Ciberseguridad en la asistencia sanitaria: diagnosticar riesgos, recetar soluciones

¿Qué es la ciberseguridad en la asistencia sanitaria?

La ciberseguridad en la asistencia sanitaria hace referencia a las medidas y sistemas que pueden utilizarse para prevenir los ciberdelitos. Las soluciones de ciberseguridad en la asistencia sanitaria desempeñan dos funciones: proteger la privacidad y la seguridad de la información de los pacientes y, al mismo tiempo, mantener la integridad y la accesibilidad de los sistemas e infraestructuras críticos de los que dependen las organizaciones sanitarias para prestar asistencia y salvar vidas. Estas soluciones son fundamentales, tanto para fomentar la confianza de los pacientes como para garantizar el cumplimiento de la legislación de ciberseguridad en la asistencia sanitaria.

El alcance de las soluciones de ciberseguridad en la asistencia sanitaria es muy amplio y va desde prácticas básicas como la capacitación del personal y actualizaciones periódicas de software hasta medidas más avanzadas. Entre ellas está la protección de productos y equipos sanitarios conectados (por ejemplo, máquinas de resonancia magnética, sistemas de rayos X y dispositivos de Internet de las Cosas) que se están convirtiendo en parte integrante de nuestras redes de asistencia sanitaria.

Desvelamos los riesgos de la ciberseguridad en la asistencia sanitaria

Por definición, las organizaciones sanitarias dependen de sistemas complejos formados por muchos elementos activos. De ahí que surjan líneas de falla y puntos débiles que los ciberdelincuentes pueden explotar. Algunas de las vulnerabilidades más comunes son:

• Sistemas heredados: muchas instituciones de asistencia sanitaria dependen de software y sistemas operativos obsoletos. Estos sistemas heredados contienen lagunas que los hackers pueden explotar para obtener acceso.
• Productos sanitarios sin protección: los productos sanitarios conectados digitalmente, como las máquinas de resonancia magnética y los monitores cardíacos, pueden hackearse si no se protegen con los protocolos adecuados.
• Error humano: los trabajadores sanitarios pueden ser víctimas de correos electrónicos de phishing u otros ataques basados en la comunicación, lo que permite a los hackers infiltrarse en los sistemas y robar datos.
• Terceros: las organizaciones sanitarias comparten datos confidenciales con proveedores externos. Si estos proveedores tienen una ciberseguridad deficiente, pueden poner en peligro los datos de asistencia sanitaria.

Estas debilidades exponen a las organizaciones sanitarias a una amplia variedad de ataques, incluido el software malicioso, como el ransomware, u operaciones de fraude selectivo, como las estafas de phishing. Puede dar la sensación de que las amenazas acechan por todas partes y en todo momento, lo cual es una perspectiva alarmante para el sector médico. Sin embargo, existen varias soluciones de ciberseguridad en la asistencia sanitaria que los profesionales y el personal sanitario pueden tomar en cuenta para reducir rápidamente su exposición a las ciberamenazas.

Mejorar la seguridad de los productos sanitarios

Los productos sanitarios son un elemento clave de la telesalud, por lo que su uso integrado y seguro es primordial. Las bombas de infusión, los respiradores y los monitores de pacientes, entre otros dispositivos, son vulnerables a los ciberataques debido a una serie de factores.

Muchos productos operan con sistemas operativos informáticos obsoletos o sin asistencia técnica y son susceptibles al malware y al hackeo. Si los datos transmitidos entre estos dispositivos no están cifrados o se envían a través de redes poco seguras, los delincuentes podrían «espiarlos». Además, los profesionales sanitarios no siempre protegen suficientemente las contraseñas ni instalan los mecanismos de autenticación apropiados, lo que permite el acceso no autorizado y el control de los dispositivos.

Afortunadamente, todos los puntos anteriores pueden abordarse con una serie de soluciones:

• La implementación de sólidas herramientas de cifrado, protocolos de contraseñas y controles de acceso contribuirá en gran medida a proteger la transmisión de datos y la seguridad de los productos sanitarios.
• La realización de evaluaciones periódicas y exhaustivas de los riesgos de ciberseguridad puede ayudar a identificar vulnerabilidades.
• Una segmentación de la red que da soporte a los productos sanitarios con el fin de aislar determinados productos del resto de la red de asistencia sanitaria facilita el diagnóstico de posibles problemas. También puede permitir a las organizaciones «poner en cuarentena» los dispositivos en peligro para evitar que los delincuentes accedan a toda la red.
• La capacitación del personal en protocolos básicos de ciberseguridad protege los dispositivos, las prácticas de asistencia sanitaria y a los pacientes.

Tan importante como estos puntos de acción específicos, el sector de la asistencia sanitaria, en su conjunto, debe cooperar con los legisladores y los innovadores empresariales para mantenerse un paso por delante en este panorama en rápida evolución. Por ejemplo, las agencias reguladoras gubernamentales exigen cada vez más pruebas de la ciberseguridad de los sistemas como condición para el uso de dispositivos dentro de su jurisdicción, junto con un plan de gestión y vigilancia una vez que estos sistemas estén en funcionamiento.

Cómo mejorar su ciberseguridad en la asistencia sanitaria

Para hacer frente a las vulnerabilidades enumeradas anteriormente, es fundamental capacitar al personal en materia de concientización básica sobre ciberseguridad para reforzar las primeras líneas de defensa. Por ejemplo, ¿están informados el personal administrativo y otros trabajadores de las principales amenazas de ciberseguridad en la asistencia sanitaria? Incluso conocer la diferencia entre ransomware y phishing puede causar un impacto significativo.

En el frente tecnológico, es importante considerar toda la red de sistemas y herramientas conectados que permiten y apoyan la telesalud: desde los productos sanitarios inteligentes hasta las redes que los conectan, los servidores que almacenan datos confidenciales y el software que ayuda a que todo funcione sin problemas. Si se adopta un enfoque holístico de la seguridad de la red que incluya la tecnología, las personas (por ejemplo, la capacitación) y los procesos (por ejemplo, cómo se integra la seguridad en los flujos de trabajo), se podrán seguir gestionando las vulnerabilidades a medida que aumente el número de dispositivos conectados.

Afortunadamente, las consultas médicas no tienen que superar solas sus desafíos en materia de ciberseguridad. Pueden consultar a expertos externos para obtener orientación y apoyo. Los servicios de ciberseguridad sanitaria proporcionan soluciones a medida para abordar los desafíos únicos que enfrentan los profesionales sanitarios a la hora de proteger la información confidencial de los pacientes y los sistemas médicos críticos. Algunos ejemplos son:

• Evaluación de riesgos: el monitoreo de sistemas y redes ayuda a identificar posibles intrusiones y ataques y a elaborar estrategias de mitigación. Puede implicar soluciones de gestión de información y eventos de seguridad (SIEM, por sus siglas en inglés), sistemas de detección de intrusiones y servicios gestionados de detección de amenazas.
• Previsión y respuesta ante incidentes: los sondeos proactivos, como las simulaciones de ataques, pueden ayudar a anticiparse a los ataques. En caso de incidente, la previsión puede ayudar considerablemente a contener y neutralizar las amenazas. También es importante crear una cultura de ciberseguridad en la que la seguridad esté integrada en todos los niveles de una organización.
• Política y cumplimiento: las organizaciones sanitarias deben cumplir la legislación en todo momento. Las políticas integrales que se ajustan a las necesidades particulares de la organización, al tiempo que adoptan los requisitos internacionales y específicos del sector, garantizan que puedan caminar por esa delgada línea con confianza.

Al aprovechar los servicios de ciberseguridad en la asistencia sanitaria, los profesionales sanitarios pueden mejorar su postura de ciberseguridad, mitigar los riesgos y mantener la confidencialidad e integridad de los datos de los pacientes y los sistemas sanitarios críticos.

• ISO/IEC 27001 Information security management systems
• ISO/IEC 27002 Information security controls
• ISO/IEC 27701 Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management
• ISO 27799 Information security management in health using ISO/IEC 27002

Buenas prácticas de ciberseguridad en la asistencia sanitaria

Entonces, ¿por qué no lo han hecho ya todas las organizaciones sanitarias? En esencia, el desafío de la ciberseguridad en la asistencia sanitaria reside en encerrar enormes cantidades de datos en una cámara acorazada segura y, al mismo tiempo, mantener una experiencia impecable para los pacientes, todo ello en un ambiente normativo en rápida evolución y lleno de matices.

Para enfrentar esta situación, las organizaciones sanitarias pueden explorar diversas opciones para reforzar su aparato de ciberseguridad. Entre ellas se incluyen soluciones tecnológicas como la encriptación, los cortafuegos, los sistemas de detección de intrusos y los controles de acceso, así como cambios institucionales, como implementar políticas sólidas y programas de capacitación para cumplir la legislación existente en materia de ciberseguridad en la asistencia sanitaria.

Para asegurarse de cubrir todos los aspectos con su plan de ciberseguridad en la asistencia sanitaria, los profesionales sanitarios líderes saben que es crucial examinar su estrategia de seguridad informática a mayor escala y en todos los aspectos operacionales. Existen numerosas normas nacionales e internacionales para guiar este proceso. La norma ISO/IEC 27001 ISO/IEC 27001 es una norma de ciberseguridad informática que sienta las bases de un sistema eficaz de gestión de la seguridad de la información, mientras que la normaISO/IEC 27002 brinda un conjunto de controles de seguridad de la información y orientaciones para su implementación. Juntas, estas normas pueden ayudar a las organizaciones a proteger sus sistemas más importantes, al tiempo que se mantienen ágiles y receptivas en caso de incidente o violación de datos.

Un componente vital de cualquier estrategia con ISO/IEC 27001 es la gestión cuidadosa de los datos sanitarios y las historias clínicas de los pacientes. Para ello, presentamos la norma ISO/IEC 27701, que ayuda a las organizaciones a salvaguardar la información personal mediante un sólido sistema de gestión de la información centrado en la privacidad. Como complemento, la norma ISO 27799 aporta orientación personalizada para aplicar la norma ISO/IEC 27002 específicamente a la gestión de la seguridad de la información en el sector sanitario.

Por último, los servicios basados en la nube y las políticas de almacenamiento son una parte importante de cualquier protocolo de seguridad integral. La norma ISO/IEC 27017 ofrece controles mejorados tanto para los proveedores como para los clientes y define funciones y responsabilidades para garantizar que los servicios en la nube mantengan un nivel de seguridad coherente con otros componentes del ecosistema de TI de asistencia sanitaria.

Establecer una cultura de ciberseguridad en la asistencia sanitaria

Como con cualquier asunto relacionado con la sanidad, la prevención es siempre la mejor estrategia. La ciberseguridad en la asistencia sanitaria es mucho más que invertir en tecnología; trata de empoderar a las personas para que tengan siempre presente la seguridad de los datos. Aunque no hay ninguna duda de que los programas de capacitación y concientización son una parte clave de ello, las organizaciones sanitarias no deben subestimar el poder del liderazgo. El liderazgo desempeña un papel fundamental no solo a la hora de respaldar la ciberseguridad, sino de defenderla, es decir, de crear una cultura de ciberseguridad sólida.

Al fin y al cabo, la ciberseguridad no debería ser una ocurrencia tardía. Los pacientes como Sarah no deberían tener que temer por la seguridad de sus datos cuando visitan a su médico. Como pacientes, comprendemos la gran importancia de la ciberseguridad en la asistencia sanitaria, y lo mismo deberían hacer nuestros profesionales sanitarios. Todos deberíamos poder disfrutar de la asistencia sanitaria con absoluta seguridad y confianza. Para ello, la ciberseguridad debe entretejerse en el tejido mismo de las operaciones diarias. Mediante esfuerzos concertados y una comunicación proactiva, las organizaciones sanitarias podrán crear una cultura de ciberseguridad resiliente que prospere no solo dentro de sus propias filas, sino en todo el sector.