En la era digital actual, la sanidad ha experimentado una transformación sin precedentes gracias a la implementación de tecnologías avanzadas. Sin embargo, junto con estos avances surgen nuevos desafíos, particularmente en el ámbito de la ciberseguridad. La interconexión de sistemas, el almacenamiento de datos en la nube y el uso de dispositivos médicos inteligentes han mejorado significativamente la eficiencia y la calidad de los servicios de salud. Sin embargo, también han ampliado la superficie de exposición generando nuevas vulnerabilidades que pueden ser explotadas con fines maliciosos.

La protección de la información sanitaria es crítica, ya que los datos médicos son extremadamente sensibles y su divulgación no autorizada puede tener consecuencias graves para los pacientes. Además, los ciberataques pueden interrumpir servicios esenciales, comprometiendo no solo la atención médica, sino poniendo en riesgo la vida de las personas.

Según el informe de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) de 2023, el sector sanitario europeo ha experimentado un aumento significativo del número de incidentes de ciberseguridad a los que se tiene que enfrentar. Los proveedores de atención médica representaron el 53% del total de incidentes, con los hospitales llevándose la peor parte, registrando el 42% de estos eventos. Entre los principales tipos de ataques se incluyen la exfiltración y robo de datos (43%), interrupción de servicios de atención médica y no relacionados con la atención médica (22% y 26%, respectivamente) y ataques de ransomware y DDoS. Otro aspecto a tener en cuesta es el relacionado con las pérdidas financieras, pues se estima que el coste medio de un incidente de seguridad importante en el sector sanitario ronda los 300.000 euros, según elestudio ENISA NIS Investment de 2022.

Diagnóstico actual

La situación geopolítica y la actividad hacktivista, sumada a los factores del mundo hiperconectado y la complejidad de la cadena de suministro, están configurando el contexto actual en diferentes sectores, y el de la sanidad no permanece ajeno.

La adopción de tecnologías avanzadas como el Medical IoT, Industria 4.0, IoT, la nube o 5G ha revolucionado el sector ayudando notablemente a las entidades sanitarias a mejorar en gran medida la eficiencia y calidad de la atención ofrecida a los pacientes, pero esta hiperconectividad resulta ser un arma de doble filo, pues amplía la superficie de ataque abriendo la puerta a nuevas vulnerabilidades. La interconexión de dispositivos médicos y sistemas de información aumenta el riesgo de ciberataques que pueden comprometer los datos sensibles y la continuidad de los servicios.

Otra área de riesgo está relacionada con la cadena de suministro. Las brechas de partners y proveedores externos sigue siendo un área que aún no recibe la atención que merece. La compleja red de proveedores hospitalarios interconectados representa una superficie de ataque en crecimiento y proteger un entorno cada vez más interconectado requiere contar con un enfoque proactivo de la ciberseguridad. En este sentido, la Unión Europea (UE) ha dado un importante paso al frente en la lucha contra los ciberataques con la introducción de la Directiva sobre Redes y Sistemas de Información 2, o NIS2.

Esta directiva representa una importante revisión de las normas de ciberseguridad en todo el territorio, con el objetivo de reforzar las defensas contra las amenazas en constante evolución de la era digital. Así, NIS2 categoriza al sector Salud (incluyendo hospitales, laboratorios, farmacéuticas, investigación y fabricantes de dispositivos médicos) como esencial. Esta normativa subraya la importancia de la visibilidad del riesgo en la cadena de suministro, lo que implica que las organizaciones deben garantizar que todos los eslabones de su cadena, desde proveedores hasta distribuidores, mantengan altos estándares de ciberseguridad para evitar la posible explotación de brechas.

La receta para proteger

Para enfrentar estos desafíos, el sector Salud debe centrarse en tres áreas clave. Por una parte, es necesario tener en cuenta la visibilidad del riesgo. El riesgo tecnológico debe considerarse un riesgo de primer nivel de negocio. Datos del Foro Económico Mundial (WEF) y el DNS resaltan la necesidad de una visibilidad global, abarcando la convergencia de IT, OT e IoT. La cadena de suministro debe ser monitorizada continuamente para identificar y mitigar riesgos antes de que puedan ser explotados.

Igualmente, hay que hacer hincapié en una mitigación de amenazas y respuesta eficiente a incidentes. La protección tecnológica debe ser global, proactiva y con visibilidad centralizada. Es crucial integrar soluciones de terceros y adoptar una plataforma unificada que facilite toda la operativa y la lleve a un nivel superior. La orquestación en la respuesta a incidentes, en tiempo y forma, es fundamental, y la Directiva NIS2 proporciona directrices claras sobre cómo y cuándo responder. Estas medidas aseguran una respuesta rápida y efectiva, minimizando el impacto de los incidentes.

Para terminar, es necesario garantizar cero interrupciones en las operaciones. El concepto “cero paradas” es una necesidad imperativa. Los entornos médicos, especialmente aquellos que utilizan tecnologías heredadas que, por distintas circunstancias son altamente vulnerables, no pueden permitirse interrupciones. Sistemas críticos como PACS (Sistema de Comunicación y Archivado de Imágenes), cuya función primordial es almacenar imágenes y facilitar la comunicación entre los sectores de hospitales y clínicas, o los equipos de rayos X, por citar algunos, deben estar operativos en todo momento. La protección de estos sistemas requiere soluciones específicas que permitan la continuidad del servicio mientras se mitigan las vulnerabilidades.

Prescriptores en protección cibernética: los aliados

Ante este escenario, ya nadie duda que la ciberseguridad se ha convertido en una prioridad absoluta para las instituciones sanitarias y que la colaboración entre expertos en salud y seguridad TI es esencial para enfrentar estos desafíos y garantizar un entorno seguro y de confianza para pacientes y profesionales de la salud.

Por otro lado, es importante apoyarse en tecnologías de vanguardia que permitan agilizar e incrementar la eficiencia de la evaluación periódica de riesgos, la implementación de protecciones técnicas y organizativas y el establecimiento de procedimientos para detectar y reportar incidentes de seguridad, y para responder a estos de forma rápida. Es necesario contar con una visibilidad 360º de todo lo que ocurre en la red y automatizar procesos.

Partiendo de esta base, la tendencia a la consolidación de tecnologías es una fórmula que está ganando tracción en el sector. Apostar por plataformas unificadas de ciberseguridad que proporcionen una visibilidad global del riesgo de la entidad, permitiendo medirlo de manera holística y continua, integrando telemetría multivector y soluciones de terceros, resulta de gran utilidad en el ámbito sanitario. Asimismo, agiliza y facilita el cumplimiento de la directiva NIS2, que enfatiza la importancia de esta medición constante para analizar la evolución del riesgo.

Afortunadamente, existen ya plataformas que, equipadas con IA, facilitan la respuesta a incidentes mediante la automatización y la orquestación, detectando amenazas más rápido y respondiendo de manera más eficiente. Además, dotan a los equipos de seguridad con herramientas avanzadas que facilitan el triaje de alertas, la contextualización de información y la recomendación de acciones concretas. La IA, en este sentido, democratiza el acceso al conocimiento experto, permitiendo que analistas sin conocimientos avanzados puedan actuar y responder con la precisión de un profesional experimentado.

Igualmente, no hay que olvidar que los entornos médicos son especialmente vulnerables debido a la obsolescencia de algunos sistemas y su exclusión de soporte técnico. La tecnología de parcheado virtual es una solución eficaz para mitigar estas vulnerabilidades de manera temprana y no intrusiva. Esta técnica protege desde las versiones más antiguas de software hasta las más modernas, reduciendo significativamente la ventana de exposición a vulnerabilidades conocidas y asegurando la continuidad de los servicios médicos críticos.

Recordemos que la ciberseguridad en el sector sanitario requiere de una estrategia integral y proactiva que se apoye tanto en expertos con en las herramientas y soluciones avanzadas necesarias para enfrentar estos retos de manera efectiva y segura. Solo así seremos capaces de proteger la “salud” de los sistemas de forma transparente y sin impacto para el usuario o el servicio asociado.