Diseño del sistema de gestión de seguridad de la información basado en la norma ISO/IEC 27001:2013 para telemedicina en la IPS Colombiana de trasplantes

Abstract

Las empresas en los diferentes sectores tienden a potenciar la innovación tecnológica y la optimización de sus procesos, así como a adaptarse a los cambios, pero se debe tener en cuenta el cumplimiento de las leyes y los marcos regulatorios, así como la protección de sus activos más valiosos frente a todas las amenazas posibles; para esto, diferentes organizaciones desarrollan metodologías que se ajustan a las necesidades de las empresas como la de proteger la información y asegurar todos los procesos involucrados en su tratamiento. En el presente proyecto, se toma como referencia la norma ISO/IEC 27001:2013 con el objetivo de aplicar una metodología estandarizada y probada, donde a futuro, la empresa puede llegar a obtener una certificación. Esto no excluye ninguno de los requisitos de ley para tener en cuenta u otros marcos de referencia que apoyen el desarrollo del diseño. La IPS Colombiana de Trasplantes es una empresa del sector salud, que tiene como propósito brindar una mejor calidad de vida a pacientes con problemas renales y hepáticos por medio del trasplante. En la actualidad, están adaptando su servicio con protocolos de atención virtual para garantizar el debido seguimiento y tratamiento de sus pacientes. Este tipo de atención está definido a nivel gobierno como telesalud y está reglamentado por el Ministerio de Salud y Protección Social mediante la resolución No. 2654 del 2019, en la que se establecen disposiciones para la telesalud y parámetros para la práctica de la telemedicina en el país, los cuales incluyen medidas para la protección de datos de los pacientes y lineamientos a seguir para la aplicación de procedimientos asociados al servicio. Como fase inicial, para el servicio de telemedicina en la IPS Colombiana de Trasplantes, se diseñará la base para la gestión de la seguridad en los procesos que lo componen. Como punto de partida, el levantamiento de información será fundamental para un posterior análisis de los activos que arrojará los riesgos a los que el proceso se encuentra expuesto, ya que no se ha evaluado con anterioridad la exposición de la información privada de los pacientes en un entorno de telemedicina, donde al igual que en el proceso de consulta convencional, se manipulan datos confidenciales de los pacientes pero en diferentes medios de datos y en diferentes entornos de flujo de información que no se contemplan en la presencialidad, pero que deben cumplir con los parámetros dispuestos en la legislación para la protección de datos personales. Otro factor importante por determinar es el riesgo aceptable para la empresa; donde este permitirá evidenciar los riesgos que deben ser tratados y también permitirá sugerir un plan de tratamiento.