La digitalización de la sanidad genera y utiliza cantidades crecientes de información clínica, administrativa, poblacional y de investigación. En los artículos anteriores de esta serie hemos visto por qué los datos son importantes, de dónde vienen y cómo se clasifican y cómo se obtienen. Ahora aparece una nueva pregunta: ¿dónde y cómo almacenamos, procesamos y mantenemos disponibles todos esos datos?
Durante décadas la respuesta ha estado principalmente en los Centros de Procesamiento de Datos (CPD) propios o contratados. Hoy, los servicios en la nube han ampliado enormemente las alternativas. Esto no significa que todos los datos sanitarios tengan que trasladarse a la nube ni que los CPD vayan a desaparecer. La evolución está llevando, en muchos casos, hacia arquitecturas en las que conviven infraestructuras propias, servicios externos y soluciones cloud.
De los CPD tradicionales a la nube sanitaria
Historias clínicas electrónicas, imágenes médicas, resultados de laboratorio, información farmacoterapéutica, datos procedentes de dispositivos conectados, registros poblacionales y datos de investigación necesitan infraestructuras capaces de almacenarlos, procesarlos y hacerlos accesibles cuando son necesarios.
La cuestión no consiste únicamente en disponer de espacio de almacenamiento. En sanidad son especialmente importantes la disponibilidad, integridad, confidencialidad, seguridad, capacidad de recuperación, rendimiento y escalabilidad de los sistemas.
La estrategia mundial sobre salud digital de la Organización Mundial de la Salud sitúa los datos y las infraestructuras digitales entre los elementos necesarios para desarrollar sistemas de salud digital sólidos y sostenibles.
El papel histórico de los CPD en sanidad
Los Centros de Procesamiento de Datos albergan servidores, almacenamiento, redes, sistemas de respaldo y otros componentes necesarios para mantener en funcionamiento las aplicaciones de una organización. Durante años, hospitales, grupos sanitarios y servicios de salud han construido o contratado este tipo de infraestructuras para mantener un control directo sobre sistemas que gestionan información especialmente sensible.
Un CPD puede ser propio, estar externalizado o formar parte de modelos mixtos. Lo importante no es únicamente quién es propietario de la infraestructura, sino qué garantías ofrece y cómo se gobierna. Marcos como ISO/IEC 27001 proporcionan referencias para gestionar la seguridad de la información, mientras que la continuidad de negocio exige además prever qué sucede cuando una infraestructura o servicio deja de estar disponible.
Por qué la redundancia y la continuidad son fundamentales
En un sistema sanitario, una caída prolongada de los sistemas de información puede afectar directamente a la asistencia. Por ello, las infraestructuras críticas deben diseñarse con criterios de alta disponibilidad, resiliencia y recuperación ante incidentes. Esto puede implicar redundancia eléctrica y de comunicaciones, sistemas de almacenamiento replicados, copias de seguridad y centros alternativos geográficamente separados.
El sistema Tier de Uptime Institute es una referencia internacional para describir determinados niveles de resiliencia y redundancia de la infraestructura de los centros de datos. No debe entenderse como una clasificación sanitaria obligatoria, sino como un marco técnico que ayuda a comprender por qué aumentar la disponibilidad exige inversiones, arquitectura y procedimientos específicos.
En los CPD propios, mantener estas capacidades puede requerir inversiones importantes en instalaciones, equipos, energía, personal especializado, actualización tecnológica y mantenimiento. Esta es una de las razones por las que las organizaciones sanitarias han ido explorando otras formas de proporcionar infraestructura tecnológica.
La nube no es un lugar inmaterial
Hablar de «la nube» puede producir una imagen equivocada. Los datos no dejan de estar almacenados en infraestructuras físicas. También la nube funciona sobre servidores, redes y centros de datos. Lo que cambia fundamentalmente es la forma en que los recursos tecnológicos se proporcionan, gestionan, dimensionan y consumen.
La definición clásica del NIST describe la computación en la nube como un modelo que permite acceder bajo demanda, a través de la red, a un conjunto compartido de recursos informáticos configurables que pueden aprovisionarse y liberarse con rapidez.
Por tanto, llevar servicios sanitarios a la nube no significa simplemente «guardar los datos fuera». Puede significar contratar capacidad de almacenamiento y computación, utilizar plataformas tecnológicas gestionadas por terceros o consumir directamente aplicaciones que funcionan como servicio.
Nube pública, privada e híbrida
No existe una única «nube». Según la forma en que se despliega la infraestructura pueden distinguirse diferentes modelos.
- Nube pública: los recursos son ofrecidos por un proveedor de servicios cloud y se consumen bajo las condiciones contratadas. La infraestructura puede ser compartida entre múltiples clientes, aunque sus entornos y datos estén lógicamente separados.
- Nube privada: la infraestructura cloud está dedicada a una sola organización. Puede estar ubicada en instalaciones propias o ser gestionada por un tercero.
- Nube híbrida: combina infraestructuras propias o privadas con servicios de nube pública, permitiendo distribuir aplicaciones y datos según sus características, requisitos y necesidades.
En sanidad, el modelo híbrido resulta especialmente relevante porque permite decidir qué cargas permanecen en infraestructuras propias y cuáles pueden beneficiarse de la elasticidad y servicios de proveedores cloud. La decisión no debería responder a una regla general, sino a un análisis de cada servicio, dato, riesgo y finalidad.
Infraestructura, plataforma y software como servicio
También es útil distinguir, de forma sencilla, qué se está contratando. En un modelo de infraestructura como servicio (IaaS) se proporcionan recursos como computación, redes o almacenamiento; en plataforma como servicio (PaaS) se añaden entornos y herramientas para desarrollar y ejecutar aplicaciones; y en software como servicio (SaaS) la organización utiliza directamente una aplicación proporcionada como servicio. Las responsabilidades del proveedor y del cliente cambian en cada modelo.
Cómo se utiliza la nube en sanidad
La incorporación de servicios cloud en sanidad puede realizarse de forma progresiva. Entre sus aplicaciones se encuentran el almacenamiento y las copias de seguridad, la recuperación ante desastres, el procesamiento de imágenes, determinadas aplicaciones clínicas y administrativas, plataformas de análisis de datos y entornos para investigación biomédica.
La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha analizado específicamente las oportunidades y riesgos de los servicios cloud en el ámbito sanitario, destacando la necesidad de evaluar cuidadosamente seguridad, disponibilidad, confidencialidad y responsabilidades.
Qué ventajas puede aportar la nube
Una de sus principales ventajas es la escalabilidad: la capacidad puede adaptarse a necesidades cambiantes sin tener que adquirir previamente toda la infraestructura física. También puede facilitar el despliegue de nuevos servicios, proporcionar acceso a tecnologías especializadas y ofrecer capacidades avanzadas de respaldo, redundancia, monitorización y recuperación.
El modelo económico también cambia. Frente a inversiones iniciales elevadas en infraestructura propia, determinados servicios cloud permiten contratar capacidad según las necesidades. Sin embargo, pago por uso no significa necesariamente menor coste total. Una arquitectura inadecuada, un crecimiento no controlado del consumo o determinados costes de transferencia y servicios pueden hacer que la factura aumente significativamente.
De la misma manera, la nube puede proporcionar herramientas de seguridad muy avanzadas, pero no es segura por el mero hecho de ser nube. La configuración, gestión de identidades, cifrado, monitorización, contratos, responsabilidades y procedimientos de la organización continúan siendo decisivos.
Los riesgos que deben gobernarse
En sanidad, la decisión sobre dónde alojar datos y aplicaciones debe considerar especialmente la protección de información sensible. El Reglamento General de Protección de Datos (RGPD) establece el marco europeo para el tratamiento de datos personales y considera los datos relativos a la salud como una categoría especial de datos.
Además de privacidad y ciberseguridad, deben analizarse la disponibilidad del servicio, la localización y residencia de los datos, las posibles transferencias internacionales, la continuidad de negocio, las copias de seguridad, la recuperación ante desastres y la distribución de responsabilidades entre la organización sanitaria y sus proveedores.
Dependencia del proveedor, portabilidad y reversibilidad
Existe otro aspecto que puede pasar inadvertido al iniciar un proyecto cloud: ¿qué ocurre si posteriormente queremos cambiar de proveedor o recuperar el servicio para gestionarlo de otra forma?
Antes de trasladar sistemas críticos conviene conocer cómo podrán recuperarse los datos, en qué formatos, cuánto tiempo requerirá la migración, qué costes tendrá la extracción y qué dependencias técnicas se están creando. La portabilidad y la reversibilidad deben formar parte de la estrategia desde el comienzo para reducir el riesgo de dependencia excesiva de un proveedor.
La gobernanza cloud, por tanto, no consiste únicamente en elegir tecnología. Requiere decisiones jurídicas, contractuales, económicas, organizativas y de seguridad, además de una asignación clara de responsabilidades.
CPD o nube: no siempre hay que elegir
Plantear la cuestión como una oposición absoluta entre CPD y nube puede resultar engañoso. Una organización sanitaria puede mantener determinadas aplicaciones y datos en infraestructuras propias, utilizar servicios cloud para otras funciones y conectar ambos entornos.
La decisión debe depender de factores como criticidad, sensibilidad de la información, rendimiento, disponibilidad, capacidad técnica interna, costes, regulación, interoperabilidad, dependencia tecnológica y estrategia de la organización. En muchos casos, el futuro no será exclusivamente local ni exclusivamente cloud, sino una combinación de soluciones.
De almacenar datos a compartirlos: el siguiente paso
La evolución de las infraestructuras permite almacenar y procesar volúmenes crecientes de información, pero disponer de tecnología suficiente no resuelve por sí solo otra cuestión esencial: cómo hacer que los datos puedan encontrarse, intercambiarse, utilizarse y reutilizarse de forma segura y gobernada entre diferentes actores.
Aquí aparece un concepto que no debe confundirse con la nube. La nube es fundamentalmente un modelo de prestación de infraestructura y servicios tecnológicos; un espacio de datos es un marco para facilitar el acceso, intercambio, gobernanza y reutilización de datos bajo determinadas reglas.
Un espacio de datos puede apoyarse en tecnologías cloud, pero no es simplemente una gran nube ni exige necesariamente concentrar todos los datos en un único repositorio. Su valor está en establecer las condiciones técnicas, organizativas, jurídicas y de gobernanza que permiten utilizar datos distribuidos de forma controlada.
Esta diferencia nos conduce al siguiente artículo de la serie: Espacio de datos de salud, donde analizaremos qué significa realmente este concepto y por qué está adquiriendo tanta importancia.
Serie: Los datos en la salud digital
- Los datos y su importancia.
- De dónde vienen los datos.
- Cómo se obtienen los datos.
- Los datos de salud a la nube.
- Espacio de datos de salud.
- Espacio Nacional de Datos.
- Construir Espacio de Datos.
Referencias bibliográficas
Agencia Española de Protección de Datos (AEPD). Guías y documentación sobre protección de datos. AEPD.
Armbrust, M., Fox, A., Griffith, R., et al. (2010). A view of cloud computing. Communications of the ACM, 53(4), 50–58. DOI.
ENISA. (2016). Cloud security for healthcare services. European Union Agency for Cybersecurity.
ENISA. (2021). Cloud Security for Healthcare Services. European Union Agency for Cybersecurity.
ISO/IEC. (2022). ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements. ISO.
Mell, P., & Grance, T. (2011). The NIST definition of cloud computing (SP 800-145). National Institute of Standards and Technology.
OECD. (2019). Health in the 21st Century: Putting Data to Work for Stronger Health Systems. OECD Publishing. DOI.
Organización Mundial de la Salud. (2021). Global strategy on digital health 2020–2025. OMS.
Uptime Institute. Data Center Site Infrastructure Tier Standard: Topology. Uptime Institute.
JOSE IGNACIO NIETO GARCIA.
Exconsejero de Salud y de Salud y Servicios Sociales de La Rioja. Miembro del Comité Científico de la Fundación Economía y Salud. Miembro del Consejo Asesor de la Fundación Bamberg