Todos los centros de salud cuentan con sistemas de información. Dichos sistemas de información, al estar basados en sistemas informáticos, deben cumplir con la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD). No obstante, la LOPD no proporciona a las instituciones ni empresas apoyo para la consecución de un Sistema de Gestión de Seguridad de la Información, dado que deja al buen hacer de los responsables aspectos tan relevantes como la disponibilidad de dicha información.

La ISO/IEC 17799 es el estándar internacional aprobado en 2000 que regula la Gestión de Seguridad de la Información. Básicamente es un set de controles que incluyen las "mejores practicas" en seguridad de la información.

Su intención es servir como punto referencia único para identificar los controles necesarios en la mayoría de las situaciones en que los sistemas de información se ven involucrados en la industria y el comercio. Sirve para facilitar el comercio en un entorno confiable.

Un sistema de gestión ISO 17799 propicia las bases para protección de la información integrando relación de personal, procesos y seguridad de sistemas.

Antes de poder explicar en qué consiste la ISO/IEC 17799 debemos conocer el motivo de su existencia. Actualmente, los sistemas de información constituyen uno de los pilares básicos para el correcto funcionamiento de un centro de salud, por lo tanto es imperativo su correcto funcionamiento.

Los responsables de estos sistemas tienen cuatro objetivos principales:

Su tarea no se circunscribe únicamente a los medios informáticos, dado que estos son manejados por personas y, a la vez, influidos por el entorno. Así pues su tarea debe cubrir las siguientes áreas:

Como vemos, los responsables de los sistemas de información deben ocuparse de múltiples objetivos y áreas, ¿cómo realizar satisfactoriamente su cometido? Mediante la implantación de un Sistema de Gestión de Seguridad de la Información (Information Security Management System - ISMS).

Gracias al SGSI, cuando un centro de salud subcontrata, delega o comparte con un tercero el mantenimiento o explotación de sus sistemas de información, se minimiza el riesgo de que la información pierda su integridad, privacidad, disponibilidad o auditoría.

Ahora bien, ¿cómo podemos desarrollar un correcto SGSI? Mediante la aplicación de un reglamento de buenas prácticas internacionalmente reconocido.

Dentro del entorno europeo, la British Standards Institution (BSI) del Reino Unido fue la primera en desarrollar un SGSI. Dicho reglamento, conocido como Standard de Seguridad de la Información, está dividido en:

El entorno sanitario británico está aplicando la norma BS 7799, máxime desde que el Servicio Nacional de Salud ha comenzado a implementarlo. El número actual de certificaciones registradas BS 7799 son aproximadamente 270 (Fuente: International User Group – Junio 2003), de las que un porcentaje reducido son entidades del sector sanitario.

Posteriormente, la BS 7799-1 fue adoptada por el Comité Técnico conjunto ISO/IEC JTC1, dando lugar a la Norma Internacional ISO/IEC 17799:2000.

Existe también la ISO/IEC TR 13335, "Information Technology - Guidelines for the management of IT security", que está dividida en:

En España se han ido adaptando las normas ya existentes en el entorno europeo. Así pues existe una versión española de la ISO/IEC 17799, en la que sólo cambia el idioma: UNE-ISO/IEC 17799:2002.

De igual modo, tomando las partes 1, 2 y 3 de la ISO/IEC TR 13335 se ha creado la UNE 71501, "Guía para la Gestión de la Seguridad de TI", que está dividida en:

Por último, el día 6 de febrero del presente ha sido presentada la UNE 71502:2004, "Especificaciones para los Sistemas de Gestión de la Seguridad de la Información", que se basa en la BS 7799-2:2002.

Por lo tanto, actualmente las empresas y organismos españoles que deseen demostrar que su SGSI cumple con los estándares deberá adoptar la UNE-ISO/IEC 17799:2002 y aplicar la UNE 71502:2004.

La norma BS 7799-2:2002 constituye una herramienta estructurada de control que, además, está íntimamente relacionada con la norma ISO 9001:2000. Esto es así porque los elementos clave para el uso de un SGSI son, en muchos aspectos, similares a los que implican una certificación ISO 9000:

La norma BS 7799-2 fue revisada en septiembre de 2002 para alinearla con otras normas de Sistemas de Gestión logrando, entre otros, su armonización con las normas del sistemas de gestión como ISO 9001 e ISO 14001 y la evaluación y procesos de gestión del riesgo involucrados utilizando un modelo de proceso Planificar, Hacer, Controlar y Actuar (Plan, Do, Check, Act).

La BS 7799-2 tiene como propósito el control de las siguientes diez áreas:

Los servicios sanitarios prestados por lo centros de salud se rodean de información. Dicha información no debe sufrir percance alguno, pero esto no atañe sólo a los sistemas informáticos. Por este motivo es fundamental contar con un SGSI, pero éste debe estar basado en la experiencia previa de organismos especializados en su elaboración, dando como resultado la implantación de la norma BS 7799.