A las tres de la madrugada, mientras buena parte de las infraestructuras corporativas está prácticamente vacía, un hospital recibe en urgencias a pacientes, el personal sanitario cambia de turno, las farmacias dispensan medicamentos esenciales y el personal de mantenimiento atiende fallos en zonas especialmente sensibles.
Esta casuística plantea una paradoja singular: cuanto mayor es la criticidad de la instalación, mayor debería ser su protección. Pero la propia naturaleza del hospital obliga a mantener la infraestructura permanentemente accesible.
Hospitales: una estrategia de seguridad radicalmente diferente
Lo cierto es que los complejos sanitarios no pueden protegerse como un edificio convencional. Necesitan, obligatoriamente, compatibilizar disponibilidad, circulación y protección para garantizar que su atención asistencial se desarrolle con normalidad. A todo ello se suma que dentro de un mismo hospital conviven zonas con diversos niveles de criticidad, desde vestíbulos públicos, salas de urgencias, consultas, zonas administrativas o habitaciones de hospitalización hasta quirófanos, laboratorios, UCI, CPD internos, salas blancas o farmacias.
Como es evidente, aplicar a todas ellas una política uniforme conduciría a dos escenarios igualmente problemáticos: controles insuficientes en los espacios críticos o una fricción innecesaria en áreas de menor riesgo. Por ello, clasificar los espacios atendiendo al impacto potencial de un acceso indebido y establecer medidas proporcionales es el primer paso.
Pero zonificar los espacios no es suficiente, es necesario trasladar esta información a la arquitectura de permisos. Este punto va mucho más allá de otorgar autorizaciones generales acorde al perfil, requiere gestionar identidades según la función real que desempeña esa persona concreta en el hospital. De esta manera, dos trabajadores con el mismo puesto no necesariamente tienen que acceder a las mismas zonas ni en el mismo momento. Es preciso contar con una visión más amplia teniendo en cuenta zonas de intervención, calendarios, franjas horarias y permisos temporales, así como los procesos automáticos de alta y baja recogidos en el ERP del hospital; solo de esta manera se podrán reducir los privilegios innecesarios y minimizar las potenciales amenazas.
Este criterio no se aplica únicamente al personal, también a pacientes o familiares. En estos casos, es imprescindible contar con una gestión de visitas correcta que permita otorgar permisos asociados a una zona y franja horaria determinada, evitando desplazamientos injustificados y teniendo plena trazabilidad de sus movimientos.
Aumentar la protección sin bloquear la asistencia
Otra realidad incómoda a la que se enfrentan los centros sanitarios es que un control excesivamente complejo puede terminar interfiriendo con la actividad asistencial. Por poner un ejemplo, exigir una autentificación multifactorial en cada puerta, independientemente del riesgo, puede aumentar significativamente los tiempos y favorecer comportamientos no deseados por parte del personal, como mantener las puertas abiertas.
Así, esta medida de seguridad solo debería aplicarse en zonas sensibles donde sea razonable exigir un segundo factor, como quirófanos, farmacias, salas blancas, CPD o laboratorios. Según el grado de criticidad, también se podrían implementar otras medidas más avanzadas, como biometría, antipassback, esclusas, función escolta o el control de permanencia para detectar estancias anormalmente prolongadas.
De gestionar alarmas a gestionar situaciones
Resulta evidente pensar que un hospital cuenta con control de accesos, VMS, alarmas de intrusión e incendios, interfonía, alarmas técnicas, ascensores, CAE o gestión de visitantes. Sin embargo, contar con todos estos sistemas y que estos trabajen de manera aislada no es eficiente ni garantiza una visión global. Dicho de otra manera, si el operador tiene que consultar manualmente varios programas para reconstruir una situación, dispone de información pero carece de contexto.
Dorlet ofrece plataformas de gestión integral como ODISEE que permiten integrar los diversos sistemas de seguridad presentes en la instalación y correlacionar esas señales. De esta manera, ante una alarma se desencadenan otras acciones y se ejecutan procesos desde un mismo entorno de supervisión. El resultado es una evaluación más rápida del incidente, menos decisiones basadas en información fragmentada y una trazabilidad posterior mucho más completa.
Seguridad de los hospitales como infraestructura crítica
Hoy, los diferentes sistemas de seguridad implementados en un hospital forman parte de arquitecturas conectadas en red. Esto nos obliga a olvidar la segmentación tradicional entre seguridad física y ciberseguridad, ya que el límite entre ambas esferas es cada vez más difuso; ahora, algo que ocurre en el plano físico puede afectar al entorno digital y viceversa.
Esto plantea la necesidad de optar por soluciones de seguridad física ciberseguras, como la solución de control de accesos SHeld, desarrollada por Dorlet. Esta solución cuenta con todas las comunicaciones punto a punto protegidas y cifradas, lo que significa que cada elemento que compone la solución encripta la solución que envía, por lo que cualquier intento de robo de datos es sobre una de las comunicaciones encriptadas, protegiendo la instalación incluso ante ataques cibernéticos muy sofisticados.
Cabe destacar que esta solución es la primera y única solución de control de accesos incluida en el Catálogo de Productos y Servicios TIC (CPSTIC), una herramienta respaldada por el Centro Criptológico Nacional (CCN) que busca aportar garantías adicionales a organizaciones que necesitan cumplir las nuevas directivas NIS2 o CER.
En lo relativo a CER (relativa a la resiliencia de las entidades críticas), la Comisión Europea concreta por primera vez qué espera en protección física y control de accesos. El 13 de julio de 2026, la Comisión publicó las directrices de aplicación del artículo 13.5 de la Directiva CER. Aunque son no vinculantes, son especialmente relevantes porque detallan cómo deberían materializarse las medidas técnicas, organizativas y de seguridad de las entidades críticas.
La Comisión menciona expresamente gestión del acceso físico, lectores de tarjetas, biometría, zonas de seguridad, registro de accesos, gestión centralizada de credenciales, revocación inmediata de credenciales perdidas o robadas, mínimo privilegio, revisiones periódicas de permisos y control de visitantes. Además, exige conceptualmente integrar la protección física con la resiliencia general y con las medidas de ciberseguridad de NIS2.
Certificaciones: capacidades realmente verificadas
En una infraestructura crítica, una solución de seguridad no debería evaluarse únicamente a partir de una ficha comercial. Determinadas capacidades deben poder verificarse frente a estándares reconocidos y evaluaciones independientes; y es que una certificación aporta requisitos definidos, evaluación por terceros, niveles comparables entre fabricantes y una reducción real de la incertidumbre en los procesos de selección.
Dorlet, por ejemplo, cuenta con soluciones certificadas en Grado 4 en Intrusión (EN 50131) y Grado 4 en Control de Accesos (EN-60839), el nivel más exigente contemplado por esta normativa. Esto sitúa a Dorlet como el primer fabricante español en alcanzar simultáneamente ambos reconocimientos en el nivel más alto. Además, la compañía cumple con el Esquema Nacional de Seguridad (ENS), de especial relevancia en entornos donde conviven sistemas digitales, información sensible y responsabilidades frente a la administración pública.
A nivel internacional, cuenta con la certificación CSPN de la Agencia Nacional de la Seguridad de los Sistemas de la Información (ANSSI) francesa, una evaluación reconocida por ser una de las más exigentes. En conjunto, este tipo de certificaciones no deben leerse como una acumulación de sellos, sino como respuesta a una pregunta muy concreta que cualquier responsable de seguridad hospitalaria debería plantearse ante cada proveedor: ¿qué capacidad ha sido verificada de forma independiente y por quién? Solo así es posible discernir entre promesas comerciales y desempeño real.
Seguridad que acompaña al funcionamiento del hospital
En resumen, un hospital necesita ser, al mismo tiempo, accesible y seguro. La respuesta a ese equilibrio no consiste en multiplicar indiscriminadamente las barreras, sino en diseñar una arquitectura capaz de adaptar la protección al riesgo real de cada espacio sin aportar una fricción innecesaria.
La entrada Los hospitales: una infraestructura crítica como ninguna otra se publicó primero en Seguritecnia.
