Soluciones de seguridad Febrero 2014 Juan Ramón Fontán Sales Director Security Accenture España

Datos de estudio colaborativo 2011: Accenture & Ponemon Institute ¿Ha sufrido tu departamento alguna fuga de datos que haya implicado la pérdida o robo de datos de paciente? Introducción: estadísticas de fugas de datos Copyright © 2013 Accenture All rights reserved.2 Si tu organización ha sufrido una fuga de datos, ¿ha supuesto robo de identidad?

El aumento de las necesidades de intercambio de información clínica desde dentro y fuera de la organización supone un incremento en el riesgo de filtraciones de datos. Como ejemplo, se proporcionan datos del mercado estadounidense. Impacto económico Total de la industria: 6 billones de dólares por año Media por organización de salud: 2 millones de dólares por año Falta de capacidades o prioridad en la securización de los datos de paciente 58% de las organizaciones tenía pocos o ningún control funcionando. 70% dicen que no es una prioridad Pobre política de auditoría o revisión de accesos internos y fraude 40% de las organizaciones reportan incidentes de uso inadecuado interno de datos de salud de pacientes 35% de profesionales había accedido a los datos a los que tenía acceso un colega Introducción: problemas comunes en sanidad Copyright © 2013 Accenture All rights reserved.3

Las filtraciones de datos están aumentando, por lo que hay que aumentar la monitorización proactiva Introducción: 3 puntos clave en la estrategia de seguridad Es necesario gestionar de manera eficiente el control de accesos La incorporación de las tecnologías móviles supone una oportunidad pero incrementa el riesgo de accesos no autorizados

5 Monitorización proactiva: un enfoque de implementación La solución debe centrarse en un grupo pequeño de casos de uso de alto impacto para detectar incidentes clave de seguridad y evolucionar con el tiempo. Copyright © 2013 Accenture All rights reserved. Monitorización de aplicación Monitorizar eventos de seguridad de los sistemas especializados de gestión clínica, incluyendo ataques de cross site scripting y otros. Scripts maliciosos y virus Ataques Cross Site Scripting Monitorización de actividad de usuarios Monitorizar actividades de usuario para identificar comportamientos no autorizados, patrones de fraude o accesos extraños a cuentas. Robo de cuentas de colegas Accesos a historias clínicas de VIPs Monitorización de datos sensibles Monitorizar los repositorios de datos para detectar eventos de accesos no autorizados a información. Alto número de accesos o patrones extraños Accesos fuera de horas o en días de vacaciones Monitorización de aplicación de legislación Retención de logs, auditoría automatizada, monitorización y reporting de métricas de seguimiento, e informática forense para datos clínicos. El objetivo es cumplir las normas de la regulación. Automated Audit Response Patient Record Access Reporting Identidad de paciente / profesional Alertas de Red / usuarios Autorización Transacciones de aplicación Eventos de seguridad

6 Gestión de accesos: escalabilidad y eficiencia En un ecosistema de sistemas de información como el de los sistemas sanitarios, la gestión de accesos se convierte en un problema complejo. Copyright © 2013 Accenture All rights reserved. Privacidad de paciente Regulación Pacientes Profesionales sanitarios Personal administrativo Administración Información personal Información clínica Prescripciones Resultados de pruebas Gasto sanitarioEntidades privadas Control de accesos Acceso permitido Acceso denegado Acceso limitado Ilustrativo Un sistema de gestión de accesos centralizado que externalice la lógica de autorización permite: Centralizar la administración de autorizaciones y separarla de las lógicas de aplicación Resolver las queries de control de acceso basadas en atributos de contexto y reglas definidas en políticas comunes. Adaptarse a entornos distribuidos y con diferentes dominios de seguridad. Usar modelos de autorización estándar para todas las aplicaciones. Simplificar la monitorización, la auditoría y el informado de accesos.

Tecnología móvil: estrategia de gestión integral Framework de Seguridad Móvil Gestión de políticas y estrategia Certificación y acreditación Concienciación y formación Seguridad de dispositivo Implementación de políticas MDM Antivirus y Malware Encriptación local Host IPS y Firewall Control de aplicaciones Prevención de pérdida de datos Medios extraíbles Seguridad de apps Secure SDLC Revisión de código Análisis de malware Control de acceso Aseguramiento de la calidad Evaluación y test Seguridad en Internet / Partner Social Media Cloud Supply Chain Reporting de certificaciones Auditoría Seguridad de la red empresarial Operaciones Infraestructura wireless Enterprise AAA Seguridad de mensajes Compartición de archivos Monitorización de eventos y logging Respuesta a incidentes Seguridad de App Backend BBDD Servidor app Cloud Global Load Balancing Logging and Auditing Identidad y acceso Autenticación BCDR Respuesta a incidentes

Tecnología móvil: el problema de la autenticación en el lado ciudadano Los sistemas diseñados para uso por parte de los ciudadanos y pacientes desde sus propios dispositivos deben implementar medidas de seguridad para garantizar la identidad de los usuarios, pero también deben ser muy sencillos de usar, o supondrán una barrera de entrada excesiva. Técnicamente seguro y acorde con la legislación Medio de identificación segura Usabilidad alta Uso por parte de los ciudadanos Sencillo de utilizar por la mayoría de la población, teniendo en cuenta que en muchos casos los usuarios potenciales son personas ancianas Algunas claves: Registro previo de usuarios. Primera identificación presencial. Certificado digital actual es demasiado complejo. Existen tecnologías biométricas esperanzadoras.