización). ISO/IEC 27001:2022 – Information security management systems. Geneva, 2022.
- Organización Panamericana de la Salud (OPS). Ciberseguridad en el sector salud de América Latina y el Caribe. Washington D.C., 2020. Disponible en: www.paho.org
