Sección 3 Requisitos de Seguridad de la Información para Laboratorios Médicos

I. Condiciones Ambientales

  1. Se establecerán documentos de procedimiento para mantener los sistemas de información utilizados para recopilar, procesar, registrar, notificar, almacenar o recuperar datos e información de exámenes, con el fin de garantizar su funcionamiento normal y proporcionar las condiciones ambientales y operativas necesarias. Se mantendrá y registrará la integridad de los datos y la información; las instalaciones y equipos informáticos se mantendrán limpios, y sus ubicaciones y entornos cumplirán con las disposiciones pertinentes (como ventilación, electricidad estática, temperatura y humedad).

  2. La ubicación de los equipos informáticos cumplirá con los requisitos de seguridad contra incendios.

  3. Se proporcionarán medidas de protección para los cables eléctricos y los cables informáticos situados en zonas de tránsito.

  4. Se proporcionarán fuentes de alimentación ininterrumpida (UPS) para los servidores del LIS y los equipos informáticos involucrados en el procesamiento de datos, con el fin de evitar daños o pérdidas de datos en el LIS causados por cortes de energía repentinos.

  5. Se establecerán disposiciones y medidas para impedir que personas no autorizadas accedan a las instalaciones de información.

II. Manuales de Procedimiento

  1. Se establecerán manuales de procedimiento e instrucciones de trabajo para los sistemas operativos informáticos; podrán estar en formato electrónico para facilitar su uso por todos los usuarios informáticos autorizados, y estarán disponibles en el lugar donde se realizan las actividades.

  2. Se describirán claramente el propósito de los programas informáticos, su modo de funcionamiento y su interacción con otros programas informáticos. El nivel de detalle será suficiente para apoyar a los administradores de sistemas de información informáticos en la realización de la resolución de problemas relacionados, en la ejecución de cambios del sistema o, cuando sea necesario, en modificaciones de programas autorizadas.

  3. Los manuales de procedimiento e instrucciones de trabajo del sistema informático serán revisados y aprobados periódicamente por el director del laboratorio o el personal autorizado; los manuales de procedimiento e instrucciones de trabajo del sistema informático en uso estarán actualizados y serán vigentes.

  4. Se establecerán procedimientos para que, en caso de incendio o daños en el software o el hardware, existan medidas para proteger los datos, la información y los equipos informáticos.

III. Seguridad del Sistema

  1. Los usuarios del LIS deberán estar autorizados. La autorización para el LIS será detallada, y se concederá autorización al personal que acceda a datos de pacientes, introduzca resultados de pacientes, modifique resultados, altere facturas o cambie programas informáticos.

  2. Todas las personas autorizadas a acceder al LIS del laboratorio salvaguardarán la confidencialidad de la información de los pacientes en todos los equipos informáticos y sistemas de información. El laboratorio y el centro de gestión de red garantizarán que: (1) se establezcan e implementen procedimientos para proteger la integridad de los datos en todos los equipos informáticos y sistemas de información en todo momento; (2) los programas informáticos y otros métodos sean suficientes para proteger la recopilación, el procesamiento, el registro, la notificación, el almacenamiento o la recuperación de datos e información de exámenes, evitando el acceso, la modificación o la destrucción accidentales o no autorizados.

  3. Se prohíbe la instalación ilegal de software en los equipos informáticos del laboratorio, y se prohíbe el uso de memorias USB y otros dispositivos de transcripción de datos.

  4. Si se puede acceder a información de otros sistemas informáticos (como los sistemas de farmacia o de historias clínicas) a través del sistema informático del laboratorio, se implementarán medidas de seguridad informática adecuadas para impedir el acceso no autorizado a dicha información.

  5. Se implementarán medidas de seguridad informática adecuadas para impedir el acceso no autorizado y la alteración no autorizada de cualquier información de laboratorio de pacientes a través de otros sistemas informáticos (como los sistemas de farmacia o de historias clínicas).

  6. Los datos transmitidos por redes, tanto dentro como fuera de la institución, estarán protegidos contra la interceptación o recepción ilegales.

IV. Entrada de Datos y Notificación

  1. Se comprobará periódicamente la coherencia entre los resultados de los informes finales de análisis del LIS y los datos de entrada originales, y se conservarán los documentos de procedimiento y los registros destinados a prevenir errores en la transmisión de datos. Se comprobarán periódicamente los datos para detectar errores que puedan surgir durante su procesamiento y almacenamiento. Por ejemplo: (1) Se comprobará periódicamente la coherencia entre los datos de los sistemas de consulta de resultados de análisis, como las estaciones de trabajo de médicos y enfermeros, y los datos originales. (2) Cuando se conecte un nuevo instrumento al LIS, se realizará un número determinado de comparaciones entre los datos del instrumento y los datos del LIS.

  2. Se comprobarán periódicamente las múltiples copias de tablas mantenidas en distintos sistemas (por ejemplo, las tablas de intervalos de referencia biológicos del sistema de información de laboratorio y del sistema de información hospitalario) para garantizar la coherencia de todas las copias durante su uso. Se dispondrá de procedimientos de replicación o comparación adecuados, y se realizarán comprobaciones periódicas.

  3. El laboratorio auditará y registrará periódicamente el proceso y los resultados del procesamiento informático de los datos de los pacientes. Nota: el proceso y los resultados del procesamiento de datos de los pacientes se refieren a cualquier modificación realizada en los historiales de los pacientes sobre la base de los datos introducidos, incluidos los cálculos numéricos, las funciones lógicas, la verificación automática de resultados y la adición de observaciones.

  4. Cuando se introduzcan datos en una computadora u otro sistema de información mediante métodos manuales o automatizados, se comprobará y verificará la corrección de los datos introducidos antes de la revisión informática final y la emisión del informe. Siempre que sea posible, la introducción de resultados se comprobará frente al rango numérico predefinido para el análisis correspondiente, con el fin de detectar resultados irrazonables o imposibles antes de la revisión final y la emisión del informe.

  5. El director del laboratorio revisará y aprobará el contenido y el formato de los informes de laboratorio del LIS, y recabará la opinión del personal clínico.

  6. El LIS contará con un procedimiento de revisión de informes en su funcionamiento normal. La dirección del laboratorio o el personal designado se encargará de transmitir de forma precisa y eficiente los resultados de los análisis a los destinatarios autorizados, y aprobará las modificaciones en cualquier sistema de información que puedan afectar a la atención médica de los pacientes.

  7. El LIS debería contar con un procedimiento capaz de detectar resultados irrazonables o imposibles antes de que la computadora emita un informe; después de modificar los datos de los pacientes, los datos originales deberán poder seguir visualizándose. El LIS será capaz de mostrar los datos históricos de los pacientes, para que el personal de análisis pueda comparar los datos de las pruebas durante la revisión de los informes.

  8. El formato de informe del LIS ofrecerá la función de añadir observaciones como la calidad de la muestra y la interpretación de resultados.

  9. El LIS podrá identificar y registrar la información del personal que haya accedido o modificado los datos de los pacientes, los documentos de control o los programas informáticos.

  10. El LIS contará con un procedimiento capaz de detectar resultados de valores críticos y emitir una alerta temprana antes de que la computadora emita un informe, y notificará al área clínica de forma oportuna mediante los procedimientos correspondientes (por ejemplo, parpadeo de pantalla en las estaciones de trabajo de médicos y enfermeros) y conservará los registros (incluidos la fecha y la hora en que el área clínica recibió el resultado del valor crítico, el resultado del valor crítico, el destinatario del resultado del valor crítico, el notificador, y la fecha y la hora de la notificación).

  11. El LIS contará con funciones para la selección de métodos de control de calidad interno, el análisis de datos, la elaboración de gráficos, la activación de alertas y la alarma de estados de descontrol, así como funciones para la conservación de los datos tras la liberación del control y de los datos originales, y para el análisis retrospectivo y las estadísticas.

  12. El LIS contará con funciones que reflejen los registros de tiempo, el estado de funcionamiento, las emergencias y otros contenidos desde la recolección, el transporte y la entrega de las muestras en el laboratorio hasta la realización de los análisis y la emisión de los informes.

  13. El LIS deberá contar con funciones que reflejen el almacenamiento, la emisión, el uso y el inventario de los consumibles de laboratorio, y deberá emitir avisos de alerta temprana cuando los consumibles se estén agotando.

V. Recuperación y Almacenamiento de Datos

  1. Los datos de resultados de los pacientes y la información de archivo almacenados en los sistemas de información deberán poder recuperarse fácilmente para consultas. El laboratorio deberá determinar el período de conservación de los datos de resultados de los pacientes y la información de archivo en sus sistemas de información. El período de conservación deberá cumplir con los requisitos nacionales de plazo para los registros médicos electrónicos. El método de recuperación y consulta estará sujeto a consulta con el personal clínico.

  2. El LIS deberá poder reproducir completamente los resultados de examen archivados y demás información adicional necesaria, incluidos la incertidumbre de medición, los intervalos de referencia biológicos, así como las advertencias, notas al pie o observaciones explicativas adjuntas a los resultados de examen.

  3. Si no se dispone de otros medios, los datos de los pacientes y del laboratorio deberán poder recuperarse «en línea» dentro de un plazo especificado.

  4. Se deberán establecer documentos de procedimiento para etiquetar correctamente y conservar adecuadamente los soportes de almacenamiento de datos, así como para evitar que personas no autorizadas hagan uso de ellos.

  5. El LIS deberá realizar copias de seguridad de los datos de resultados de los pacientes.

VI. Hardware y Software

  1. Se deberá establecer un procedimiento para llevar a cabo el mantenimiento preventivo de todo el hardware informático y mantener registros, que estarán disponibles para consulta en cualquier momento.

  2. Después de cada copia de seguridad o restauración de archivos de datos, se comprobará si el sistema ha sufrido cambios no deseados y se dejará constancia de dicha comprobación en un registro.

  3. Los cambios realizados en el hardware y el software del sistema se deberán identificar y registrar con precisión. Se verificarán los cambios introducidos en el hardware y el software del sistema para garantizar que resulten aceptables.

  4. Todos los cambios en el LIS que puedan afectar a la atención médica del paciente, como la re-revisión de informes, deberán someterse a revisión y aprobación, y se conservarán los registros correspondientes.

  5. Cuando se instale un programa por primera vez, o después de que este se modifique o altere, se comprobará y registrará su funcionamiento normal.

  6. Se deberán establecer documentos de procedimiento que permitan al personal autorizado de todos los niveles llevar a cabo la resolución de incidencias, la modificación del sistema o tareas de programación.

  7. Los usuarios de equipos informáticos deberán recibir formación para dominar el uso de los sistemas nuevos y de los sistemas existentes que hayan sido modificados.

  8. Se designará a una persona responsable que informe puntualmente a las instancias superiores y conserve los registros correspondientes cuando un equipo informático presente una falla evidente.

VII. Mantenimiento del Sistema

  1. El laboratorio deberá establecer un procedimiento para probar periódicamente todo el hardware informático. Se deberá contar con un calendario de mantenimiento periódico.

  2. El laboratorio deberá implementar medidas de copia de seguridad eficaces para evitar la pérdida de datos de los pacientes derivada de fallos de hardware o software. La eficacia de las copias de seguridad se comprobará periódicamente.

  3. El laboratorio deberá especificar el ciclo de copia de seguridad y el período de conservación.

  4. Los errores detectados durante la copia de seguridad del sistema y las medidas correctivas adoptadas se registrarán y comunicarán a la persona responsable del laboratorio.

  5. El sistema de alarmas informático (generalmente la consola principal del equipo, que supervisa el rendimiento del hardware y el software) se supervisará y probará periódicamente para garantizar su funcionamiento normal.

  6. Se deberán establecer documentos de procedimiento que especifiquen los requisitos para apagar y reiniciar la totalidad o parte del sistema, con el fin de garantizar la integridad de los datos, minimizar el impacto en los servicios prestados por el laboratorio y asegurar el funcionamiento normal del sistema tras el reinicio.

  7. Se conservarán registros de mantenimiento periódico, servicio técnico y reparaciones, de modo que los operadores puedan rastrear los trabajos realizados en cualquier equipo informático.

  8. Se elaborará documentación relativa a la adopción de medidas correctivas para las fallas informáticas y sus causas, y se conservarán los registros correspondientes.

  9. Se elaborará un plan de respuesta escrito para situaciones de emergencia del sistema informático.

VIII. Validación de los Sistemas de Información

  1. Cuando se utilicen ordenadores para recopilar, procesar, registrar, notificar, almacenar o recuperar datos de exámenes, el laboratorio deberá garantizar que el software informático, incluido el software de propósito general utilizado en la construcción de instrumentos o sistemas (como las aplicaciones de procesamiento de textos o de hojas de cálculo), esté validado.

  2. Tras la instalación inicial y después de cambios o modificaciones planificados, los programas deberán validarse antes de poder ponerse en funcionamiento normal.

  3. Cualquier cambio en el hardware o software del sistema deberá someterse a una validación de idoneidad para confirmar que todos los cambios son viables, y se deberán conservar registros. Se deberá registrar la información de todo el personal que añada o modifique software.

IX. Recuperación de datos

  1. Se establecerán procedimientos para gestionar los periodos de inactividad de otros sistemas (como el sistema de información hospitalario) con el fin de garantizar la integridad de los datos de los pacientes. Se establecerán procedimientos para verificar la recuperación de otros sistemas y la sustitución o actualización de los archivos de datos.

  2. Se registrarán todos los apagados no planificados, periodos de degradación del sistema (como tiempos de respuesta más lentos) y otros problemas informáticos, incluidas las causas de las averías y las medidas correctivas adoptadas. El laboratorio deberá notificar puntualmente todas las averías informáticas graves al personal designado.

  3. Se elaborará un plan de emergencia por escrito para responder a determinados eventos y garantizar que los informes de resultados de los pacientes puedan emitirse de forma rápida y eficaz en caso de fallo de los ordenadores u otros sistemas de información.

X. Protección clasificada de la seguridad de los sistemas de información

1. Antecedentes del desarrollo

Con el desarrollo continuo de la informatización hospitalaria, la realización de todo tipo de tareas hospitalarias ha adoptado sistemas de información en red en distintos grados, y el papel de los sistemas de información en los hospitales se ha vuelto cada vez más importante. El desarrollo y la construcción de los hospitales modernos se han integrado con la informatización; cuando la seguridad del sistema de información hospitalario sufre ataques o daños que impiden que el hospital desarrolle sus distintas actividades médicas con normalidad, es muy fácil que se produzcan incidentes sociales masivos, como la filtración de información personal privada de los pacientes (enfermedades graves), o que los pacientes muestren descontento y provoquen disturbios en el hospital debido a la interrupción del sistema de registro. Por lo tanto, la forma de salvaguardar la seguridad del sistema de información hospitalario también se ha convertido en un tema que requiere atención en el marco de la informatización hospitalaria.

Para mejorar aún más la protección de la seguridad de la información hospitalaria, el Ministerio de Salud, atendiendo a la situación actual de los distintos sectores médicos en la etapa actual de China, emitió las «Opiniones orientativas sobre el trabajo de protección clasificada de la seguridad de la información en el sector sanitario» (N.º 85 [2011]), en las que se clarificaba la relación entre la protección clasificada de la seguridad de la información y la protección de la seguridad de la información en el sector médico. De conformidad con el espíritu orientativo de este documento, los sistemas de negocio centrales de los hospitales terciarios de categoría A deberán construirse y protegerse de acuerdo con el Nivel 3 de la protección clasificada de la seguridad de la información.

2. Proceso de construcción

La construcción del trabajo de protección clasificada de la seguridad de la información hospitalaria se divide principalmente en los siguientes procesos:

2.1 Revisión de clasificación de los sistemas de información hospitalarios

De acuerdo con las disposiciones pertinentes sobre la protección clasificada de la seguridad de la información, cuando un sistema de información sufra ataques o daños, las consecuencias resultantes se clasificarán según el grado de daño causado a la seguridad nacional, el orden social y los intereses públicos, así como a los intereses legítimos de los ciudadanos y las personas.

2.2 Registro de los sistemas de información hospitalarios

Tras la revisión de clasificación de un sistema de información hospitalario, el hospital deberá presentar el «Formulario de Registro de Protección Clasificada de Seguridad de Sistemas de Información», el «Informe de Clasificación de Protección Clasificada de Seguridad de Sistemas de Información» y los documentos relacionados ante el departamento de salud competente local. El departamento de salud deberá informar al órgano de seguridad pública de nivel municipal o superior para su registro e inscripción, y la clasificación del sistema de información se completará una vez obtenido el comprobante de registro.

2.3 Pruebas y Evaluación de la Protección Clasificada del Sistema de Información Hospitalario

Una vez completadas la clasificación y el registro del sistema de información, se seleccionará una institución profesional de pruebas y evaluación autorizada por el departamento de seguridad pública local y con cualificación para realizar pruebas y evaluaciones de protección clasificada de seguridad de la información, para llevar a cabo una evaluación integral del sistema de información hospitalario. El objetivo de la evaluación es realizar una valoración objetiva de la capacidad de protección de seguridad del sistema de información hospitalario. Mediante inspecciones de seguridad en los ámbitos de seguridad física, seguridad de red, seguridad de aplicaciones, seguridad de datos, seguridad de hosts y gestión de seguridad, y tomando los requisitos básicos de la protección clasificada nacional de seguridad de la información como línea de base de seguridad, se efectúa una determinación objetiva de conformidad para medir aún más la capacidad de protección de seguridad actual del sistema y las amenazas y riesgos a los que se enfrenta, proporcionando una base sólida para la rectificación de seguridad y la construcción de seguridad futura.

2.3.1 Indicadores y Métodos de Evaluación

Los sistemas de negocio centrales del hospital son sistemas de protección clasificada de Nivel 3, y los indicadores de evaluación de seguridad deberán incluir la clase de indicadores generales de Nivel 3 (G3), la clase de indicadores de seguridad de información de negocio de Nivel 3 (S3) y la clase de garantía de servicios de negocio de Nivel 3 (A3), recogidas en la Sección 7.1 «Requisitos Técnicos» de los «Requisitos Básicos para la Protección Clasificada de Seguridad de Sistemas de Información».

En el trabajo de evaluación in situ se utilizarán tres tipos de métodos: entrevistas, inspecciones y pruebas. La entrevista es un método mediante el cual el personal de evaluación obtiene evidencias a través de actividades como el intercambio de opiniones y la celebración de debates con el personal relacionado con el sistema de información. La inspección es un método mediante el cual el personal de evaluación obtiene evidencias a través de actividades como la observación, el examen y el análisis de los objetos de evaluación. Las pruebas se refieren a actividades en las que el personal de evaluación hace que los objetos de evaluación produzcan respuestas específicas según métodos o herramientas predeterminados, para posteriormente obtener evidencias mediante el examen y análisis de los resultados de las respuestas. La principal herramienta utilizada para las entrevistas es la lista de entrevistas. El personal de evaluación aborda las preguntas de la lista de entrevistas una por una mediante el intercambio de opiniones y la celebración de debates con el personal relacionado con el sistema de información, y conoce y confirma la situación de protección de seguridad del sistema de información según las respuestas de los entrevistados. La principal herramienta utilizada para las inspecciones es la lista de verificación. El personal de evaluación aborda las preguntas de la lista de verificación una por una mediante actividades como la observación, el examen y el análisis. Según los distintos objetos de inspección, las inspecciones se pueden dividir además en revisión de documentos, observación in situ y verificación de configuración. Según las distintas herramientas y procesos de implementación, las pruebas se pueden subdividir además en obtención de información, escaneo de vulnerabilidades, pruebas de penetración y análisis criptográfico. La obtención de información consiste en obtener información como los nombres de hosts/dispositivos activos, direcciones IP, sistemas operativos, puertos de servicio abiertos y paquetes de datos específicos; el escaneo de vulnerabilidades consiste en utilizar equipos de escaneo de vulnerabilidades para sondear automáticamente los dispositivos objetivo y descubrir configuraciones erróneas y vulnerabilidades de seguridad conocidas en cada puerto de red abierto de estos hosts/dispositivos; las pruebas de penetración simulan las técnicas de ataque que podrían utilizar los hackers, intentando intrusarse en el sistema de información u obtener más recursos en él, para evaluar directamente el estado de seguridad del sistema de información. La realización de escaneos de vulnerabilidades y pruebas de penetración en el sistema de información desde distintos puntos de acceso puede reflejar el estado de seguridad del sistema de información desde distintos ángulos y perspectivas.

2.3.2 Evaluación de unidades

La combinación de los indicadores de evaluación y los métodos de evaluación con los objetos de evaluación específicos del sistema de información constituye unidades de trabajo que se pueden evaluar de forma específica. La institución de evaluación realizará evaluaciones de unidades por separado de la seguridad física, la seguridad de red, la seguridad del sistema host, la seguridad de las aplicaciones, la seguridad de los datos y la copia de seguridad/recuperación, la organización de gestión de seguridad, los sistemas de gestión de seguridad, la gestión de seguridad del personal, la gestión de construcción de sistemas y la gestión de operación y mantenimiento de sistemas.

2.3.3 Evaluación general

Una vez que los controles de seguridad de un sistema de información se integran en este, surgen relaciones interrelacionadas como conexión, interacción, dependencia y coordinación dentro de las capas, entre capas y entre regiones, de modo que la función de seguridad general del sistema de información está estrechamente vinculada a su estructura y presenta una característica integrada en su conjunto. Estas características integradas no se reflejan plenamente en las unidades de trabajo de los controles de seguridad. Por ello, sobre la base de la evaluación de los controles de seguridad, es necesario realizar una evaluación general del sistema integrado y de su entorno de funcionamiento. La evaluación de seguridad entre controles de seguridad considera principalmente los efectos correlativos, como la mejora, complementación o debilitamiento funcional, que existen entre distintos controles de seguridad de una misma capa. Por ejemplo, la autenticación de identidad y el control de acceso en la capa de host están estrechamente relacionados, por lo que se debe prestar atención a sus efectos correlativos y complementarios. La evaluación de seguridad entre capas considera principalmente los efectos correlativos, como la mejora, complementación y debilitamiento funcional, que existen entre distintas capas dentro de una misma región. Por ejemplo, la capa de red, la capa de sistema de host y el aspecto de gestión de operación y mantenimiento de sistemas de la gestión de seguridad están estrechamente relacionados, por lo que se debe prestar atención a sus efectos correlativos y complementarios. La evaluación de seguridad entre regiones considera principalmente los efectos correlativos, como la mejora, complementación y debilitamiento de las funciones de seguridad, que existen entre distintas regiones interconectadas e interoperables (incluida la interconexión física y lógica), en particular entre dos regiones distintas en las que se intercambian datos. La evaluación de seguridad de la estructura del sistema considera principalmente la seguridad de la estructura general del sistema de información y la racionalidad de las medidas de seguridad preventivas generales. La evaluación de seguridad de la estructura general debe partir de la distribución física, la topología de red, la lógica empresarial (flujo de datos empresariales), la implementación del sistema y el enfoque de integración del sistema de información y, teniendo en cuenta las amenazas a las que se puede enfrentar en distintas posiciones y las vulnerabilidades que pueden quedar expuestas, determinar de forma integral si la distribución general del sistema de información es razonable y si es seguro y eficaz en su conjunto. Tras examinar los métodos de implementación específicos y el despliegue de las medidas de protección de seguridad del sistema de información, y analizar, en combinación con su flujo de datos empresariales, la relación entre las distintas regiones y fronteras y las medidas de protección de seguridad, así como la relación entre los negocios importantes y la información clave y las medidas de protección de seguridad, se deberán tomar como referencia los requisitos de la defensa en profundidad para determinar si las medidas de seguridad preventivas del sistema de información destacan los puntos clave y se profundizan capa por capa, a fin de determinar de forma integral si las medidas de seguridad preventivas generales del sistema de información son adecuadas y razonables.

2.4 Reporte de los resultados de las pruebas y rectificación

Una vez finalizada la evaluación del sistema de información hospitalario, la institución evaluadora emitirá un «Informe de Evaluación Clasificada de Sistemas de Información». El hospital deberá presentar el informe de evaluación ante el órgano de seguridad pública local para su registro. De conformidad con los resultados de la evaluación recogidos en el informe, sobre la base de normas como los «Requisitos Básicos para la Protección Clasificada de la Seguridad de los Sistemas de Información» y teniendo en cuenta el trabajo real del hospital, este deberá organizar y llevar a cabo los trabajos de construcción de seguridad y rectificación correspondientes a la protección clasificada, asignar las tareas de rectificación a personas concretas y completar la rectificación en el plazo previsto.

2.5 Formulación del Sistema de Gestión de Protección Clasificada de la Información Hospitalaria

El hospital, tomando como referencia los requisitos de gestión de la protección clasificada de la seguridad de la información y atendiendo a su situación real, construirá su sistema de gestión de protección clasificada de seguridad de la información a partir de los siguientes ámbitos: organización de gestión de seguridad de la información, sistemas de gestión de seguridad de la información, seguridad del personal de información, gestión de construcción de sistemas y gestión de operación y mantenimiento de sistemas.

En términos generales, el sistema de construcción de la protección clasificada de seguridad de la información debe basarse en las necesidades reales y someter periódicamente a prueba el cumplimiento normativo y la racionalidad de la construcción. El cumplimiento normativo consiste en construir el sistema integral de seguridad de la información del hospital bajo la guía de los requisitos políticos: aplicar las normas nacionales de protección clasificada; responder al espíritu orientador del Ministerio de Salud en el impulso de la construcción de la protección clasificada; superar la evaluación nacional de protección clasificada; y servir de experiencia piloto y demostración para la construcción del sistema de seguridad de la información y la labor de protección clasificada en el sector sanitario. Las necesidades reales suponen realizar una construcción sistemática atendiendo a los propios requisitos de desarrollo de la actividad del hospital y mejorar genuinamente su nivel de protección de seguridad de la información: lograr la defensa activa frente a las amenazas de intrusión externa y prevenir los efectos perjudiciales derivados de las operaciones internas irregulares; reducir la dificultad del trabajo diario de gestión de la información y mejorar la eficiencia de operación y gestión de los sistemas de información complejos y heterogéneos, a fin de alcanzar el objetivo de «contar con normas a las que acogerse y técnicas disponibles»; y planificar y normalizar racionalmente la construcción de los sistemas de información ya construidos, los de nueva construcción y los planificados para su construcción.