El sector sanitario se ha convertido en un objetivo prioritario para los ciberdelincuentes debido a la gran cantidad de datos sensibles de los pacientes que maneja y a la criticidad de sus operaciones.
En 2023, el sector sanitario notificó brechas de datos con un coste medio de 10,93 millones de dólares por brecha, casi el doble que el del sector financiero, que ocupó el segundo lugar con un coste medio de 5,9 millones de dólares.
Los ciberataques contra organizaciones sanitarias pueden poner en riesgo la vida de los pacientes y la supervivencia de organizaciones enteras.
El sector sanitario se ha convertido en el objetivo prioritario de los ciberdelincuentes debido a la gran cantidad de datos sensibles de los pacientes que custodia y a la criticidad de sus operaciones.
El sector ha adoptado rápidamente tecnologías digitales como los registros electrónicos de salud (EHR), la telemedicina y los dispositivos del Internet de las Cosas (IoT). Si bien estas tecnologías aportan numerosos beneficios, también amplían la superficie de ataque y ofrecen más puntos de entrada a los ciberdelincuentes.
En 2023, por decimotercer año consecutivo, el sector sanitario registró las brechas de datos más costosas, con un coste medio de 10,93 millones de dólares, casi el doble que el del sector financiero, que ocupó el segundo lugar con un coste medio de 5,9 millones de dólares. Proteger estos activos digitales es esencial para mantener la confidencialidad, la integridad y la disponibilidad de la información de los pacientes.
Los sistemas sanitarios modernos y la resiliencia cibernética
La sanidad moderna depende de sistemas y redes interconectados para prestar sus servicios de forma eficiente. La interconexión de estos sistemas implica que una brecha de seguridad en una parte de la red puede comprometer potencialmente toda la infraestructura sanitaria. Garantizar la resiliencia cibernética es esencial para mantener la continuidad de las operaciones y prevenir fallos en cascada. Los ciberataques contra los sistemas sanitarios pueden tener repercusiones directas en la seguridad de los pacientes.
La interrupción de servicios sanitarios críticos, la manipulación de historiales médicos o el acceso no autorizado a dispositivos médicos pueden poner en riesgo la vida de los pacientes. Las medidas de resiliencia cibernética son esenciales para salvaguardar la seguridad de los pacientes y prevenir daños.
Pero también suponen un riesgo existencial para las organizaciones sanitarias. Así quedó demostrado en junio de 2023, cuando el Hospital St. Margaret's, en Estados Unidos, se convirtió la primera institución sanitaria en dejar de operar de forma permanente, en parte debido a las consecuencias de un ataque de ransomware. En el mismo mes, HCA Healthcare, que gestiona 180 hospitales y 2300 centros ambulatorios, sufrió una brecha que afectó a hasta 11 millones de pacientes.
Entre enero de 2020 y febrero de 2021, de las 293 brechas conocidas que expusieron historiales de salud, el 57,34 % de las organizaciones afectadas ha revelado públicamente cuántos registros se expusieron. El número de registros expuestos en este periodo ascendió a casi 106 millones en total. Por tanto, descontando los duplicados, el equivalente a 1 de cada 3 estadounidenses pudo ver vulnerado su historial de salud en los 14 meses analizados.
En 2015, Anthem Inc. reveló que unos piratas informáticos habían robado 79 millones de registros con datos de pacientes y empleados. Los datos comprometidos incluían nombres, direcciones, números de la Seguridad Social, fechas de nacimiento, identificadores médicos, números de afiliación al seguro, datos de ingresos e información laboral. Anthem se enfrentó a varias demandas colectivas civiles, que se resolvieron en 2017 con un coste de 115 millones de dólares.
Los proveedores de atención sanitaria gozan de una posición de confianza en la sociedad. El carácter extraordinariamente sensible de los datos y el alto nivel de expectativas públicas hacia el sector implican que cualquier compromiso de los datos de los pacientes o cualquier interrupción de los servicios erosiona esa confianza y puede dañar la reputación de las organizaciones sanitarias. La resiliencia cibernética es esencial para mantener la confianza de los pacientes, los socios y el público.
La convergencia de un aumento de las ciberamenazas, la digitalización de la sanidad, los sistemas interconectados, las preocupaciones por la seguridad de los pacientes, los requisitos normativos, las implicaciones financieras y la importancia de mantener la confianza pública subrayan, en conjunto, la necesidad crítica de resiliencia cibernética en el sector sanitario.
Por qué la resiliencia cibernética en todo el sector es clave
Dada la criticidad, la escala y la interconexión del sector sanitario, es evidente que ninguna organización ni entidad gubernamental puede abordar por sí sola la ciberseguridad. Un enfoque colaborativo y sistémico dentro del ecosistema es clave: la resiliencia cibernética debe considerarse más allá de los límites de una sola organización.
La colaboración entre los sectores público y privado es crucial para construir resiliencia cibernética en el sector sanitario. Adoptar un enfoque sistémico de la ciberseguridad implica reconocer que el ecosistema sanitario es una red interconectada de organizaciones, tecnologías e individuos. Construir resiliencia cibernética exige no solo proteger a cada entidad individual, sino también garantizar la solidez de todo el ecosistema para resistir y recuperarse de los incidentes cibernéticos.
Durante el Cyber Insecurity, Analysed taller de este año en la Reunión Anual de Davos, los líderes se centraron en tres prioridades clave: educar a los consejos de administración y comprometer a la alta dirección con la importancia de la resiliencia cibernética; crear relaciones y comunidades entre organizaciones para proteger el ecosistema; y desarrollar un manual sectorial que incluya prácticas compartidas entre las distintas partes interesadas.
Estas conclusiones son relevantes para el sector sanitario y contribuirán directamente a hacerlo más resiliente en materia cibernética.
Pero también en otros sectores existen recursos disponibles para reforzar la ciberseguridad. La Iniciativa de Resiliencia Cibernética del Foro Económico Mundial, que abarca todos los sectores, mejora la resiliencia mediante:
Generar conciencia entre los líderes: Educar y sensibilizar a los responsables de la toma de decisiones para reforzar la importancia vital de la ciberseguridad como prioridad estratégica.
Movilizar la acción para garantizar la transformación digital: Impulsar debates para movilizar la acción y el compromiso que permitan una transformación digital segura y resiliente de los sectores.
Desarrollar liderazgo intelectual, herramientas y capacidades: Generar conocimientos, capacidades y herramientas para integrar la ciberseguridad en línea con las tendencias estratégicas y las mejores prácticas.
En resumen: la Iniciativa de Resiliencia Cibernética
Iniciativas en curso:
Resiliencia cibernética en el sector eléctrico
Resiliencia cibernética en petróleo y gas
Resiliencia cibernética en la manufactura
Próximas iniciativas:
Resiliencia cibernética en las ciudades
Resiliencia cibernética en el transporte
Iniciativas anteriores:
Resiliencia cibernética en la aviación
Riesgo cibernético y gobernanza corporativa
Participar en la Iniciativa de Resiliencia Cibernética
El objetivo del Centro de Ciberseguridad del Foro Económico Mundial es apoyar a cada persona y organización para que se beneficien de forma segura del progreso digital y tecnológico en curso.
El Centro de Ciberseguridad ofrece una plataforma independiente e imparcial para reforzar la importancia de la ciberseguridad como prioridad estratégica e impulsar la acción público-privada global para abordar los desafíos sistémicos de ciberseguridad. El Centro acoge a organizaciones de los sectores privado y público, de la sociedad civil, del ámbito académico y de organizaciones internacionales que puedan compartir conocimientos y liderazgo intelectual para construir un futuro más resiliente.
