Page 132 - Revista Auditoria Pública nº 83

REVISTA AUDITORÍA PÚBLICA / 83

En particular, el 60% de los consultados señalaron la au- IV.2.Aprovechar la experiencia de equipos CSIRT sec
sencia de un equipo CSIRT sectorial de salud específico, toriales sanitarias para ayudar a OES a desarrollar
por lo que en estos casos no hay solapamientos entre sus capacidades de respuesta.
las responsabilidades y servicios de los CSIRT nacionales
y los de los CSIRT sectoriales de salud. Sólo el 13% de Los operadores de servicios esenciales de salud enfati-
los entrevistados señalaron que existía un solapamiento zaron en la necesidad de orientación, dirección y desa-
entre los CSIRT nacionales y los sectoriales sanitarios. rrollo de capacidades cuando se trata de dar respuesta
a cualquier incidente. La dificultad se centra en que la
En cuanto al trabajo interno de los CSIRT, los participan- respuesta a los incidentes en el sector sanitario tiende
tes en la consulta explicaron que los retos recurrentes re- a depender más de los servicios reactivos que de los
lacionados con el personal en el contexto de los equipos proactivos, debido a la falta de una capacidad coordinada
de respuesta a incidentes incluyen la falta de personal, la de respuesta. Concretamente, los operadores de servi-
falta de conocimientos y aptitudes y la elevada rotación cios esenciales de salud necesitan ayuda para identificar
de personal, mientras que los retos organizativos se re- las experiencias adquiridas de incidentes pasados en el
fieren a la falta de definición formal de responsabilidades sector. Al mismo tiempo, la falta de conocimientos sec-
y funciones. toriales específicos de los equipos CSIRT nacionales les
impide desempeñar esta función de coordinación que los
CSIRT de salud pueden asumir.
IV. Reflexiones finales.
Por ello, los CSIRT sanitarios deberían estar facultados
En general, los distintos informes de la Agencia han con- para asumir la función de apoyo a los OES en materia
cluido que los equipos CSIRT sectoriales de Salud aún de respuesta a incidentes, fomentando la organización
son escasos en un panorama donde los operadores de y la puesta en común de capacidades de respuesta a
servicios esenciales de salud necesitan apoyo especiali- incidentes de forma más proactiva.
zado en sus actividades de respuesta a incidentes infor-
máticos. Además, los puntos de vista compartidos por • Segunda recomendación. Dirigida a las Autoridades
las partes consultadas subrayaron el gran potencial de nacionales de Ciberseguridad de la UE, Sectoriales
los CSIRT sanitarios para prestar este apoyo, en particu- y/o Nacionales CSIRT.
lar en iniciativas de intercambio de información. Sobre la
base de esta área clave de oportunidades y de las nece- Esta función incluiría las siguientes responsabilidades:
sidades expresadas por los OES, han surgido las siguien-
tes recomendaciones a los Estados miembros. - Promoción de servicios especializados para hacer
frente a amenazas, vulnerabilidades e incidentes es-
pecíficos del sector.
IV.1. Mejorar y facilitar la creación de los equipos CSIRT
sectoriales sanitarias. - Difusión de conocimientos y experiencia específicos
sobre dispositivos médicos y sistemas informáticos
Aunque existe una tendencia a desarrollar CSIRT secto- médicos, así como sobre amenazas e incidentes re-
riales y colaboraciones entre CSIRT sectoriales por parte lacionados con el sector sanitario en tiempo real.
de los OES de salud, todavía son pocos los gobiernos
que cuentan con CSIRT de salud o que tienen la inten- - Proporcionar conocimientos sectoriales al CSIRT na-
ción de crearlo. En general las capacidades de respuesta cional, asistir a los operadores no regulados del sec-
a incidentes son gestionadas por los principales OES y tor sanitario en la respuesta a incidentes, coordinar
supervisadas por el CSIRT nacional o gubernamental, de- los sistemas comprometidos en múltiples emplaza-
jando la coordinación de las respuestas a incidentes y las mientos del sector sanitario.
actividades de intercambio de información a de informa-
ción a partes con menos experiencia en esta área de in- - Coordinación de la vulnerabilidad con los proveedo-
tersección entre la ciberseguridad y la atención sanitaria. res de sistemas y dispositivos específicos del sector
sanitario.
• Primera recomendación. Dirigida a las Autoridades
Nacionales de ciberseguridad de la UE. Estas actividades abordan los principales retos tanto de
los OES sanitarios como de los CSIRT. Además, el cum-
Deben realizarse esfuerzos para facilitar la financiación, plimiento de estas actividades requerirá un gran esfuerzo
orientación (en relación con la capacidad construcción, in- por parte de los CSIRT sanitarios, así como el desarrollo
tercambio de información, sensibilización) y cooperación de conocimientos especializados y la cooperación con
para garantizar la creación de CSIRT Sectoriales de Salud. los CSIRT nacionales e internacionales.

132