Caso de éxito: auditoría basada en ISO 27001 para que un centro sanitario pudiera cubrir su ciberseguro en Valencia

Este caso explica cómo una auditoría ISO 27001 ayuda a un centro sanitario a cubrir su ciberseguro. Un centro sanitario privado necesitaba contratar o renovar una póliza de seguro cibernético, y la aseguradora le exigió, como paso previo, rellenar un amplio cuestionario de ciberseguridad. Contestar un cuestionario así no es un trámite administrativo: cada respuesta es una declaración que forma parte del contrato. Por eso el centro nos pidió una auditoría con la norma ISO 27001 como referencia, para saber en qué punto estaba su seguridad y poder cubrir el seguro con garantías. Este texto explica cómo es ese proceso, qué papel juega la norma y qué debe tener en cuenta cualquier organización que se encuentre en una situación parecida.

Proyecto para un cliente de la provincia de Valencia. Caso anonimizado: por confidencialidad, la ubicación y los datos que podrían identificar al cliente se han modificado.

Una aclaración importante desde el principio: NOÁTICA audita, no certifica. Cuenta con profesionales con la cualificación de Auditor Líder en ISO 27001, pero la empresa no está certificada ni emite certificados. Solo los organismos de certificación acreditados certifican. Lo que hicimos fue una auditoría, con una finalidad práctica: preparar al centro para su póliza.

La situación de partida

Un centro sanitario privado trata información especialmente delicada: historiales clínicos, datos identificativos y datos de pago. Depende de sus sistemas informáticos para trabajar cada día, y una parada o un secuestro de datos tiene consecuencias inmediatas. Ese riesgo es el que cubre un seguro cibernético, y es lo que la aseguradora quiere evaluar antes de asumirlo.

El punto de partida fue el cuestionario de la aseguradora. Es un documento extenso, con preguntas que van de la protección de datos a las copias de seguridad, pasando por la segmentación de la red o el fraude. Su cumplimentación exige conocer con precisión el estado real de los sistemas, y ese conocimiento suele estar repartido entre varias personas.

Qué suele preguntar una aseguradora

Los cuestionarios de ciberseguros varían de una compañía a otra, pero comparten estructura. El que sirvió de punto de partida se organizaba en estos apartados:

• Información de la compañía y coberturas solicitadas. Actividad, tamaño y qué se quiere asegurar.
• Tipo y volumen de información tratada. Si hay datos personales, datos de salud, datos financieros o documentos de identidad, y cuántos registros se almacenan.
• Procedimientos de protección de datos. Cumplimiento normativo, delegado de protección de datos, formación del personal, políticas y su revisión.
• Seguridad de la información. Autorizaciones de acceso, contraseñas, doble factor de autenticación y gestión de altas y bajas.
• Acceso a los datos, seguridad de redes y recuperación. Antivirus, cortafuegos, parcheo, copias de seguridad, cifrado y segmentación de la red.
• Tipos de activos. Aplicaciones web, equipos de usuario, dispositivos médicos o dispositivos conectados.
• Dispositivos móviles y portátiles.
• Externalización. Qué partes de la informática o del tratamiento de datos están en manos de terceros.
• Gestión de brechas. Monitorización, registros, auditorías y pruebas externas, y planes de respuesta y de continuidad.
• Fraude tecnológico. Controles sobre pagos y cambios de cuentas bancarias.
• Reclamaciones y circunstancias. Antecedentes.
• Aspectos legales. Política de privacidad y su aprobación.
• Declaración final. El firmante declara que la información es veraz y que no ha omitido nada, y acepta que sirva de base de la póliza.

Esa última parte es la que cambia el enfoque. Una respuesta optimista que no se corresponda con la realidad puede acabar siendo un problema justo cuando se necesita el seguro, que es en caso de siniestro.

Por qué ISO 27001 como referencia

La norma ISO/IEC 27001 define cómo establecer, mantener y mejorar un sistema de gestión de la seguridad de la información. No es una lista de productos: pide gestionar los riesgos y aplicar controles proporcionados. Su anexo A, en la versión de 2022, agrupa 93 controles en cuatro temas: organizativos, de personas, físicos y tecnológicos.

Es una buena referencia para este trabajo por tres razones:

1. Cubre los mismos asuntos que el cuestionario. Control de accesos, copias de seguridad, registros, gestión de proveedores, gestión de incidentes, seguridad de las redes o gestión de vulnerabilidades tienen su equivalente en la norma.
2. Obliga a demostrar, no solo a afirmar. Se trabaja con evidencias: documentos, configuraciones, registros, pruebas de restauración.
3. Es un lenguaje reconocido. Una organización que se alinea con ISO 27001 puede explicar su seguridad en términos que una aseguradora, un auditor o un cliente entienden.

Alinearse con la norma no equivale a estar certificado. Se puede usar como marco de auditoría y de mejora sin pasar por una certificación, y esa fue la finalidad aquí.

Cómo es el proceso de una auditoría para ciberseguro

Estas son las etapas que sigue una auditoría de este tipo, tal como las planteamos.

1. Reunión inicial y delimitación del alcance. Se decide qué sedes, sistemas y procesos se auditan, y se identifica a las personas que conocen cada área: dirección, informática, protección de datos, administración.
2. Análisis del cuestionario. Se leen una a una las preguntas y se distingue entre las que tienen una respuesta objetiva y comprobable y las que dependen de una política o de una práctica.
3. Recogida de información y evidencias. Entrevistas, revisión de documentos (políticas, procedimientos, contratos con proveedores) y comprobación técnica de lo que se declara: configuraciones, resultados de copias, accesos, actualizaciones.
4. Contraste con los controles de ISO 27001. Cada área se compara con los controles de la norma que le corresponden, para valorar si existe, si está documentado y si se aplica en la práctica.
5. Análisis de brechas. Se señala qué cumple, qué cumple parcialmente y qué no cumple, con una valoración del riesgo asociado.
6. Informe y plan de mejora. Un documento con los hallazgos, ordenados por prioridad, y las acciones recomendadas, con responsables propuestos.
7. Respuestas veraces al cuestionario. Con el estado real a la vista, el centro puede contestar con exactitud y, cuando algo no se cumple, anotar el plan para corregirlo.
8. Seguimiento. Se revisan las acciones aplicadas y se actualiza el estado de los controles.

Qué se lleva el cliente

Lo que persigue una auditoría así, no un resultado medido, es lo siguiente:

• Un diagnóstico objetivo del estado de su seguridad, y no una impresión.
• Un cuestionario respondido con datos comprobados.
• Un plan de acciones priorizado para reducir los riesgos.
• Una base documental que sirve en la renovación del seguro y en otros trámites.
• Un primer paso, si lo desea, hacia un sistema de gestión completo y, llegado el caso, hacia la certificación por un organismo acreditado.

Los puntos que más pesan en un ciberseguro

Hay áreas que las aseguradoras suelen mirar con especial atención. Esta lista es general, no describe los hallazgos de este caso:

Copias de seguridad. No basta con tenerlas: se pregunta cuántas hay, dónde están, si alguna permanece desconectada y si se prueba la restauración.

Autenticación. Contraseñas robustas, gestión de privilegios y, cada vez más, doble factor en el correo y en los accesos remotos.

Actualizaciones y sistemas sin soporte. Un sistema que el fabricante ya no actualiza es una puerta abierta y las aseguradoras lo saben.

Segmentación de la red. Separar los entornos limita lo que puede hacer un atacante que consiga entrar.

Registros y monitorización. Para detectar un incidente y reconstruir qué ocurrió hace falta conservar registros.

Planes de respuesta y continuidad. Un plan escrito, con responsables y probado, marca la diferencia en las primeras horas de un incidente.

Proveedores. Qué hacen terceros con la red o con los datos y qué obligaciones tienen.

Lo que aprendimos

El cuestionario es una oportunidad. Obliga a revisar cosas que se daban por supuestas.

Responder bien importa más que responder bien rápido. Una respuesta imprecisa puede cuestionar la cobertura cuando hay un siniestro.

La seguridad se demuestra. Si algo no se puede probar con un documento, una configuración o un registro, mejor no declararlo como cumplido.

En sanidad, el listón es más alto. Los datos de salud son una categoría especial según el RGPD, y su protección exige medidas reforzadas que un buen marco, como ISO 27001, ayuda a organizar.

¿Su organización tiene que cumplimentar un cuestionario de ciberseguro?

Podemos analizarlo con usted, auditar el estado real de sus sistemas con ISO 27001 como referencia y proponerle un plan de mejora, antes de firmar la declaración. Si más adelante quiere certificarse, le prepararemos para que lo haga un organismo acreditado. Consulte nuestras páginas sobre auditoría de seguridad en la empresa y certificación ISO 27001, o contarnos su caso.

Auditoría ISO 27001: lo esencial del caso

Una auditoría ISO 27001 ordena los controles de seguridad y deja evidencias que la aseguradora puede valorar. En este caso, la auditoría ISO 27001 se hizo para que el centro pudiera cubrir su ciberseguro. La auditoría ISO 27001 no es una certificación, que solo concede un organismo acreditado. Antes de contestar el cuestionario de la aseguradora, una auditoría ISO 27001 evita afirmar controles que no existen.

Para ampliar información, puede consultar la ficha de la norma ISO/IEC 27001.

Preguntas frecuentes

¿Pueden certificar nuestra empresa en ISO 27001?

No. Auditamos, preparamos para la certificación e implantamos controles. La certificación solo la emite un organismo acreditado.

¿Una auditoría garantiza que nos concedan el seguro o nos den mejores condiciones?

No. La decisión es de la aseguradora. La auditoría permite responder con exactitud y reducir los riesgos que esta valora.

¿Hay que cumplir ISO 27001 para tener un ciberseguro?

No es un requisito general. La norma es una referencia útil para ordenar la revisión y para demostrar que se gestiona la seguridad.

¿Cada cuánto conviene repetirla?

Antes de cada renovación de la póliza y cuando haya cambios importantes en los sistemas, los proveedores o la actividad.

¿Pueden hacerlo si ya trabajamos con otra consultora o con un corredor de seguros?

Sí. Trabajamos directamente con empresas y también como subcontrata de consultoras e integradores, en marca blanca.