Skip to main content
QMSQMS
QMS
  • Welcome to your QMS
  • Quality Manual
  • Procedures
    • GP-001 Control of documents
    • GP-002 Quality planning
    • GP-003 Audits
    • GP-004 Vigilance system
    • GP-005 Human Resources and Training
    • GP-006 Non-conformity, Corrective and Preventive actions
    • GP-007 Post-market surveillance
    • GP-008 Product requirements
    • GP-009 Sales
    • GP-010 Purchases and suppliers evaluation
    • GP-011 Provision of service
    • GP-012 Design, redesign and development
    • GP-013 Risk management
    • GP-014 Feedback and complaints
    • GP-015 Clinical evaluation
    • GP-016 Traceability and identification
    • GP-017 Technical assistance service
    • GP-018 Infrastructure and facilities
    • GP-019 Software validation plan
    • GP-020 QMS Data analysis
    • GP-021 Communications
    • GP-022 Document translation
    • GP-023 Change control management
    • GP-024 Predetermined Change Control Plan
    • GP-025 Usability and Human Factors Engineering
    • GP-027 Corporate Governance
    • GP-028 AI Development
    • GP-029 Software Delivery And Comissioning
    • GP-050 Data Protection
    • GP-051 Security violations
    • GP-052 Data Privacy Impact Assessment (DPIA)
    • GP-100 Business Continuity (BCP) and Disaster Recovery plans (DRP)
    • GP-101 Information security
    • GP-200 Remote Data Acquisition in Clinical Investigations
    • GP-026 Market-specific product requirements
    • GP-110 Esquema Nacional de Seguridad
      • ORG Marco organizativo
      • OP Marco operacional
      • MP Medidas de protección
        • MP.IF Protección de las instalaciones e infraestructuras
        • MP.PER Gestión del personal
        • MP.EQ Protección de los equipos
        • MP.COM Protección de las comunicaciones
        • MP.SI Protección de los soportes de información
        • MP.SW Protección de las aplicaciones informáticas
        • MP.INFO Protección de la información
        • MP.S Protección de los servicios
        • MP.AUX - Protección de Medios Auxiliares
      • Sin asignar
      • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Records
  • Legit.Health Plus Version 1.1.0.0
  • Legit.Health Plus Version 1.1.0.1
  • Licenses and accreditations
  • Applicable Standards and Regulations
  • Public tenders
  • Procedures
  • GP-110 Esquema Nacional de Seguridad
  • MP Medidas de protección
  • MP.INFO Protección de la información

MP.INFO Protección de la información

Esta sección establece las medidas de protección para la información relacionada con dispositivos médicos, garantizando la confidencialidad, integridad, disponibilidad y autenticidad de los datos médicos y de pacientes.

MP.INFO.1 Datos de carácter personal​

Objetivo​

Implementar medidas específicas para la protección de datos de carácter personal procesados por dispositivos médicos, asegurando el cumplimiento del GDPR y la normativa nacional de protección de datos.

Documentos de referencia​

  • T-024-006 Cybersecurity Risk Management Plan
  • Real Decreto 311/2022 - Artículo 37
  • GDPR - Artículos 25, 32-34
  • Guía CCN-STIC 807 - Criptología de empleo en el ENS

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Inventario de datos personales

    • Registro completo de tipos de datos de pacientes procesados por cada dispositivo
    • Mapeo de flujos de datos personales entre sistemas médicos
    • Clasificación de sensibilidad para datos médicos especiales (genéticos, biométricos)

  2. Minimización y limitación de propósito

    • Recolección limitada al mínimo necesario para la función médica del dispositivo
    • Configuración por defecto que respete principios de privacidad desde el diseño
    • Eliminación automática de datos temporales después de uso médico

  3. Derechos de los interesados

    • Procedimientos para atender solicitudes de acceso a datos médicos
    • Mecanismos de rectificación para datos de pacientes incorrectos
    • Implementación del derecho al olvido compatible con obligaciones de retención médica

  4. Evaluaciones de impacto (DPIA)

    • DPIA obligatorio para dispositivos médicos que procesen datos sensibles
    • Reevaluación ante cambios significativos en procesamiento de datos
    • Documentación de medidas de mitigación de riesgos implementadas

Controles técnicos específicos:

  • Pseudonimización de datos de pacientes cuando sea técnicamente viable
  • Logs de acceso granulares para datos personales médicos
  • Notificación automática de violaciones de seguridad en 72 horas

MP.INFO.2 Calificación de la información​

Objetivo​

Establecer un sistema de clasificación de información coherente para datos médicos, permitiendo la aplicación de controles de seguridad proporcionados al valor y sensibilidad de la información.

Documentos de referencia​

  • T-024-007 Threat Modeling Assessment
  • Real Decreto 311/2022 - Artículo 37
  • Guía CCN-STIC 801 - Responsabilidades y funciones

Guía de implantación​

Implementación para dispositivos médicos​

Sistema de clasificación médica:

  1. Categorías de información médica

    • CRÍTICA: Datos de soporte vital, medicación crítica, alergias severas
    • CONFIDENCIAL: Historiales médicos completos, diagnósticos, pruebas genéticas
    • INTERNA: Datos administrativos de pacientes, citas, facturación médica
    • PÚBLICA: Información general de servicios médicos sin datos personales

  2. Etiquetado y marcado

    • Etiquetas automáticas basadas en origen de datos médicos
    • Metadatos persistentes que acompañen la información durante su ciclo de vida
    • Códigos de color y símbolos visuales para interfaces de usuario médicas

  3. Controles diferenciados por clasificación

    • CRÍTICA: Cifrado AES-256, acceso restringido, logs forenses, backup redundante
    • CONFIDENCIAL: Cifrado AES-256, control de acceso basado en roles, auditoría completa
    • INTERNA: Cifrado en tránsito, autenticación requerida, logs básicos
    • PÚBLICA: Controles básicos de integridad, acceso general controlado

  4. Procedimientos de reclasificación

    • Revisión periódica de clasificaciones según evolución del caso médico
    • Escalado automático de clasificación ante detección de información sensible adicional
    • Procedimientos de degradación de clasificación tras resolución de casos

Integración con sistemas médicos:

  • Compatibilidad con estándares HL7 para intercambio de información clasificada
  • Integración con sistemas HIS/RIS para clasificación automática
  • APIs para consulta de nivel de clasificación por aplicaciones médicas

MP.INFO.3 Cifrado​

Objetivo​

Implementar medidas de cifrado robustas para proteger la confidencialidad e integridad de la información médica en reposo, en tránsito y en uso.

Documentos de referencia​

  • T-024-006 Cybersecurity Risk Management Plan
  • Real Decreto 311/2022 - Artículo 37
  • Guía CCN-STIC 807 - Criptología de empleo en el ENS

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Cifrado en reposo

    • AES-256 para bases de datos de pacientes y archivos médicos
    • Cifrado a nivel de sistema de archivos para dispositivos de almacenamiento
    • Cifrado de backups con claves independientes gestionadas centralmente

  2. Cifrado en tránsito

    • TLS 1.3 obligatorio para todas las comunicaciones de dispositivos médicos
    • VPN IPsec para conexiones entre sitios médicos
    • Cifrado específico para protocolos médicos (DICOM, HL7)

  3. Gestión de claves criptográficas

    • HSM (Hardware Security Module) para almacenamiento de claves maestras
    • Rotación automática de claves cada 90 días para datos críticos
    • Escrow de claves con procedimientos de recuperación documentados

  4. Cifrado en uso (cuando sea posible)

    • Encriptación homomórfica para análisis de datos médicos preservando privacidad
    • Secure enclaves para procesamiento de datos críticos
    • Técnicas de computación segura multipartita para investigación médica

Algoritmos y estándares aprobados:

  • Simétrico: AES-256 en modo GCM para nuevas implementaciones
  • Asimétrico: RSA-4096 o ECC P-384 para intercambio de claves
  • Hash: SHA-256 mínimo, SHA-3 recomendado para nuevos sistemas
  • Firmas digitales: RSA-PSS o ECDSA con curvas aprobadas por CCN

MP.INFO.4 Firma electrónica​

Objetivo​

Implementar sistemas de firma electrónica para garantizar la autenticidad, integridad y no repudio de documentos médicos críticos y transacciones relacionadas con dispositivos médicos.

Documentos de referencia​

  • T-024-007 Threat Modeling Assessment
  • Real Decreto 311/2022 - Artículo 37
  • Ley 6/2020 de 11 de noviembre reguladora de determinados aspectos de los servicios electrónicos de confianza

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Firma electrónica cualificada para documentos críticos

    • Recetas médicas electrónicas con firma cualificada del facultativo
    • Informes médicos de alta y diagnósticos principales
    • Consentimientos informados para procedimientos médicos críticos

  2. Firma electrónica avanzada para documentos administrativos

    • Registros de mantenimiento de dispositivos médicos
    • Reportes de calibración y verificación de equipos
    • Documentación de formación del personal sanitario

  3. Infraestructura de firma

    • Integración con proveedores de servicios de confianza (TSP) cualificados
    • Certificados digitales específicos para personal médico por especialidad
    • Dispositivos de creación de firma segura para documentos críticos

  4. Validación y verificación

    • Servicios de validación de firmas en tiempo real
    • Verificación de estado de certificados digitales (OCSP)
    • Archivo a largo plazo de documentos firmados con validación temporal

Casos de uso específicos:

  • Firma de protocolos de dispositivos médicos implantables
  • Autenticación de comandos críticos para dispositivos de soporte vital
  • Firma de actualizaciones de software para dispositivos médicos clase III

MP.INFO.5 Sellos de tiempo​

Objetivo​

Implementar servicios de sellado de tiempo para garantizar la integridad temporal de eventos críticos relacionados con dispositivos médicos y registros de pacientes.

Documentos de referencia​

  • Real Decreto 311/2022 - Artículo 37
  • RFC 3161 - Internet X.509 Public Key Infrastructure Time-Stamp Protocol

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Sellado de eventos críticos

    • Timestamp para alarmas de dispositivos de soporte vital
    • Sellado temporal de administración de medicamentos automatizada
    • Registro temporal de accesos a sistemas de dispositivos críticos

  2. Infraestructura de sellado temporal

    • Servicios de sellado de tiempo cualificados (QTSP) para documentos legales médicos
    • Sincronización NTP segura con fuentes de tiempo oficiales
    • Redundancia de servicios de tiempo con failover automático

  3. Validación de integridad temporal

    • Verificación periódica de sellos de tiempo en registros médicos
    • Detección de manipulación temporal en logs de dispositivos
    • Correlación temporal entre eventos de diferentes sistemas médicos

Aplicaciones específicas:

  • Cronología precisa de eventos en cuidados intensivos
  • Registro temporal de calibraciones de dispositivos médicos
  • Validación de secuencia temporal en protocolos de investigación clínica
🙅Aplicación de la medida

De acuerdo al ANEXO II, 2 Selección de medidas de seguridad, la medida de seguridad MP.INFO Protección de la información no aplica dada la categoría de seguridad del sistema.

MP.INFO.6 Limpieza de documentos​

Objetivo​

Establecer procedimientos seguros para la eliminación definitiva de información médica sensible, garantizando que los datos no puedan ser recuperados tras su eliminación autorizada.

Documentos de referencia​

  • T-024-009 Vulnerability Disclosure Procedures
  • Real Decreto 311/2022 - Artículo 37
  • Guía CCN-STIC 804 - Implantación del ENS

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Clasificación para limpieza

    • Identificación de datos sujetos a eliminación por normativa médica
    • Períodos de retención diferenciados según tipo de información médica
    • Excepciones para datos requeridos por investigación médica a largo plazo

  2. Métodos de eliminación segura

    • Borrado criptográfico para sistemas con cifrado completo de disco
    • Sobrescritura múltiple (DOD 5220.22-M) para datos en discos magnéticos
    • Destrucción física certificada para dispositivos de almacenamiento críticos

  3. Procedimientos de limpieza

    • Autorización documentada para eliminación de historiales médicos
    • Verificación de completitud de eliminación mediante herramientas forenses
    • Certificación de limpieza para dispositivos médicos reutilizados

  4. Gestión de excepciones

    • Conservación de datos para cumplimiento de obligaciones legales médicas
    • Anonimización como alternativa a eliminación para investigación
    • Procedimientos de recuperación de emergencia para datos eliminados por error

Controles específicos:

  • Limpieza automática de cachés temporales en dispositivos móviles médicos
  • Eliminación segura de imágenes médicas tras período de retención
  • Borrado de credenciales de acceso en dispositivos descomisionados

MP.INFO.7 Copias de seguridad​

Objetivo​

Implementar un sistema robusto de copias de seguridad para garantizar la disponibilidad y recuperación de información crítica de dispositivos médicos ante incidentes de seguridad o fallos técnicos.

Documentos de referencia​

  • T-024-008 Incident Response Plan
  • Real Decreto 311/2022 - Artículo 37
  • Guía CCN-STIC 817 - Esquema Nacional de Seguridad

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Estrategia de backup diferenciada

    • Críticos: Backup continuo con RPO < 15 minutos (soporte vital, UCI)
    • Importantes: Backup cada 4 horas con RPO < 4 horas (quirófanos, diagnóstico)
    • Normales: Backup diario con RPO < 24 horas (administrativos, archivo)

  2. Arquitectura de respaldo

    • Regla 3-2-1: 3 copias, 2 medios diferentes, 1 offsite
    • Backup incrementales cada hora para datos de dispositivos críticos
    • Backup completo semanal con verificación de integridad

  3. Cifrado y seguridad de backups

    • Cifrado AES-256 para todos los backups de datos médicos
    • Claves de cifrado independientes para cada conjunto de backup
    • Almacenamiento air-gapped para backups críticos de pacientes

  4. Testing y validación

    • Pruebas de restauración mensual para sistemas críticos
    • Simulacros de recuperación de desastres trimestrales
    • Verificación de integridad automática de todos los backups

Procedimientos específicos:

  • Backup inmediato antes de mantenimiento de dispositivos críticos
  • Sincronización de backups entre sitios para continuidad geográfica
  • Retención diferenciada: 7 años para historiales médicos, 3 años para logs operativos

Métricas de eficacia:

  • RTO < 4 horas para sistemas críticos, < 24 horas para sistemas normales
  • Tasa de éxito de backup > 99.5% para sistemas críticos
  • Tiempo de verificación de integridad < 2 horas para backups diarios

Evaluación de eficacia general​

Indicadores clave de rendimiento:

  • Cumplimiento de clasificación de información > 95%
  • Disponibilidad de servicios de cifrado > 99.9%
  • Éxito en pruebas de restauración > 98%
  • Tiempo medio de recuperación de datos < RTO definido por criticidad

Revisión y mejora continua:

  • Auditorías semestrales de medidas de protección de información
  • Actualización anual de algoritmos criptográficos según evolución de amenazas
  • Formación trimestral del personal en manejo seguro de información médica

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

  • Author: Team members involved
  • Reviewer: JD-003, JD-004
  • Approver: JD-001
Previous
MP.SW Protección de las aplicaciones informáticas
Next
MP.S Protección de los servicios
  • MP.INFO.1 Datos de carácter personal
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.INFO.2 Calificación de la información
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.INFO.3 Cifrado
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.INFO.4 Firma electrónica
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.INFO.5 Sellos de tiempo
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.INFO.6 Limpieza de documentos
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.INFO.7 Copias de seguridad
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
    • Evaluación de eficacia general
All the information contained in this QMS is confidential. The recipient agrees not to transmit or reproduce the information, neither by himself nor by third parties, through whichever means, without obtaining the prior written permission of Legit.Health (AI LABS GROUP S.L.)