Política de Ciberseguridad

Clínica Dental Las Aguas

Ámbito de aplicación: Todo el personal, sin excepción (directores, odontólogos, higienistas, recepción, auxiliares, limpieza y colaboradores permanentes).

1. Objetivo

La presente Política de Ciberseguridad define el marco de protección de la información y los sistemas digitales de Clínica Dental Las Aguas, asegurando la confidencialidad, integridad y disponibilidad de los datos clínicos y administrativos. Esta política se alinea con la normativa vigente, incluyendo RGPD y LOPDGDD, y se integra con los servicios de IT prestados por COSMASOFT y los servicios de protección de datos de IWI CONSULTORES.

2. Alcance

Esta política aplica a:

• Sistemas clínicos y de gestión (software dental, agendas, historiales clínicos, RX).
• Equipos informáticos (ordenadores, tablets, dispositivos de rayos, impresoras…).
• Redes de comunicaciones, WiFi y acceso remoto.
• Usuarios internos y externos con acceso a información de la clínica.
• Equipamiento digital personal cuando se use para fines profesionales.

3. Principios Rectores

1. Confidencialidad: El acceso a la información se limita exclusivamente al personal autorizado.
2. Integridad: Los datos deben ser exactos, completos y estar protegidos contra modificaciones no autorizadas.
3. Disponibilidad: Los sistemas deben estar operativos para garantizar la continuidad asistencial.
4. Trazabilidad: Todas las acciones relevantes deben ser registradas y auditables.
5. Minimización: Solo se almacena y procesa información estrictamente necesaria.

4. Roles y Responsabilidades

4.1 Dirección de la Clínica

• Aprobar y revisar la Política de Ciberseguridad.
• Nombrar al Responsable Interno de Ciberseguridad.
• Facilitar recursos para su cumplimiento.

4.2 Responsable Interno de Ciberseguridad (RIC)

Funciones principales:

• Supervisar el cumplimiento de la política.
• Coordinar incidentes con COSMASOFT e IWI CONSULTORES.
• Controlar accesos, permisos y uso adecuado de los sistemas.
• Validar medidas de seguridad en equipos y redes.
• Impulsar formación interna anual.
• Informar a la dirección sobre riesgos y brechas.

4.3 COSMASOFT – Servicio Externo de IT

• Configuración, mantenimiento y parcheo de sistemas.
• Gestión avanzada de redes, servidores y copias de seguridad.
• Atención a incidencias tecnológicas.
• Monitorización de seguridad y actualizaciones.
• Asistencia en respuesta ante incidentes técnicos.

4.4 IWI CONSULTORES – Protección de Datos

• Asegurar adecuación al RGPD y LOPDGDD.
• Evaluar riesgos derivados de brechas de seguridad.
• Soporte documental ante auditorías o requerimientos.
• Asesoramiento continuo en privacidad.

4.5 Todo el Personal

• Cumplir estrictamente esta política.
• Custodiar sus credenciales.
• Mantener orden digital y físico de la información.
• Notificar incidentes inmediatamente.
• Nunca compartir contraseñas, pantallas ni historiales.

5. Controles de Seguridad

5.1 Gestión de Accesos

• Cuentas de usuario personales e intransferibles.
• Prohibido compartir claves entre compañeros.
• Contraseñas robustas (mínimo 10 caracteres, combinación).
• Cambio obligatorio cada 6 meses.
• Revocación inmediata de acceso en casos de baja, cese o permisos prolongados.

5.2 Uso Adecuado de Equipos

• Prohibido instalar software no autorizado.
• Prohibido conectar pendrives o dispositivos externos sin verificación.
• Prohibido usar WhatsApp personal para envío de información clínica.
• WiFi invitados separado de WiFi corporativa.
• Bloqueo automático de pantalla a los 2 minutos de inactividad.

5.3 Protección de Datos Clínicos

• Acceso solo si es estrictamente necesario para la tarea asistencial.
• Cierre de sesión obligatorio al finalizar.
• Impresión y documentos físicos bajo llave.
• Eliminación segura de documentos (trituradora o contenedor confidencial).

5.4 Copias de Seguridad

• Realizadas y supervisadas por COSMASOFT.
• Verificación semanal por el RIC.
• Ubicación cifrada y redundante.

5.5 Defensa Tecnológica

Gestionada por COSMASOFT:

• Antivirus corporativo actualizado.
• Firewall activo y supervisado.
• Actualizaciones automáticas de seguridad.
• Monitorización de actividad anómala.

6. Respuesta ante Incidentes

Todo empleado debe reportar inmediatamente al Responsable Interno de Ciberseguridad:

• Pérdida o robo de dispositivos.
• Sospecha de acceso no autorizado.
• Mensajes sospechosos o phishing.
• Caídas de sistemas críticas.
• Errores de envío de información (correo, WhatsApp, impresión).

El RIC notificará a:

• COSMASOFT si es incidente tecnológico.
• IWI CONSULTORES si implica datos personales.

7. Formación y Concienciación

• Formación anual obligatoria para toda la plantilla.
• Refuerzos trimestrales con mensajes cortos.
• Nuevas incorporaciones: formación en la primera semana.
• Registro formal de asistencia.

8. Revisión y Actualización

La política se revisará cada 12 meses o antes si:

• Hay cambios tecnológicos.
• Incidentes relevantes.
• Directrices del sector sanitario o normativas nuevas.