Los ciberataques en entornos sanitarios pueden poner vidas en riesgo.
Los datos de los pacientes son valiosos para los ciberdelincuentes que exigen rescate y notoriedad.
Estas son tres medidas para evitar que los ciberataques perturben la atención sanitaria.
A principios de este mes, un ransomware paralizó las salas de urgencias de todo Estados Unidos, lo que obligó a las ambulancias a dirigirse a otros hospitales. Prospect Medical Group, que opera 16 hospitales y 166 clínicas ambulatorias en Connecticut, Pensilvania, Rhode Island y Texas, desconectó sus sistemas para protegerlos mientras iniciaba una investigación.
Según el Cost of a Data Breach Report 2023 de IBM, el sector sanitario registró las brechas de datos más costosas, con un coste medio de 10,93 millones de dólares. Pero en el ámbito sanitario, los ciberataques pueden tener consecuencias que van más allá de las pérdidas económicas y la violación de la privacidad. Con ataques de ransomware como estos, la pérdida de acceso a los datos de los pacientes y a las herramientas médicas puede poner vidas en riesgo. Y, como informó recientemente NPR, puede tardar meses en recuperarse un hospital.
Lamentablemente, estos incidentes no son infrecuentes. El mes pasado, Check Point Research constató que, de media, una de cada 29 organizaciones sanitarias se vio afectada por ransomware. En 2022, el sector sanitario experimentó un aumento interanual del 78 % en los ciberataques, con una media de 1426 intentos de brecha por semana y por organización.
No se puede exagerar: en el ámbito sanitario, los ciberataques son una cuestión de vida o muerte. De hecho, una encuesta realizada por el Ponemon Institute reveló que más del 20 % de las organizaciones sanitarias registraron un aumento de las tasas de mortalidad de pacientes tras sufrir una brecha.
¿Por qué los ciberdelincuentes atacan al sector sanitario?
La atención sanitaria es esencial y contiene grandes volúmenes de datos médicos sensibles. Para los ciberdelincuentes, vulnerar una organización sanitaria proporciona acceso a esos datos médicos sensibles, que pueden retenerse a cambio de un rescate, además de la garantía de cobertura mediática y notoriedad para el hacker. Ambos factores someten a los hospitales a una presión inmensa, lo que aumenta la probabilidad de que se pague un rescate elevado.
El sector sanitario es vulnerable por varias razones. En primer lugar, la creciente sofisticación y cantidad de ciberataques es una amenaza para la que estas organizaciones no están preparadas. Muchos hospitales dependen de una combinación de tecnologías antiguas y nuevas, la mayoría de las cuales no se gestionan directamente o se olvidan por una documentación deficiente. Este problema no ha hecho más que aumentar con el tiempo, a medida que se añaden más Internet de las Cosas (IoT) y dispositivos médicos, a pesar de que rara vez se diseñan con seguridad desde el origen. Además, la actual escasez de profesionales de ciberseguridad implica que faltan conocimientos para gestionar esta superficie de ataque cada vez mayor. Si se suman estos factores, los ciberdelincuentes ven un objetivo de alto valor con una amplia superficie de amenaza y numerosos puntos de entrada potenciales.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a reforzar la ciberresiliencia y a abordar retos que requieren respuestas colectivas.
Los pacientes merecen una atención de calidad que favorezca una sólida salud física, intelectual y emocional. La protección de sus datos sanitarios es un componente de ello. Un ciberataque puede afectar a la salud física de una persona o población determinada y puede provocar dificultades sociales y emocionales si la información personal se ve comprometida y llega a conocimiento público. De hecho, los pacientes están demandando actualmente a One Brooklyn Health después de que la organización sufriera una brecha por parte de ciberdelincuentes que filtraron datos de pacientes. Los pacientes temen que ahora corran un mayor riesgo de fraude, robo de identidad, uso indebido de las prestaciones del seguro médico y otros perjuicios.
Cómo evitar que los ciberataques perturben el flujo de trabajo sanitario
1. Cultura
Establezca una mentalidad de seguridad en todos los aspectos del recorrido del paciente. Formar al personal sobre por qué la ciberseguridad es importante y sobre su papel en la protección de los pacientes mediante buenas prácticas de seguridad de la información debe convertirse para la organización sanitaria en algo tan natural como mantener las condiciones de higiene. La formación y la educación en ciberseguridad deben ser frecuentes y continuas para inculcar una cultura orientada a la seguridad.
2. Protección de los puntos finales
Un único usuario del sistema sanitario puede disponer de varios puntos finales desde los que accede y transmite información sanitaria electrónica. Incluso los propios dispositivos médicos transmiten datos. La protección de puntos finales orientada a la prevención incluye un enfoque multicapa que abarca las siguientes capacidades: antiphishing, antiransomware, antibots, desarme y reconstrucción de contenidos (CDR) y detección, corrección y respuesta automatizadas posteriores a la detección. El Departamento de Salud y Servicios Humanos de Estados Unidos (HHS) proporciona orientaciones prácticas sobre la protección de la información sanitaria electrónica protegida.
3. Control de acceso (modelo de confianza cero)
Basta con reducir quién tiene acceso a los datos sanitarios para que las organizaciones puedan impedir que un ciberataque tenga éxito. Confianza cero permite a las organizaciones sanitarias aplicar políticas de mínimo privilegio, en las que se conceden únicamente las credenciales mínimas necesarias para las tareas requeridas. Cada nivel de datos debería ser accesible solo según la necesidad de conocer, con el fin de reducir las posibilidades de acceso no autorizado.
Protección de los hospitales
En conversaciones recientes con directores de seguridad de la información (CISO) del sector sanitario, existe un fuerte deseo de garantizar la salud de todos, en todas partes, con certeza. Afortunadamente, el sector cuenta con una sólida cultura de colaboración, que comparte buenas prácticas y lecciones aprendidas para actuar. Los profesionales sanitarios comprenden la importancia de la buena salud y siguen comprometidos con la protección de nuestras instituciones y proveedores sanitarios.
Los recientes ataques de ransomware contra proveedores sanitarios han puesto de relieve que la ciberseguridad es esencial para la atención y la seguridad de los pacientes. Por encima de todas las medidas, las organizaciones sanitarias deberían adoptar un enfoque preventivo en sus prácticas de ciberseguridad, de forma similar a como los cinco correctos de la medicación garantizan la seguridad del paciente: el paciente correcto, el medicamento correcto, la dosis correcta, la vía de administración correcta y el momento correcto.
Los clínicos no deberían tener que preocuparse por si podrán acceder a las historias clínicas digitales o si podrán confiar en sus instrumentos médicos. Centrarse en mejorar los resultados asistenciales con los pacientes ya es una tarea enorme. Al adoptar un enfoque centrado en la prevención para la protección de los hospitales, los proveedores y los pacientes, podemos detener la perturbación y la destrucción antes de que se produzcan.
