¿Cómo se responde a las amenazas de ciberseguridad desde el sector salud?

La digitalización de la información médica ha sido un avance revolucionario para la atención médica, pero también ha presentado desafíos sin precedentes en materia de ciberseguridad. Los ciberdelincuentes han encontrado formas cada vez más ingeniosas de aprovechar las vulnerabilidades del sistema y obtener acceso a información confidencial.

En la intersección de la tecnología y la atención médica, surge una preocupación creciente que amenaza la integridad de los datos médicos y la confianza en el sistema de salud: la ciberdelincuencia en el sector de la salud. A medida que los avances digitales transforman la manera en que se almacenan, comparten y utilizan los datos médicos, los ciberdelincuentes encuentran nuevas oportunidades para perpetrar ataques que pueden tener consecuencias devastadoras.

Las organizaciones vinculadas a la salud de las personas tienen una mayor posibilidad de sufrir un ciberataque. Se calcula que es el tercer sector más perseguido por los ciberdelincuentes en España. De hecho, a nivel global es el que más incidentes notificó en 2022, un 74% más que en el año anterior (muy superior al 38% general), según los experto en transformación digital del Club Excelencia de Gestión.

Esto ocurre por varios motivos. Primero, son organizaciones que protegen en sus bases de datos información sensible de todos sus pacientes: informes, pruebas, imágenes, diagnósticos, etc. Por otra parte, el caos que puede generar en espacios como un hospital, donde todos los procesos están prácticamente informatizados -consultas, compra de insumos, recetas farmacológicas, etc.- también les pone en el punto de mira.

Robo de datos

Uno de los métodos más comunes de ciberdelincuencia en el sector de la salud es el robo de datos médicos para su posterior venta en el mercado negro. Los registros médicos completos, que contienen información personal, diagnósticos, tratamientos y antecedentes médicos, son valiosos para los delincuentes, ya que pueden utilizarse para cometer fraude financiero, chantaje o incluso suplantación de identidad.

Además del robo de datos, los ataques de ransomware (introducción de un software malicioso que «bloquea» un sistema o cifra archivos) han aumentado significativamente en el sector de la salud. En estos ataques, los ciberdelincuentes cifran los sistemas informáticos de las instituciones médicas y exigen un rescate a cambio de la clave para desbloquear los datos. Esto puede tener un impacto devastador en la continuidad de la atención médica, poniendo en riesgo la vida de los pacientes y causando trastornos en las operaciones hospitalarias. Actualmente, según la Agencia Europea para la Ciberseguridad (ENISA), el ransomware es una de las principales amenazas al sector de la salud, representando un 54% de los ataques.

Formas de Contrarrestarlo

Aunque la amenaza de la ciberdelincuencia en el sector de la salud es real y en constante evolución, existen estrategias efectivas para contrarrestarla y mitigar sus efectos. A través de los encuentros del Foro de Sanidad del Club Excelencia en Gestión, se ha diseñado un listado de recomendaciones que pueden ayudar a prevenir estos ciberataques y, si ocurren, a minimizar su impacto. Estas son las  claves para mejorar la ciberseguridad en sanidad:

• Invertir al máximo: de una forma eficiente, pero sin escatimar en gastos, porque las repercusiones que suele tener un ciberataque son desastrosas, rondando de media los 10 millones de euros. El ejemplo más llamativo es el sufrido por la aseguradora estadounidense Anthem en 2015, que afectó a 78,8 millones de pacientes y le costó unos 400 millones de euros en limpieza, recuperación, demandas e investigaciones.
• Seguridad en la cadena de suministro: se calcula que casi la mitad de los datos que salen de una manera fraudulenta de una organización sanitaria lo hacen de manera silenciosa canalizados a través de proveedores con los que se tiene algún vínculo. A ellos también se les debe exigir un fuerte compromiso con la ciberseguridad de forma certificada.
• Estar al tanto de las nuevas ‘cibernormativas’: tener asesoramiento continuo en este ámbito es esencial, para cumplir con la ley y también para prevenir problemas detectados desde otros sectores. Un ejemplo es la trasposición a la regulación española de la directiva europea NIS2, para eliminar las divergencias existentes entre los Estados miembro en cuanto a seguridad de las redes y sistemas de información, que entrará en vigor el próximo otoño.
• Comprensión desde la gobernanza: uno de los puntos que esa directiva NIS2 exige a las organizaciones sanitarias indica que los órganos de dirección deben aprobar y responsabilizarse de las medidas para la gestión de riesgos de ciberseguridad adoptadas. Lo que implica formación y comprensión, con el fin de que haya una mayor concienciación.
• Políticas de seguridad y análisis de riesgos: medir de forma constante y buscar los puntos débiles para corregirlos de forma inmediata, y al mismo tiempo incorporar en los equipos especialistas en gestión de incidentes, capaces de detectar y anular vulnerabilidades.
• Formación para concienciar: en las organizaciones del sector sanitario trabajan muchas personas, y la mayoría utilizan recursos informáticos enlazados a la red del centro. Todos ellos deben estar al tanto de las prácticas básicas de ciber higiene: evitar descargas, pinchar en enlaces sospechosos, uso de dispositivos USB externos… Y para concienciar sobre los problemas que esto puede acarrear, la formación es esencial.
• Mecanismos de acceso fuertes: un clásico que no puede pasarse por alto, porque en ocasiones la entrada de los ciberdelincuentes se da a través de contraseñas sencillas. De la misma forma, es importante renovar las infraestructuras informáticas para evitar que se queden obsoletas y segmentar las redes de un mismo centro para que, si llega un ciberataque, no afecte a todas las áreas de gestión de la organización.

El camino hacia un futuro más seguro

La ciberdelincuencia en el sector de la salud es una realidad innegable en la era digital actual. A medida que la atención médica continúa adoptando tecnologías innovadoras como la telemedicina, la inteligencia artificial y el Internet de las cosas (IoT), la necesidad de una seguridad cibernética sólida se vuelve aún más urgente. La colaboración entre gobiernos, instituciones médicas, expertos en ciberseguridad y la industria tecnológica es esencial para abordar esta amenaza de manera efectiva.

En última instancia, la ciberseguridad en la salud no es solo un asunto técnico, sino un compromiso ético con la protección de la información médica de los pacientes y la garantía de una atención médica segura y confiable. A través de la educación, la inversión en tecnologías seguras y la implementación de medidas regulatorias sólidas, podemos trazar un camino hacia un futuro en el que la ciberdelincuencia en el sector de la salud sea una preocupación menor, en lugar de una amenaza constante.