NOUSEC aborda los dos modos de fallo humano de la sanidad, no solo el que venden los demás proveedores. El engaño se trabaja con simulación en ocho canales y una explicación detallada de cada respuesta; el error, con medición y rendición de cuentas (clasificación de la implicación, aceptación de políticas con control de versiones y una finalización que no se puede falsificar), asignado según el fallo medido y no según un calendario anual. Como el personal clínico trabaja a turnos y a menudo comparte puesto, la finalización se verifica en el servidor según los segundos vistos: un módulo abierto y abandonado entre paciente y paciente no cuenta como hecho.
La superficie del correo, en sus propias cifras.
La sanidad tiene dos modos de fallo humano. La mayoría de los programas solo entrena uno.
El engaño se lleva toda la atención. En este sector, el error está entre los tres primeros.
El engaño
Intrusión en sistemas e ingeniería social. Phishing de credenciales contra portales clínicos, pretextos telefónicos al servicio de atención de TI, señuelos con QR en material impreso de zonas públicas.
Se responde con: simulación multicanal, una explicación de cada respuesta que nombra la señal y asignación adaptativa tras el fallo.
El error
El envío al destinatario equivocado, la mala configuración, el adjunto que no era, la sesión compartida que se queda abierta.
Se responde hoy con: el módulo sobre adjuntos y enlaces maliciosos; la aceptación de su propia política de tratamiento de datos con control de versiones; la clasificación de la implicación, que separa a quien lee de quien pasa de largo; y la verificación de cobertura en el servidor, que impide que un módulo a medias cuente como hecho.
Un programa que solo entrena la desconfianza deja intacto el tercer patrón de brecha más grande del sector. Por eso esta página no es una copia de la página de servicios financieros.
Una enfermera del turno de noche no va a sentarse veinte minutos.
Aquí, llegar a la gente es un problema de formato y de canal antes que de formación. Tres grupos, tres respuestas distintas.
Personal clínico a turnos
Microformatos. Carteles e infografías para las plantas; módulos breves que se retoman donde se dejaron; simulación con códigos QR, porque es el canal que llega a quien no está ante un ordenador. Nada que exija un dispositivo personal.
Puestos compartidos
La finalización se atribuye en el servidor según los segundos vistos, así que un módulo abierto en un terminal compartido y abandonado no se completa. La clasificación de la implicación distingue «Omitido» de «Muy implicado» en lugar de contar ambos como hechos.
Administración y servicios generales
El grupo en el que de verdad aterrizan los envíos equivocados y el fraude del correo empresarial. Simulación por correo, SMS y devolución de llamada, más los módulos ya disponibles sobre BEC y adjuntos maliciosos.
14 formatos repartidos entre los planes, 30 idiomas (9 totalmente localizados hoy y 21 más bajo petición) y un plan formativo que cubre BEC, robo de credenciales, adjuntos y enlaces maliciosos e higiene de contraseñas.
El artículo, y la evidencia que le responde.
| Instrumento | Artículo | Qué exige | Cómo lo evidencia NOUSEC |
|---|---|---|---|
| NIS2[3] | Art. 21(2)(g) | Ciberhigiene y formación en ciberseguridad como medida mínima obligatoria. La sanidad es el sector 5 del anexo I: prestadores de asistencia sanitaria, laboratorios de referencia de la UE, I+D y fabricación farmacéutica y fabricantes de productos críticos en una emergencia de salud pública. | Verificación de finalización en el servidor; cuadro de cumplimiento ajustado para auditoría. |
| NIS2 | Art. 20(2) | La formación del órgano de dirección es obligatoria; la de los empleados se fomenta aquí y se exige en el 21(2)(g). | Un grupo propio para el consejo, con sus certificados. |
| RGPD | Art. 39(1)(b), art. 32 | Concienciación y formación dentro de las funciones de supervisión del DPD; medidas técnicas y organizativas apropiadas. | Aceptación de políticas con control de versiones; registro de auditoría; exportación al SIEM. |
| ISO/IEC 27701:2022 | — | Ampliación para la gestión de la información de privacidad. | Seleccionable por cliente. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Competencia, toma de conciencia, formación. | Página de verificación pública de certificados. |
Los resúmenes normativos son orientativos y no constituyen asesoramiento jurídico. El ámbito de aplicación y la clasificación dependen de la transposición en su Estado miembro. La verificación de finalización y el cuadro de cumplimiento empiezan en Essentials; la aceptación de políticas y la verificación pública de certificados en Professional; el registro de auditoría y la exportación al SIEM en Enterprise.
Los cuatro mecanismos en los que se apoya esta página.
Finalización medida en segundos vistos
Canales que llegan a la planta
Clasificación de la implicación
Explicación de cada respuesta
Lectura relacionada: ataques de phishing con códigos QR, y las entradas del glosario sobre compromiso del correo empresarial y relleno de credenciales. Nuestra propia postura está en Seguridad.
Preguntas
Lo primero que preguntan el CISO y el DPD de un hospital.
Cada cifra de esta página, y de dónde sale
Última revisión: 21 de octubre de 2026. Las citas normativas se contrastan con el texto consolidado de EUR-Lex en cada revisión.
- 2026 Data Breach Investigations ReportVerizon Business — sección sectorial, p. 84, Finanzas y Seguros (NAICS 52). Corpus: más de 31.000 incidentes, más de 22.000 brechas confirmadas, 145 países, oct. 2024 – nov. 2025 · 2026Uso: Sanidad (62): 1492 incidentes; 54 % con elemento humano; 14 % phishing frente a 20 % explotación de vulnerabilidades; Errores diversos e Ingeniería social entre los tres patrones que cubren el 81 % de las brechas.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024Departamento de Salud y Servicios Humanos de EE. UU., Oficina de Derechos Civiles — pp. 8–14 · 2024Uso: 663 brechas de gran tamaño, 164 de ellas en el correo electrónico; 534 incidentes de hacking o TI (81 % de las notificaciones) que afectaron a 241.582.022 personas, el 99 % de todas las afectadas.
- Health Threat LandscapeENISA — de enero de 2021 a marzo de 2023 · 2023Uso: El phishing como proporción de los incidentes sanitarios significativos notificados con arreglo a la Directiva NIS: del 8 % en 2021 al 26 % en 2022. Se cita en lugar de la proporción de ingeniería social del informe porque el vector de acceso inicial era desconocido en el 95,3 % de los casos observados.
- Directive (EU) 2022/2555 (NIS2)Diario Oficial de la Unión Europea, DO L 333, 27.12.2022 · 2022Uso: Artículos 3, 20(2) y 21(2)(g); sector 5 del anexo I y pertenencia al anexo II de los fabricantes de productos sanitarios en general.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organización Internacional de Normalización — 3.ª edición · 2022Uso: Cláusulas 7.2 y 7.3; título del control 6.3 del anexo A.