Diez preguntas que todo gerente general debe poder responder

Una lista de verificación ejecutiva para proteger los datos del paciente, reducir el riesgo cibernético y mantener las operaciones de salud en funcionamiento

Por Mladen Petrovic | 19 de julio, 2026

Cuando una organización de salud sufre un incidente cibernético, el problema de negocio no es solo tecnológico. Es si los pacientes pueden seguir recibiendo atención, los líderes pueden seguir tomando decisiones y la organización puede seguir operando con confianza. NIST CSF 2.0 enmarca la ciberseguridad como un problema de gestión del riesgo y comunicación para toda la organización, no solo para el departamento de TI.

---

1. ¿Sabemos qué servicios deben mantenerse en funcionamiento?

Todo gerente general debe poder nombrar los servicios clínicos y administrativos que la organización no puede permitirse perder. Eso incluye el agendamiento, la facturación, los registros del paciente, la comunicación y cualquier sistema que afecte la prestación del cuidado. Si los líderes no pueden definir estas prioridades, tampoco pueden establecer expectativas de recuperación ni asignar recursos de manera efectiva.

---

2. ¿Sabemos qué datos del paciente son más críticos?

No todos los datos generan el mismo nivel de riesgo. Los gerentes generales deben saber qué información causaría mayor daño si fuera expuesta, alterada o no estuviera disponible, especialmente la información de salud electrónica protegida bajo HIPAA. Las Reglas de Privacidad y Seguridad de HIPAA exigen controles para la privacidad, la confidencialidad, la integridad y la disponibilidad, lo que convierte la clasificación de datos en un asunto de liderazgo, no en una tarea secundaria de TI.

---

3. ¿Hemos asignado responsabilidades claras?

Una postura de seguridad sólida falla cuando la responsabilidad es ambigua. Los líderes deben saber quién aprueba las decisiones de riesgo, quién escala los incidentes y quién tiene autoridad durante una interrupción. El NIST CSF 2.0 enfatiza la gobernanza y la comunicación del riesgo empresarial en toda la organización, lo que convierte la rendición de cuentas en parte de la gestión ejecutiva.

---

4. ¿Podemos seguir operando durante un incidente cibernético?

Los gerentes generales necesitan una respuesta clara sobre cómo funciona la organización si los sistemas principales caen. Eso significa conocer el procedimiento alternativo de contingencia, la secuencia de recuperación y el tiempo durante el cual la organización puede operar de forma segura sin la tecnología habitual. Las Prácticas de Ciberseguridad para la Industria de la Salud del HHS se centran en la resiliencia y las salvaguardas prácticas para las operaciones de salud, no solo en la prevención.

---

5. ¿Probamos nuestros planes de recuperación en condiciones reales?

Un plan sobre papel no prueba la preparación. Los ejecutivos deben preguntarse si el personal ha practicado los procedimientos ante cortes de servicio, si el liderazgo ha revisado los ejercicios recientes y si las lecciones de los simulacros han generado cambios reales. Los informes de amenazas del sector salud de ENISA destacan la exposición del sector a graves interrupciones operativas, lo que hace que las pruebas realistas sean esenciales para la continuidad.

---

6. ¿Conocemos nuestros mayores riesgos de negocio?

El riesgo cibernético debe integrarse dentro de la gestión integral de riesgos empresariales, no ser tratado de forma paralela. Los gerentes generales deben comprender qué amenazas podrían retrasar la atención, generar exposición legal, interrumpir los ingresos o dañar la confianza. El NIST CSF 2.0 fue diseñado para ayudar a las organizaciones a entender, evaluar, priorizar y comunicar el riesgo cibernético en términos de negocio.

---

7. ¿Son suficientemente seguros nuestros proveedores externos?

Las organizaciones de salud dependen de proveedores externos para reclamaciones, facturación, software, almacenamiento, soporte e intercambio de datos. Eso significa que un socio con debilidades puede convertirse rápidamente en un problema propio. Los líderes deben saber cómo la organización evalúa el riesgo de los proveedores, las expectativas contractuales y las obligaciones de respuesta, dado que el NIST CSF 2.0 también enfatiza la comunicación con proveedores y socios.

---

8. ¿Sabe el personal qué hacer primero?

La mayoría de los incidentes se agravan cuando los empleados dudan o improvisan. Los gerentes generales deben preguntarse si el personal sabe cómo reportar actividad sospechosa, dónde encontrar los contactos de emergencia y qué acciones tomar cuando los sistemas fallan. Las directrices del HHS y HIPAA sostienen que la seguridad depende de la conciencia del personal y la disciplina operativa, no solo de los documentos de política.

---

9. ¿Amenazaría una brecha la confianza del paciente?

La ciberseguridad en salud afecta la reputación, la fidelidad del paciente y la confianza de la comunidad. Los líderes deben comprender el impacto probable para el negocio y para las personas ante una brecha, no solo la consecuencia de cumplimiento normativo. ISO/IEC 27001 trata la seguridad de la información como un sistema de gestión, lo que refuerza la idea de que la confianza y el control dependen de una gobernanza consistente.

---

10. ¿Qué decisión tomaremos el próximo trimestre?

La mejor pregunta ejecutiva no es si la organización superó una auditoría. Es si los líderes van a financiar, mejorar y medir la resiliencia antes de que llegue la próxima interrupción. Los gerentes generales deben salir de cada revisión con una lista corta de decisiones, responsables y plazos. Eso es lo que parece la excelencia operativa en salud: preparación, responsabilidad y continuidad.