Ciberseguridad en farmacia: cómo proteger los datos y el trabajo diario

La farmacia maneja información sensible, utiliza programas de gestión, correo electrónico, TPV, dispositivos conectados y cada vez más herramientas digitales.

Por eso, un incidente de ciberseguridad puede afectar mucho más que a un ordenador.

Puede bloquear el trabajo, comprometer información o facilitar fraudes.

La buena noticia es que muchas amenazas pueden reducirse aplicando unas pocas medidas de seguridad de forma constante.

1. Aprende a detectar correos y mensajes falsos

El phishing sigue siendo uno de los riesgos más habituales para empresas.

Un correo puede aparentar proceder de:

• Un proveedor.
• Una empresa de transporte.
• Un banco.
• Un compañero.
• Una administración.
• Un servicio tecnológico.

El objetivo suele ser conseguir que alguien:

pulse un enlace, abra un archivo, entregue una contraseña o realice un pago.

INCIBE señala el phishing y las suplantaciones de identidad entre los motivos frecuentes de consultas de empresas relacionadas con ciberseguridad.

Ante un mensaje inesperado:

• Revisa el remitente.
• No abras archivos dudosos.
• Desconfía de la urgencia.
• No introduzcas contraseñas desde un enlace recibido.
• Confirma por otra vía si se solicita un pago o cambio de cuenta.

2. Utiliza contraseñas diferentes

Evita contraseñas como:

farmacia123

nombre + año

la misma contraseña para todos los servicios

Si una credencial se filtra y utilizas la misma en varios sistemas, el problema puede extenderse rápidamente.

Es preferible utilizar:

• Contraseñas largas.
• Una diferente para cada servicio.
• Un gestor de contraseñas cuando sea posible.
• Autenticación en dos pasos.

Especialmente en:

• Correo electrónico.
• Programa de gestión.
• Servicios en la nube.
• Redes sociales.
• Administración de la web.

3. No compartáis una misma cuenta para todo

Una farmacia puede tener varios miembros en el equipo.

Siempre que el sistema lo permita, cada profesional debería utilizar su propio usuario.

Esto permite:

• Controlar accesos.
• Retirar permisos cuando alguien deja el equipo.
• Saber quién ha realizado una acción.
• Evitar compartir contraseñas.
• Limitar el acceso según responsabilidades.

Dar a todo el mundo acceso de administrador “por comodidad” aumenta innecesariamente el riesgo.

4. Mantén los equipos actualizados

Las actualizaciones no sirven únicamente para incorporar funciones nuevas.

También corrigen vulnerabilidades de seguridad.

Conviene mantener al día:

• Sistema operativo.
• Navegadores.
• Programa de gestión.
• Antivirus.
• TPV.
• Aplicaciones.
• Equipos conectados.

Cuando un programa deja de recibir actualizaciones de seguridad, conviene valorar su sustitución.

INCIBE recomienda precisamente mantener sistemas actualizados y revisar periódicamente la seguridad de los equipos utilizados por la empresa.

5. Haz copias de seguridad que realmente funcionen

Una copia de seguridad es especialmente importante ante:

• Ransomware.
• Fallo de un equipo.
• Eliminación accidental.
• Corrupción de datos.
• Robo.

Pero no basta con decir:

“Tenemos backup.”

Conviene comprobar:

• Qué información se copia.
• Con qué frecuencia.
• Dónde se almacena.
• Quién puede acceder.
• Si existe una copia separada del sistema principal.
• Si realmente puede restaurarse.

INCIBE recomienda disponer de copias externas y separadas dentro de los planes de contingencia de las empresas.

Una copia que nunca se ha probado puede fallar justo cuando más se necesita.

6. Protege especialmente los datos de salud

En una farmacia puede manejarse información relacionada con:

• Medicación.
• Recetas.
• Tratamientos.
• Enfermedades.
• Datos identificativos.

No es información empresarial cualquiera.

Los datos de salud tienen una protección especialmente reforzada dentro de la normativa de protección de datos.

Por eso, evita:

• Compartir información por canales no autorizados.
• Dejar sesiones abiertas.
• Fotografiar pantallas con datos.
• Guardar información sanitaria en cuentas personales.
• Enviar documentación sensible sin las medidas adecuadas.

La seguridad digital también forma parte de la confidencialidad profesional.

7. Cuidado con memorias USB y dispositivos externos

Un pendrive desconocido puede contener software malicioso.

Y un disco externo con información de la farmacia puede convertirse en un problema si se pierde o cualquiera puede acceder a él.

Utiliza únicamente dispositivos autorizados y evita conectar equipos desconocidos a los ordenadores de trabajo.

Cuando haya información sensible, valora además el cifrado y las medidas de protección definidas por vuestro responsable tecnológico.

8. Separa lo personal de lo profesional

Evita utilizar el ordenador de la farmacia para:

• Descargar programas personales.
• Acceder a webs dudosas.
• Instalar extensiones innecesarias.
• Utilizar cuentas personales sin necesidad.

Lo mismo ocurre con el correo.

Una cuenta corporativa debería utilizarse para el trabajo y contar con las medidas de seguridad adecuadas.

Cuantas más actividades innecesarias se realizan desde un equipo crítico, mayor es la superficie de riesgo.

9. Utiliza la inteligencia artificial con límites claros

Este apartado lo añadiría respecto al artículo original.

Herramientas como ChatGPT, Copilot o Gemini pueden resultar útiles para determinadas tareas.

Pero el equipo debe saber qué información puede introducir y cuál no.

Nunca debería copiarse en una herramienta de IA de uso general información que permita identificar a un usuario junto con sus datos sanitarios sin una base y configuración que garanticen su tratamiento adecuado.

Además, el Reglamento europeo de Inteligencia Artificial obliga a proveedores y responsables del despliegue de sistemas de IA a adoptar medidas para garantizar un nivel suficiente de alfabetización en IA de las personas que los utilizan.

Por eso, si una farmacia utiliza IA, debería tener definidas al menos tres cosas:

Qué herramientas se pueden usar.

Para qué tareas.

Qué información nunca debe introducirse.

10. Prepara un protocolo para incidentes

Cuando aparece un problema, no es el mejor momento para empezar a decidir qué hacer.

El equipo debería saber:

• A quién avisar.
• Qué equipo desconectar si fuera necesario.
• Cómo contactar con soporte técnico.
• Qué servicios pueden seguir funcionando.
• Cómo recuperar una copia de seguridad.
• Qué hacer si existen datos personales afectados.

Si el incidente afecta a datos personales, además pueden existir obligaciones específicas de evaluación y comunicación.

INCIBE recomienda disponer de un procedimiento de gestión de incidentes y ofrece la Línea 017 para asesoramiento en ciberseguridad.

Forma a todo el equipo

La ciberseguridad no debería depender únicamente del titular o del informático.

Un correo fraudulento puede llegar a cualquier miembro del equipo.

Por eso, todos deberían saber:

• Detectar phishing.
• Gestionar contraseñas.
• Utilizar los dispositivos con seguridad.
• Proteger datos.
• Identificar situaciones sospechosas.
• Avisar correctamente ante un incidente.

En el curso de Ciberseguridad básica para el empleado de la farmacia se trabajan precisamente amenazas habituales, protección del TPV, fraudes, datos sensibles, inteligencia artificial y actuación ante ciberataques.

La formación continua del equipo también puede organizarse dentro del catálogo de Liceo de Farmacia, que cuenta actualmente con 185 cursos.

Ciberseguridad en farmacia: empezar por lo básico

No necesitas convertir a todo el equipo en expertos informáticos.

Necesitas conseguir que ciertas prácticas sean habituales:

Contraseñas seguras.

Doble factor.

Actualizaciones.

Copias de seguridad.

Cuidado con el phishing.

Protección de datos.

Uso responsable de la IA.

Un protocolo ante incidentes.

La tecnología de una farmacia puede ser cada vez más compleja.

Pero muchos ataques siguen empezando por algo muy sencillo:

un clic, una contraseña o una decisión tomada demasiado rápido.