Benigno Rosón Calvo, subdirector de Sistemas y Tecnologías del Sergas: «Recibimos cerca de ocho millones de intentos de ciberataque al día»
EL BOTIQUÍN
El experto señala que existen momentos en los que los sistemas de información sanitaria dejan de funcionar, como ocurrió en el 2025 cuando se produjo el apagón en España, o en el verano de ese año durante los incendios en Ourense
07 sep 2026 . Actualizado a las 05:00 h.Benigno Rosón Calvo, Subdirector General de Sistemas y Tecnologías de la Información del Servicio Gallego de Salud, lleva años detrás de buena parte de la infraestructura tecnológica del Sergas: desde la historia clínica electrónica y la interoperabilidad hasta la seguridad de la información y el uso de grandes volúmenes de datos. En el 2019 recibió el Premio Nacional de Informática y Salud al CIO del sector sanitario por su trayectoria. El experto nos explica los pormenores de su labor en este momento crucial, en el que el Espacio Europeo de Datos de Salud (EEDS) entra en una fase decisiva. Con un reglamento que ya está en vigor, el EEDS establece hitos para los años 2029 y 2031, mientras España y sus comunidades están preparando la infraestructura necesaria.
—Usted ocupa un cargo que probablemente sea de los más importantes del Sergas y, sin embargo, es bastante desconocido para la población. ¿Qué hace exactamente un subdirector de Sistemas y Tecnologías de la Información de un servicio de salud?
—En el sistema de salud público, el departamento de Tecnologías es transversal y le da servicio a todas las unidades asistenciales, económicas y de recursos humanos para que a través de la tecnología tengamos una organización más eficiente. Desplegamos sistemas de información para conseguir esto. En Galicia tenemos un proyecto único de sistemas de información, eso quiere decir que todos los centros sanitarios manejan las mismas aplicaciones y se diseñan todos con los mismos criterios, se integran todas las aplicaciones y mantienen una coherencia global. Probablemente es una de las grandes fortalezas de Galicia, y nuestro sistema más conocido, es nuestra Historia Clínica Única, que lleva muchos años funcionando y que está presente en todos los centros sanitarios públicos e incluso los concertados y las residencias sociosanitarias. La función de este departamento es conseguir que la tecnología sea útil, fiable y aporte valor a la asistencia sanitaria de nuestros ciudadanos y mejore la productividad y ayude al profesional sanitario a tomar las mejores decisiones y a la organización a conocer toda la información que hay alrededor para también gestionarse bien. La Organización Sanidad Pública es una organización muy grande, de más de 50.000 profesionales, y atendemos a más de 2.700.000 ciudadanos.
—Si mañana todos los sistemas informáticos del Sergas dejaran de funcionar, ¿cómo repercutiría, por ejemplo, en un centro de salud?
—Por desgracia, existen momentos en los que los sistemas de información sanitaria dejan de funcionar. Nosotros hablamos de dar el 99,9 % de disponibilidad. Lo normal es que todo funcione, pero ha habido situaciones complicadas, como el gran apagón del 2025 o los incendios del último verano en Ourense, que provocaron caídas importantes del sistema. Tenemos todas las salvaguardas posibles para que esto no ocurra, pero cuando ocurre, hay planes de contingencia para poder trabajar sin la tecnología. Esto es esencial. De todos modos, tenemos muchísimas salvaguardas para que esto no ocurra, porque sin la tecnología, muchas cosas son más difíciles de gestionar. La primera de ellas es conocer la historia previa del paciente.
—Mencionaba que Galicia fue una de las comunidades pioneras en la historia clínica electrónica. ¿En qué aspectos está realmente avanzada la comunidad y en podríamos avanzar más?
—Galicia tiene un sistema consolidado en la historia clínica electrónica y unos servicios digitales a la ciudadanía también muy potentes. Los profesionales pueden acceder desde cualquier punto de la red sanitaria a cualquier información de nuestros pacientes, no solo la actual sino toda la historia. La historia clínica lleva más de veinte años en línea. Tenemos unos portales de salud que nos permiten que el ciudadano pueda consultar sus propios datos de salud e incluso incluir información asociada al seguimiento. E incluso hemos llegado a conectar todos los dispositivos biomédicos que el ciudadano tiene, como pueden ser los de seguimiento de la insulina, con las bombas, la medición continua de la glucosa. Así, conseguimos que un paciente esté telemonitorizado en su casa y nosotros recibiendo ese conjunto de alertas.
—¿Por qué ha costado tanto que la historia clínica de un gallego sea compartida con los servicios de otras comunidades?
—En España, esto que no ocurre en otros países de Europa se ha conseguido. Hablamos de la interoperabilidad o la capacidad de que Galicia envíe los informes de alta, el resumen de la historia, los datos de laboratorio de un paciente a la estación clínica de un profesional que está en Andalucía o en Cataluña. Esto en España está extendido, somos todos interoperables. Una clara demostración es que si un médico de Galicia te da un medicamento, tú lo puedes ir a recoger a cualquiera de las farmacias de España porque somos capaces de transmitir esa información en línea. Esa comunicación se ha producido. Sí que es cierto que una historia clínica global de un paciente tiene muchísimos elementos, son imágenes, son datos analíticos, informes, notas clínicas. Todo ese conjunto de información, en distintos formatos y con distintas especificaciones, cuesta hacer que tenga un lenguaje común. Esto es lo que se llama la capa semántica o la interoperabilidad semántica entre los sistemas. No solo es que los sistemas sepan enviar una información de un sitio a otro, uno enviarla y el otro recibirlo, sino interpretarla de la misma manera. Que un diagnóstico todos los sistemas lo interpreten de la misma manera, exige una codificación muy específica de ese diagnóstico o una prueba de laboratorio. Si estamos midiendo la creatinina, que todos los sistemas entiendan de la misma forma el concepto de creatinina y los valores que tiene de referencia esa prueba de laboratorio, los que marcan que estén en niveles normales, tiene su dificultad. El planteamiento que se hace por parte de Europa con el EEDS, es que esos datos de la asistencia fluyan entre regiones de Europa.
—¿La historia clínica electrónica permite al paciente ver todos sus datos?
—Sí, en Galicia a través del portal É-Saúde, se puede consultar toda la información de informes de alta, pruebas diagnósticas, el resumen general de la historia, pruebas de laboratorio e incluso nos permite descargar pruebas de imagen, o cualquier elemento de imagen digital. No solo informes, sino también imágenes asociadas. Incluso puedes tú introducir datos tuyos de seguimiento, por ejemplo, del peso, del ejercicio que haces, de tu tensión, elementos que puedes estar monitorizándote tú en casa, o bien, un informe clínico que has obtenido en un proveedor de servicios sanitarios distinto al público, puedes subirlo y a partir de ahí el profesional nuestro consultarlo en la historia. Es otro de los elementos que introduce el nuevo reglamento europeo, la posibilidad de que el ciudadano no solo pueda consultar su historia, no solo pueda saber quién accedió a su historia, sino que además pueda introducir él nuevos elementos.
—¿Qué ventajas tiene esto para el paciente en la práctica?
—Cuando un sanitario tiene que atenderte, en cualquier sitio, tiene toda tu información, desde que has nacido. Están ahí recogidas todas las vacunas, todas las actuaciones y diagnósticos que se han ido produciendo a lo largo de la vida. Con esto, por ejemplo, puedes medir el riesgo de los pacientes a generar una enfermedad renal crónica. Con las evoluciones que va ascendiendo desde los resultados de laboratorio y otros elementos, el sistema te puede alertar de esa posibilidad. No solo sabemos exactamente la situación del paciente, conforme la historia que se ha ido describiendo de él, sino que podemos analizarla y actuar preventivamente. Además, en el mundo que viene, los pacientes tendrán cada vez más dispositivos de medición continua. Hay 20.000 pacientes telemonitorizados y recibimos 500.000 variables diariamente de esos dispositivos en nuestros sistemas. Esto da la posibilidad de prevenir y actuar antes.
—El Espacio Europeo de Datos de Salud ha fijado un hito para el 2029, del intercambio de historias clínicas, recetas y dispensaciones electrónicas, y luego para el 2031 imágenes médicas o otros datos. ¿Cómo está trabajando Galicia hoy para llegar a cumplir con esto?
—Galicia está muy avanzada en muchas de las cuestiones que este reglamento nos va a exigir. El tener una historia clínica interoperable, el tener unas plataformas de acceso por parte del ciudadano a esa historia, la capacidad de que el ciudadano tenga más control de su información, o incluso poder trasladar esa información al resto de regiones de España o de Europa, cuando el paciente se desplaza. Galicia está en una situación muy buena, porque desde hace años viene desplegando todas estas herramientas. La receta electrónica nuestra está funcionando desde el año 2008, desde el 2017 es interoperable con toda España y desde el 2023 esta información relevante se envía hacia Europa. Ahora estamos haciendo una importante apuesta por todo el tema del seguimiento del paciente en casa con dispositivos conectados y con el uso de la inteligencia artificial para facilitar la labor de los profesionales.
—Otro de los aspectos importantes para el espacio europeo va a ser el uso secundario de datos para investigación. ¿Hasta qué punto deberíamos permitir que se utilicen nuestros datos médicos para investigar? ¿Cómo se garantiza esa privacidad del paciente?
—El reglamento europeo otorga mayor control, transparencia y accesibilidad al paciente respecto a sus datos de salud, porque va a poder acceder a ellos y decidir si quiere o no compartirlos para la investigación. Es un sí o no dicotómico: o comparto todo o no comparto nada. Y la persona lo puede revocar o volver a activar siempre que quiera. Además, en todo momento hay una obligación de darle la posibilidad al ciudadano a saber quién ha consultado sus datos. Para investigación, se deben utilizar mayoritariamente anonimizados y si no es posible, esa información debe estar en espacios de datos seguros.
—Los datos sanitarios son quizás de los más sensibles que hay y los hospitales pueden ser objetivos de ataques en este sentido. ¿Cuánto tiempo puede demorar el Sergas en detectar un ataque?
—Lo primero que hay que hacer es asumir que la ciberseguridad absoluta no existe y hay que prepararse para cualquier ataque. Los malos siempre van rápido y se mueven bien. Hay que asumir además que el entorno mundial ha cambiado y las infraestructuras sanitarias hemos pasado a ser objetos claros de ciberataques. Y lo que hay que hacer es prepararse para, ante cualquier ataque, responder con medidas de contingencia. En ese aspecto, lo primero que hemos hecho es un plan de ciberseguridad aprobado con medidas de inversión muy claras. Nos hemos certificado en el esquema nacional de seguridad de nivel alto, pero asumiendo que la seguridad absoluta es imposible. Hasta ahora, hemos podido mitigar los ataques que se han producido. Pero hay miles de ataques diarios hacia cualquier infraestructura tecnológica similar a la nuestra. Es una monitorización continua, mejora de los sistemas, inversión en herramientas, procedimientos rigurosos establecidos, intentar equilibrar eso con ser ágiles en la implantación de tecnologías. La desventaja es que para cumplir la seguridad tienes que ser restrictivo en la introducción de ciertas tecnologías o ser cauto en cómo las despliegas. Es el equilibrio que manejamos, pero pasa por un gobierno fuerte de la seguridad, estar certificados al máximo nivel, estar siempre alerta y siendo conscientes de que en algún momento puedes tener un problema.
—¿Qué se haría en caso de un ataque?
—Si la tecnología cae, hay que tener plan de contingencia. Porque al igual que parecía que no, pero la electricidad en España se puede caer, las comunicaciones se pueden caer también cuando caen en grandes áreas físicas, porque tenemos cada vez más desastres naturales. También, en caso de un ciberataque, hay que tener planes de contingencia para a la máxima celeridad volver a retomar el sistema. Todos los años hacemos un simulacro de caída global de los sistemas y paso al centro de respaldo para trabajar en estas cuestiones de una manera rigurosa y continua.
—¿En el Sergas hay intentos de ataque al sistema?
—Sí, nuestros propios sistemas rechazan intentos de ataque todos los días. Recibimos cerca de ocho millones de intentos de ciberataque al día en nuestros sistemas perimetrales y el 78% de los correos electrónicos enviados a nuestras cuentas de correo, nuestro sistema los considera maliciosos y los bloquea. También recibimos diariamente cerca de 70 ejecuciones de programas que entran por alguna vía y que nuestros sistemas no ejecutan.
—¿Cuál escenario le preocupa más? ¿Una filtración de datos o un ataque que pueda paralizar la asistencia sanitaria?
—El robo de datos sería lo más impactante. También dependería de cuánto te para la asistencia, pero en principio, sería más serio el robo de datos.
—Cada vez son más populares dispositivos como las gafas Meta, que permiten grabar una conversación. ¿Hay protocolos para su uso en el entorno sanitario? ¿Qué pasa si voy al médico y lleva unas gafas de este tipo?
—Se están haciendo pruebas con los sistemas de escriba, que graban la conversación médico-paciente y a partir de ahí generan resúmenes o proponen acciones a realizar. Cuando se ponga en marcha, si es que se acaba poniendo en marcha, porque antes debe demostrar que es útil para agilizar la consulta, será necesario establecer un procedimiento claro de cómo actuar con estos dispositivos. Cuando se utiliza un tipo de dispositivos, hay que poner en conocimiento al ciudadano de esto y que sepa cómo va a funcionar ese sistema.